Перейти к содержанию
Новогодняя встреча Kaspersky Club. Записывайся скорее!

Шифровальщик scratch99

sbaideq
 Поделиться

Рекомендуемые сообщения

sbaideq

sbaideq

Опубликовано
Опубликовано

Добрый день!
недавно заметил что пару дней назад зашифровались все файлы на пк, кроме системных.
контакты хулигана scratch99@protonmail.com

or telegram: @assist_decoder

CollectionLog-2020.01.20-20.34.zip

thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

thyrex

thyrex

Опубликовано
Опубликовано

Увы, расшифровки данного варианта Cryakl нет. Будет только зачистка мусора в системе.

 

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKU\S-1-5-21-4121730584-1252195162-984381651-1003\...\Run: [1781193111] => C:\Users\root\AppData\Local\Temp\svcdbe.exe <==== ATTENTION
HKU\S-1-5-21-4121730584-1252195162-984381651-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-01202020183836529\...\Run: [MinerGateGui] => C:\Users\root\Music\minergate amd\minergate.exe --auto
HKU\S-1-5-21-4121730584-1252195162-984381651-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-01202020183836529\...\Run: [1781193111] => C:\Users\root\AppData\Local\Temp\svcdbe.exe <==== ATTENTION
HKU\S-1-5-21-4121730584-1252195162-984381651-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-01202020183838470\...\Run: [MinerGateGui] => C:\Users\root\Music\minergate amd\minergate.exe --auto
HKU\S-1-5-21-4121730584-1252195162-984381651-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-01202020183838470\...\Run: [1781193111] => C:\Users\root\AppData\Local\Temp\svcdbe.exe <==== ATTENTION
HKU\S-1-5-21-4121730584-1252195162-984381651-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-01202020185356263\...\Run: [MinerGateGui] => C:\Users\root\Music\minergate amd\minergate.exe --auto
HKU\S-1-5-21-4121730584-1252195162-984381651-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-01202020185356263\...\Run: [1781193111] => C:\Users\root\AppData\Local\Temp\svcdbe.exe <==== ATTENTION
Task: {586034A2-BE81-4669-A5C0-58C77914A743} - System32\Tasks\WMICRestore => wmic SHADOWCOPY DELETE
Task: {C49B3B69-0FAB-4522-BB8B-F520BA212759} - System32\Tasks\WBadminSystemRestore => wbadmin [Argument = DELETE SYSTEMSTATEBACKUP -keepVersions:0]
Task: {DBA8A3BF-C6EC-425D-8044-7F513980EB6D} - System32\Tasks\VssDataRestore => vssadmin [Argument = delete shadows /all /quiet]
2020-01-18 17:38 - 2020-01-18 17:38 - 000000098 _____ C:\README.txt
2020-01-18 17:29 - 2020-01-18 17:29 - 000000098 _____ C:\Program Files (x86)\README.txt
2020-01-18 17:17 - 2020-01-18 17:17 - 000000098 _____ C:\Program Files\README.txt
2020-01-18 17:17 - 2020-01-18 17:17 - 000000098 _____ C:\Program Files\Common Files\README.txt
2020-01-18 17:15 - 2020-01-18 17:15 - 000000098 _____ C:\Users\Пользователь\README.txt
2020-01-18 17:15 - 2020-01-18 17:15 - 000000098 _____ C:\Users\Пользователь\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-01-18 17:15 - 2020-01-18 17:15 - 000000098 _____ C:\Users\README.txt
2020-01-18 17:14 - 2020-01-18 17:14 - 000000098 _____ C:\Users\Пользователь\Downloads\README.txt
2020-01-18 17:13 - 2020-01-18 17:13 - 000000098 _____ C:\Users\Пользователь\Documents\README.txt
2020-01-18 17:13 - 2020-01-18 17:13 - 000000098 _____ C:\Users\Пользователь\Desktop\README.txt
2020-01-18 17:12 - 2020-01-18 17:12 - 000000098 _____ C:\Users\Пользователь\AppData\Roaming\README.txt
2020-01-18 17:12 - 2020-01-18 17:12 - 000000098 _____ C:\Users\Пользователь\AppData\README.txt
2020-01-18 17:12 - 2020-01-18 17:12 - 000000098 _____ C:\Users\Пользователь\AppData\LocalLow\README.txt
2020-01-18 16:43 - 2020-01-18 16:43 - 000000098 _____ C:\Users\Пользователь\AppData\Local\README.txt
2020-01-18 16:43 - 2020-01-18 16:43 - 000000098 _____ C:\Users\Пользователь\AppData\Local\Apps\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\Downloads\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\Documents\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\Desktop\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\AppData\Roaming\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\AppData\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\AppData\LocalLow\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Test\AppData\Local\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\Downloads\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\Documents\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\Desktop\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\AppData\Roaming\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\AppData\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\AppData\LocalLow\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\root\AppData\Local\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Public\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\Public\Downloads\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\Downloads\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\Documents\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\Desktop\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\AppData\Roaming\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\AppData\README.txt
2020-01-18 16:42 - 2020-01-18 16:42 - 000000098 _____ C:\Users\MebDom\AppData\LocalLow\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Все пользователи\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Все пользователи\Documents\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Все пользователи\Desktop\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Public\Documents\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Public\Desktop\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\MebDom\AppData\Local\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\Downloads\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\Documents\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\Desktop\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\AppData\Roaming\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\AppData\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default\AppData\Local\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\Downloads\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\Documents\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\Desktop\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\AppData\Roaming\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\AppData\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\Users\Default User\AppData\Local\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\ProgramData\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\ProgramData\Documents\README.txt
2020-01-18 16:41 - 2020-01-18 16:41 - 000000098 _____ C:\ProgramData\Desktop\README.txt
MSCONFIG\startupreg: 2917236 => 2917236
Reboot:
End::
2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Nemir
      Прошу помощи с шифровальщиком
      Автор Nemir
      Добрый день! Успешно словили шифровальщика scratch99@protonmail.com Если есть возможность расшифровать, прошу помочь. Прикладываю лог.
      CollectionLog-2020.01.23-21.03.zip
    • akozlov
      Зашифрованы все файлы на сервере
      Автор akozlov
      прикрепил вредоносный файл 
      выяснил что это крякл но все файлы разных расширений 
      1 Result Cryakl  
      README.txt

    • Сергей Чечулин
      Шифровальщик scratch99@protonmail.com
      Автор Сергей Чечулин
      Добрый день
      Словили шифровальщика, подозрение на Cryakl, но расшифровщики касперского не помогают.
      Прилагаю записку, комплект файлов и логи.
      В файлах пошифровано сравнительно небольшой начальный блок.
      Что можно сделать для расшифровки?
      CollectionLog-2020.01.18-05.03.zip
      CryaklCrypted.zip
    • UncleJeen
      Шифровальщик зашифровал все файлы и базы 1С
      Автор UncleJeen
      Добрый день форумчане! Подскажите, пожалуйста, что делать! Шифровальщик зашифровал все файлы приложений и баз данных 1С на компьютере.   на https://noransom.kaspersky.com/ru/ почитал, похожий на мой случай ничего не нашел. Шифровальщик просит обратиться для расшифровки на почту scratch99@protonmail.com. Помогите, комп является сервером баз данных 1С, работа стоит! Заранее благодарю за полный ответ с инструкциями действий. Так как  встречаюсь с этим впервые. Логи прилагаю
    • crin
      Поймали непонятного шифровальщика. Есть шансы на расшифровку?
      Автор crin
      Добрый день,
      Шифровальщик, судя по дате, отработал в нерабочее время, т.е. вроде никто ничего не запускал. Источник пока не нашли.

      Шифровальщик также смог достучаться до сетевой папки, НЕ подключенной в качестве диска. По дате изменений обнаружили, что шифровать начало именно с неё, в ней же, в самой первой папке появился файл 37 мегабайт, закамуфлированный под xlsx файл, а также на один килобайт изменился размер одного jpg изображения.
      Бэкапы сработали хорошо, поэтому наши потери от шифровальщика минимальные: придется переустановить винду на зараженном компе. При этом есть 100 гигабайт шифрованной информации и её незашифрованной копии. На файл 37 Мб подозрение, что это что-то типа базы данных ключей шифрования для файлов, а в файлик изображения, вероятно, еще один ключ впихнули.  Если нужно для анализа - можем предоставить.
      Резервирование товара - инструкция.docxscratch99@protonmail.com_sel11739585976-1577632703.zip
×
×
  • Создать...