Перейти к содержанию

Поймали вирус-шифровальщик [Thomaskey@cock.li].ROGER


Рекомендуемые сообщения

Добрый день!

 

Сегодня придя на работу обнаружил на рабочем столе картинку, смысл которой 

Ваши файлы зашифрованы и т.д. и т.п.

Все файлы поменялись на вот такое расширение [Thomaskey@cock.li].ROGER 

Скачал по ссылке Вашего форума программу  Farbar Recovery Scan Tool и запустил как было описано. Получил два файла FRST.txt и Addition.txt и заархивировал.

 

Прошу помощи. Есть ли шанс расшифровать файлы?


Архив с файлами FRST.txt и Addition.txt

FRST.rar

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Ran by inna (ATTENTION: The user is not administrator)

Утилиту нужно запускать правой кнопкой от имени администратора. Переделайте.
Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Зашёл под администратором: выдало две ошибки при входе в систему, в архиве принт скрин

 

От имени администратора запустил и переделал: Архив с файлами FRST.txt и Addition.txt

Addition.rar

Ссылка на комментарий
Поделиться на другие сайты

Пользователь с именем user111 - ваш? Если нет, отключите или удалите.
Тип вымогателя Dharma или Crysis по терминологии ЛК. К сожалению, расшифровки нет.

Ошибки вероятно из-за того, что повреждены ярлыки запуска этих программ.
Смените пароли на RDP.

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты

user111 наш пользователь

Скачал Вашу программу и сделал так как описано. 

Лог прикрепил

SecurityCheck.txt

Изменено пользователем DJSTR
Ссылка на комментарий
Поделиться на другие сайты

------------------------------- [ Windows ] -------------------------------

Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз

Internet Explorer 11.0.9600.19596 [+]

Контроль учётных записей пользователя отключен (Уровень 1)

^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^

--------------------------- [ OtherUtilities ] ----------------------------

TeamViewer 7 v.7.0.43148 Внимание! Скачать обновления

-------------------------------- [ Arch ] ---------------------------------

7-Zip 9.20 (x64 edition) v.9.20.00.0 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.

-------------------------------- [ Java ] ---------------------------------

Java 8 Update 231 (64-bit) v.8.0.2310.11 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u241-windows-x64.exe)^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe AIR v.26.0.0.127 Внимание! Скачать обновления

----------------------------- [ EmailClient ] -----------------------------

Mozilla Thunderbird 52.6.0 (x86 ru) v.52.6.0 Внимание! Скачать обновления

---------------------------- [ UnwantedApps ] -----------------------------

Skype Click to Call v.8.5.0.9167 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

 

 

Перечисленное постарайтесь по возможности обновить/исправить.

 

Смените пароли на RDP

Читайте Рекомендации после удаления вредоносного ПО

Ссылка на комментарий
Поделиться на другие сайты

Sandor, спасибо, приехал системный администратор, сказал что бесполезно что-либо дешифровать.

Подскажите, а дешифраторы вообще существуют для таких вирусов или это как пишут на всех без исключениях форумах физически трудоёмкий процесс занимающий огромное количество времени?

 

В корневой папке диска c:\ кстати появилась папка ($$$wintemp _$$$), совпадающая по времени с изменениями по шифрованию всех файлов на компьютере.

Запаковал на всякий случай эту папку и прикладываю сюда, может там как раз есть ключ к разгадке.

 

 

$$$wintemp_$$$.rar

Ссылка на комментарий
Поделиться на другие сайты

а дешифраторы вообще существуют

Да, но не для вашего типа вымогателя.

 

Запаковал на всякий случай эту папку

Нет, там тоже зашифрованы файлы.
Ссылка на комментарий
Поделиться на другие сайты

С администратором поманипулировали с компьютером где всё зашифровало, поставили 10 WINDOWS и при входе под User111 нашелся Avast-ом этот вирус:

Win32:RansomX-gen [Ransom] FUFIRID.exe

 

извлёк файл FUFIRID.exe, поместил его в папку RansomWare и добавил в архив, БУДЬТЕ КРАЙНЕ ОСТОРОЖНЫ - не запустите его

 

С этим можно что-то сделать или любые попытки тщетны?

 

Изменено пользователем Sandor
Убрал вредоносное вложение
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Gagik
      От Gagik
      Поймал вирус не знаю из за чего и ни чем не определяется почти,вроде как dwm процесс называется,при открытии диспетчера задач,не отображается и нагрузка сразу спадает,в простое нагревает процессор до 90 градусов
    • Максим Шахторин
      От Максим Шахторин
      Здравствуйте, ELPACO-team залетел в наш сервер, зашифровал 1с, если кто научился дешифровать, дайте знать. Хакеры указали не вменяемую сумму за ключ.
    • AndOrNot
      От AndOrNot
      Сегодня с утра обнаружилось, что файлы документов на системном диске сервера 1С зашифрованы шифровальщиком. В папках содержится файл FILES_ENCRYPTED.txt, файлы имеют расширение .ooo4ps, локальный диск E:, на котором содержались базы 1С, заблокирован Bitlocker. USB диск, подключенный к серверу и содержавший Windows Backup, пустой. Судя по времени создания файлов, вредонос работал утром в субботу. Прошу помощи.
       
      ooo4ps.zip
    • Insaff
      От Insaff
      Во всех расшареных папках зашифрованы файлы.
      Файлы имеют расширение ELPACO-team-***gCG***
      в некоторых папках лежит письмо с текстом
       
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted by ELPACO-team
      Your decryption ID is *****QR14*ELPACO-team-gCG****
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us
      1) eMail - el_kurva@tuta.io
      2) Telegram - @DataSupport911
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
       
      Написал я им на почту, пришел ответ, что надо заплатить 0,25 биткоина (получается около 1,5 млн)
      Есть ли Возможность у ко-нить за вознаграждение, чуть меньшее)) помочь с этим шифровальщиком.
       
       
      Молотки Можайск.pdf.zip
    • АлександрК879
      От АлександрК879
      Здравствуйте. Поймали эту мерзость.
      В файле virus.zip - сами зашифрованные файлы и требование
      В файле archiv.zip - те же файлы расшифрованные
      Логи остальное 
      Архив.zip virus.zip Addition.txt FRST.txt
×
×
  • Создать...