[РЕШЕНО] Зашифрованы файлы

[Vet]

Доброго времени суток.

 

Компьютер поймал вирус шифровальщик.

Пока я боролся, как мог, с вирусом, большая часть файлов оказалась за шифрована.

Прошу помощи с расшифровкой файлов. Если расшифровать не получится, то как вычистить компьютер от зашифрованных файлов, чтоб на засоряли винт.

 

Архив с логами и архив с письмом от вируса, зашифрованным файлом и его оригиналом прилагаю.

 

 

Zashifrovaniy.zip

CollectionLog-2020.04.01-08.17.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Vet]

В опциях сканирования нет Drivers MD5 вместо него SigCheckExt

 

Отчеты прилагаю

FRST.txt

Addition.txt

[mike 1]

Admin (S-1-5-21-326271028-4263890254-319847655-1001 - Administrator - Enabled) => C:\Users\Admin

Admin2 (S-1-5-21-326271028-4263890254-319847655-1004 - Administrator - Enabled) => C:\Users\Admin2

Cuctema (S-1-5-21-326271028-4263890254-319847655-1010 - Administrator - Enabled) => C:\Users\Cuctema

Незнакомые УЗ отключайте и удаляйте. 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в кодировке Юникод в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
virustotal: C:\Program Files (x86)\AYvReYhPNioe.exe
virustotal: C:\Users\Admin\AppData\Roaming\BeUvIPeUQ.exe
C:\Users\Admin\AppData\Roaming\BeUvIPeUQ.exe
2017-09-29 16:42 - 2017-09-29 16:42 - 000174592 _____ (Microsoft Corporation) C:\Program Files (x86)\AYvReYhPNioe.exe
folder: C:\Users\Cuctema\AppData\Local\Comms
folder: C:\Users\Cuctema\Downloads
zip:C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

[Vet]

По учетным записям: Admin - это моя рабочая учетка, Admin2 - давно создавалась, не помню зачем. Cuctema - эту запись я не создавал. Увидеть и удалить я ее смог только через меню выполнить "netplwiz"

Учетные записи Admin2 и Cuctema удалил.

 

лог и архив прилагаю

02.04.2020_08.54.11.zip

Fixlog.txt

[thyrex]

 

 

Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

А Вы зачем-то прикрепили его к сообщению на форуме.

[mike 1]

Ваши файлы зашифрованы с помощью Trojan-Ransom.Win32.Cryakl версии 1.8. На форуме с расшифровкой не поможем. Можете попробовать создать запрос на расшифровку. https://forum.kasperskyclub.ru/index.php?showtopic=48525

 

Смените все пароли. Доступ по RDP извне рекомендую закрыть, либо подумать об использовании связки VPN + RDP. 

[Vet]

 

Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

А Вы зачем-то прикрепили его к сообщению на форуме.

 

Извиняюсь, загрузил через форму

 

Смените все пароли. Доступ по RDP извне рекомендую закрыть, либо подумать об использовании связки VPN + RDP. 

 

Как закрыть доступ?

Какие файлы прикреплять на форум касперского?

Изменено 2 апреля, 2020 пользователем Vet

[mike 1]

 

 

Как закрыть доступ?

Спросите в соседнем разделе.

 

 

 

Какие файлы прикреплять на форум касперского?

На форуме никакие. В личном кабинете несколько зашифрованных файлов и сам шифровальщик (если имеется).

[Vet]

Еще будем что-то делать или на этом все?

 

Просто мне нужно восстановить жизнеспособность компьютера, много программ зашифровано и практически ни одна из них не работает полноценно.

[mike 1]

На форуме нет. 

[Vet]

Получил ответ от Лаборатории Касперского: 

 

По Вашим файлам проведена проверка. Установлено, что файлы зашифрованы Trojan-Ransom.Win32.Cryakl. .
Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной в настоящий момент.

 

Тему можно закрывать.

 

Всем спасибо за участие!

[mike 1]

<p>Мы были рады Вам помочь!<br />Надеемся, что Вы остались довольны результатом.<br />На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить компьютерные технологии, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно!<br />Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы!<br />Будем рады видеть Вас в наших рядах!<br />Всегда ваш, фан-клуб "Лаборатории Касперского".</p>