Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

[РЕШЕНО] Помогите с расшифровкой файлов Trojan-Ransom.Win32.Xorist.ln

Dimamusz
 Поделиться

Рекомендуемые сообщения

Dimamusz

Dimamusz

Опубликовано
Опубликовано

Здравствуйте.

Поймал троян Trojan-Ransom.Win32.Xorist.ln. Все файлы зашифрованы имеют следующий вид (устав pdf_10.jpg.EnCiPhErEd)

Пробовал воспользоваться Xorist Decryptor (не помог) и RectorDecryptor. После работы RectorDecryptor появились файлы без расширения EnCiPhErEd, но файлы не открываются. Письмо требование прикрепляю. Есть ли надежда на расшифровку?

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('wmmdservdrver', 4);
 DeleteService('wmmdservdrver');
 SetServiceStart('winsdrvsrvs', 4);
 DeleteService('winsdrvsrvs');
 SetServiceStart('pocfiso', 4);
 DeleteService('pocfiso');
 SetServiceStart('dspfsrto', 4);
 DeleteService('dspfsrto');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','32');
 DeleteFile('C:\Users\Лариса\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Startup: C:\Users\USR1СV82\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] () [File not signed]
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {01D687EB-341A-4DC9-88A7-D9ED9B9BF8CF} - \{E12F0422-8364-4E2B-9016-C8275B5D859F} -> No File <==== ATTENTION
Task: {633276D9-3F6C-4878-86AC-B5866B68CFA7} - \{D50A9C64-7515-4FD4-B59F-CB6DB4411EFB} -> No File <==== ATTENTION
Task: {8424D195-50C5-44DF-857E-DF5EA8069EE3} - \{A522F511-350E-4CA7-84F4-F0468C09B071} -> No File <==== ATTENTION
Task: {A747203B-9FC6-442A-AD55-62732C46937B} - \{70C1DDA1-1C14-435B-83D2-BB934D0C99CF} -> No File <==== ATTENTION
Task: {B139DE16-9358-4CC1-AF0D-8F449CD2F4CD} - \{EA0829A9-E1EC-45DE-A07B-AACCA62BA162} -> No File <==== ATTENTION
Task: {B2CCF146-8F74-498B-9C53-94DD5F39DA6D} - \{22689240-C81C-48D0-877B-AEBE68EEA56A} -> No File <==== ATTENTION
Task: {BCEE19CF-6B4B-491D-B8DA-C339AD5DDE59} - System32\Tasks\{60DFB645-C6AB-4B59-B2A6-088AB2517984} => C:\Windows\system32\pcalua.exe -a C:\Users\Лариса\AppData\Local\Temp\Temp1_RDPWrap-v1.6.2.zip\RDPWInst.exe <==== ATTENTION
Task: {DB55A28E-9E13-4983-A3AA-C996C761BD60} - \{526BD3F0-B579-4DE3-9C4C-B6EA30345C7E} -> No File <==== ATTENTION
Task: {DC05625A-3494-45CF-A8E9-32BF69EEC98A} - \{49BDC307-CC5E-420F-BC74-3AFF028663D4} -> No File <==== ATTENTION
Reboot:
End::
2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
thyrex

thyrex

Опубликовано
Опубликовано

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщению.

Dimamusz

Dimamusz

Опубликовано
  • Автор
Опубликовано

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.ru/public/4fHM/443v5FKQm

 

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.ru/public/4fHM/443v5FKQm

 

Загружал не архиве

Desktop.zip

thyrex

thyrex

Опубликовано
Опубликовано

Загрузить не получилось

Читали невнимательно, вот и не получилось. Я же просил в архиве прикрепить :)

 

Используйте присланный Вами файл, расшифрованный файл https://www.sendspace.com/file/35axmyи утилиту https://www.emsisoft.com/decrypter/download/xorist для подбора ключа (будет подобран около 48,5%) и расшифровки.

Инструкция на английском https://decrypter.emsisoft.com/howtos/emsisoft_howto_xorist.pdf

thyrex

thyrex

Опубликовано
Опубликовано

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Процитируйте содержимое файла в своем следующем сообщении.
Dimamusz

Dimamusz

Опубликовано
  • Автор
Опубликовано

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 23.06.2019 12:45:56
Path starting: C:\Users\Лариса\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Лариса
VersionXML: 6.57is-18.06.2019
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x86) HomeBasic Lang: Russian(0419)
Дата установки ОС: 15.06.2010 17:13:05
Статус лицензии: Windows® 7, HomeBasic edition Постоянная активация прошла успешно.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Mozilla Firefox\firefox.exe
Системный диск: C: ФС: [NTFS] Емкость: [48.8 Гб] Занято: [43.8 Гб] Свободно: [5 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
Запрос на повышение прав для обычных пользователей отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Windows Update (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2003 v.11.0.8173.0
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Avast Free Antivirus v.19.5.2378
--------------------------- [ OtherUtilities ] ----------------------------
FastStone Image Viewer, версия 5.3 v.5.3
K-Lite Codec Pack 5.0.5 (Full) v.5.0.5 Внимание! Скачать обновления
TeamViewer 13 v.13.2.36215 Внимание! Скачать обновления
Microsoft Office - профессиональный выпуск версии 2003 v.11.0.8173.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office FrontPage 2003 v.11.0.5614.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
TeamViewer 13 (TeamViewer) - Служба работает
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.71 (32-bit) v.5.71.0
7-Zip 19.00 v.19.00.00.0
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 ActiveX v.32.0.0.207
------------------------------- [ Browser ] -------------------------------
Google Chrome v.75.0.3770.100
Mozilla Firefox 67.0.4 (x86 ru) v.67.0.4 [+]
Opera 11.60 v.11.60 Внимание! Скачать обновления
Yandex v.19.6.1.153
------------------ [ AntivirusFirewallProcessServices ] -------------------
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
C:\Program Files\AVAST Software\Avast\AvastUI.exe v.19.5.4444.0
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
Avast Antivirus (avast! Antivirus) - Служба работает
C:\Program Files\AVAST Software\Avast\AvastSvc.exe v.19.5.4444.0
Защитник Windows (WinDefend) - Служба остановлена
Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
SkyMonk Client v.1.54 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Кнопка "Яндекс" на панели задач v.2.0.0.2116 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------
 

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Volkov
      у меня проблема один в один как у " nov_77 "
      Автор Volkov
      @thyrex,
      День добрый!
      у меня проблема один в один как у " nov_77 ", заражен Пк, был 2 дня назад. Спасибо за внимание

      CollectionLog-2015.09.13-16.52.zip
      Addition.txt
      FRST.txt
      Fixlog.txt
    • nov_777
      Зашифровало файлы
      Автор nov_777
      thyrex,
      Здравствуйте. Зашифровало файлы, такое же сообщение, только id другой.
       
       
      Расширение стало *.rOSb1V. Файлы зашифрованы на внешнем HDD. На ПК windows буду удалять, переустанавливать. Хочу расшифровать на другом ПК. Может Ваша помощь и мне поможет, если почти тоже сообщение что и у ТС?
       

      Сообщение от модератора Mark D. Pearlstone Перенесено из темы
    • monya
      Все ваши файлы зашифрованы!
      Автор monya
      Как разблокировать файлы:
      В связи с принятием Закона "Об упрощении оплаты штрафов в интернете" от 03.04.2014, вы имеете возможность оплатить штраф удалённо. Стоимость 500 рублей. Для этого вам необходимо приобрести карту Webmoney достоинством  500 рублей.
    • mik63
      Зашифрованы файлы
      Автор mik63
      у меня такая же проблема, название были: какой то "Комета" браузер, и krbupdater-utility.exe
      остался zip архив из которого это всё запускалось, куда и как его переслать?
       

      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • artrnd
      Изменение расширения файлов
      Автор artrnd
      Необходима помощь, вирус изменил расширение файлов (музыка картинки видео).Помогите пожалуйста.
      CollectionLog-2015.04.29-13.50.zip
×
×
  • Создать...