шифровальщик ivanmalahov@protonmail.com.aeFijim3

[АлексндрPLAZA]

помогите расшифровать папку
 

помогите расшифровать папку

Фотомагии промсвязьбанк 17500.xls.[ivanmalahov@protonmail.com].aeFijim3
 

помогите расшифровать папку
 

помогите расшифровать папку

Фотомагии промсвязьбанк 17500.xls.[ivanmalahov@protonmail.com].aeFijim3

 

этот чел хочет 30тр за то чтоб папку расшифоровать
 

Сообщение от модератора kmscom

сообщение перенесено из темы шифровальщик ivanmalahov@protonmail.com.Eivoh1na

СЧЕТА ООО.zip

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

(в чужой теме не пишите).

[АлексндрPLAZA]

Защифровали папку с документами, просят денег. Оправил 1тр, в ответ ни чего и больше не выходят на связь. Просят 7500 но я не оплачиваю!

Сообщение от модератора thyrex

Темы объединены

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

[АлексндрPLAZA]

Да я уже все прошел куда фаил скинуть

 

CollectionLog-2019.10.18-09.58.zip

[Sandor]

Заражение произошло на этом компьютере?

[АлексндрPLAZA]

Да

[Sandor]

Несколько зашифрованных документов с запиской о выкупе упакуйте в архив и прикрепите к следующему сообщению.

[АлексндрPLAZA]

Я сам с ним связался так как его почта была указан в закодированом  документе прописана в каждом.

вирусы.zip

[Sandor]

Пароль на RDP смените.

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Кнопка "Яндекс" на панели задач

Служба автоматического обновления программ

Затем:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[АлексндрPLAZA]

Все сделал!

AdwCleanerC00.txt

AdwCleanerS00.txt

AdwCleaner_Debug.log

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[АлексндрPLAZA]

вот эти фаилы

Addition.txt

FRST.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {13a85bb8-3e3c-11e8-85ba-d8cb8a1ea417} - E:\AutoRun.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {186a97d4-2063-11e9-9513-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {2011647e-bba8-11e7-ab43-e69320b36cfb} - I:\DriverPack.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {38887b69-bbb6-11e7-86a6-81ac51efd1fe} - E:\wpi\MInst.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {4ede925a-85be-11e9-80f4-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {54f8af7e-e7f8-11e9-820a-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {852bd832-251e-11e9-bc19-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {8611532d-e703-11e8-baa4-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {8db43b8c-cce7-11e7-9c39-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {cee0dbc0-07d7-11e8-b397-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-4213886276-1634149313-1041166016-1000\...\MountPoints2: {f1cadd12-3ee0-11e8-b32d-d8cb8a1ea417} - E:\HiSuiteDownLoader.exe
  GroupPolicy: Restriction ? <==== ATTENTION
  S3 45822FA818F7CFF0; \??\D:\Temp\8BA6A406-1D61897E-D3A7F7A4-4C22D748\663f55c76.sys [X]
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

 

p.s.

Следов заражения по-прежнему не видно. Вы точно уверены, что шифрование произошло на этой системе?

[АлексндрPLAZA]

вот

вот

Fixlog.txt