Перейти к содержанию

[РЕШЕНО] Помогите с расшифровкой файлов Trojan-Ransom.Win32.Xorist.ln


Рекомендуемые сообщения

Здравствуйте.

Поймал троян Trojan-Ransom.Win32.Xorist.ln. Все файлы зашифрованы имеют следующий вид (устав pdf_10.jpg.EnCiPhErEd)

Пробовал воспользоваться Xorist Decryptor (не помог) и RectorDecryptor. После работы RectorDecryptor появились файлы без расширения EnCiPhErEd, но файлы не открываются. Письмо требование прикрепляю. Есть ли надежда на расшифровку?

Ссылка на сообщение
Поделиться на другие сайты

Забыли прикрепить. и логи тоже
внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».

Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('wmmdservdrver', 4);
 DeleteService('wmmdservdrver');
 SetServiceStart('winsdrvsrvs', 4);
 DeleteService('winsdrvsrvs');
 SetServiceStart('pocfiso', 4);
 DeleteService('pocfiso');
 SetServiceStart('dspfsrto', 4);
 DeleteService('dspfsrto');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','32');
 DeleteFile('C:\Users\Лариса\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

Ссылка на сообщение
Поделиться на другие сайты

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Startup: C:\Users\USR1СV82\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] () [File not signed]
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {01D687EB-341A-4DC9-88A7-D9ED9B9BF8CF} - \{E12F0422-8364-4E2B-9016-C8275B5D859F} -> No File <==== ATTENTION
Task: {633276D9-3F6C-4878-86AC-B5866B68CFA7} - \{D50A9C64-7515-4FD4-B59F-CB6DB4411EFB} -> No File <==== ATTENTION
Task: {8424D195-50C5-44DF-857E-DF5EA8069EE3} - \{A522F511-350E-4CA7-84F4-F0468C09B071} -> No File <==== ATTENTION
Task: {A747203B-9FC6-442A-AD55-62732C46937B} - \{70C1DDA1-1C14-435B-83D2-BB934D0C99CF} -> No File <==== ATTENTION
Task: {B139DE16-9358-4CC1-AF0D-8F449CD2F4CD} - \{EA0829A9-E1EC-45DE-A07B-AACCA62BA162} -> No File <==== ATTENTION
Task: {B2CCF146-8F74-498B-9C53-94DD5F39DA6D} - \{22689240-C81C-48D0-877B-AEBE68EEA56A} -> No File <==== ATTENTION
Task: {BCEE19CF-6B4B-491D-B8DA-C339AD5DDE59} - System32\Tasks\{60DFB645-C6AB-4B59-B2A6-088AB2517984} => C:\Windows\system32\pcalua.exe -a C:\Users\Лариса\AppData\Local\Temp\Temp1_RDPWrap-v1.6.2.zip\RDPWInst.exe <==== ATTENTION
Task: {DB55A28E-9E13-4983-A3AA-C996C761BD60} - \{526BD3F0-B579-4DE3-9C4C-B6EA30345C7E} -> No File <==== ATTENTION
Task: {DC05625A-3494-45CF-A8E9-32BF69EEC98A} - \{49BDC307-CC5E-420F-BC74-3AFF028663D4} -> No File <==== ATTENTION
Reboot:
End::
2. Скопируйте выделенный текст (правая кнопка мышиКопировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
Ссылка на сообщение
Поделиться на другие сайты

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.ru/public/4fHM/443v5FKQm

 

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.ru/public/4fHM/443v5FKQm

 

Загружал не архиве

Desktop.zip

Ссылка на сообщение
Поделиться на другие сайты

Загрузить не получилось

Читали невнимательно, вот и не получилось. Я же просил в архиве прикрепить :)

 

Используйте присланный Вами файл, расшифрованный файл https://www.sendspace.com/file/35axmyи утилиту https://www.emsisoft.com/decrypter/download/xorist для подбора ключа (будет подобран около 48,5%) и расшифровки.

Инструкция на английском https://decrypter.emsisoft.com/howtos/emsisoft_howto_xorist.pdf

Ссылка на сообщение
Поделиться на другие сайты

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Процитируйте содержимое файла в своем следующем сообщении.
Ссылка на сообщение
Поделиться на другие сайты

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 23.06.2019 12:45:56
Path starting: C:\Users\Лариса\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Лариса
VersionXML: 6.57is-18.06.2019
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x86) HomeBasic Lang: Russian(0419)
Дата установки ОС: 15.06.2010 17:13:05
Статус лицензии: Windows® 7, HomeBasic edition Постоянная активация прошла успешно.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Mozilla Firefox\firefox.exe
Системный диск: C: ФС: [NTFS] Емкость: [48.8 Гб] Занято: [43.8 Гб] Свободно: [5 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
Запрос на повышение прав для обычных пользователей отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Windows Update (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2003 v.11.0.8173.0
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Avast Free Antivirus v.19.5.2378
--------------------------- [ OtherUtilities ] ----------------------------
FastStone Image Viewer, версия 5.3 v.5.3
K-Lite Codec Pack 5.0.5 (Full) v.5.0.5 Внимание! Скачать обновления
TeamViewer 13 v.13.2.36215 Внимание! Скачать обновления
Microsoft Office - профессиональный выпуск версии 2003 v.11.0.8173.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office FrontPage 2003 v.11.0.5614.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
TeamViewer 13 (TeamViewer) - Служба работает
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.71 (32-bit) v.5.71.0
7-Zip 19.00 v.19.00.00.0
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 ActiveX v.32.0.0.207
------------------------------- [ Browser ] -------------------------------
Google Chrome v.75.0.3770.100
Mozilla Firefox 67.0.4 (x86 ru) v.67.0.4 [+]
Opera 11.60 v.11.60 Внимание! Скачать обновления
Yandex v.19.6.1.153
------------------ [ AntivirusFirewallProcessServices ] -------------------
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
C:\Program Files\AVAST Software\Avast\AvastUI.exe v.19.5.4444.0
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
Avast Antivirus (avast! Antivirus) - Служба работает
C:\Program Files\AVAST Software\Avast\AvastSvc.exe v.19.5.4444.0
Защитник Windows (WinDefend) - Служба остановлена
Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
SkyMonk Client v.1.54 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Кнопка "Яндекс" на панели задач v.2.0.0.2116 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------
 

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Дмитрий Романович
      От Дмитрий Романович
      Здравствуйте. Сегодня обнаружил что все файлы на компьютере под расширением EnCiPhErEd, эти файлы очень нужны, шансов нет, нужно разблокировать. 
      Файл больше 5 мб, прикрепляю ссылку на облако.
      https://disk.yandex.ru/d/9EYiGK7W0TsHpQ
      пароль virus
    • АлексейЧеч
      От АлексейЧеч
      Здравствуйте! Ситуация в следующая,  знакомый бухгалтер обратился за помощью, не смогли войти в 1с. После анализа оказалось, что на сервере удалены все файлы создано два архива с.bin d.bin, которые закрыты паролем естественно в каждом каталоге файл с требованием выкупа. Удаленные файлы почти все возможно восстановить, но все они зашифрованы шифровальщиком с расширение .EnCiPhErEd, диск сейчас не вылечен подключен к другому компьютеру. Расшифровать восстановленные файлы не удается ни xoristdecryptor ни утилитой от Веба. Проверка Kaspersky Security Scan нашла много вирусов Virus.Win32.Neshta.a, и троян trojan-ransom.win32.xorist.ln. Подскажите пожалуйста что сделать, судя по форуму такие данные можно рассшифровать. зараженный файл и его не зашифрованный аналог прилагаю. Если нужны логи программ я не знаю что нужно восстановить удаленные файлы и вылечить сервер или можно делать на компьютере к которому сейчас подключен зараженный диск.   сервер вполне вероятно восстановить не получится а данные очень нужно восстановить.
      222.zip
×
×
  • Создать...