cryakl 1.8.0.0 [БЕЗ РАСШИФРОВКИ] [reddragon000@protonmail.com_sel1] ibahjdfkmobr

[wurgiz1]

Поймали шифровальщика... файл зашифрованый можно излечится (розшифровать) от этого?

Внест.doc[reddragon000@protonmail.com_sel1][1722894165-1591395297].jxs.yvf.zip

[mike 1]

https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

[wurgiz1]

CollectionLog-2020.06.09-13.28.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте! 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 DeleteService('block_reader');
 DeleteService('WindowsDefend');
 StopService('WindowsDefend');
 TerminateProcessByName('c:\windows\fonts\w\wa\wahiver.exe');
 QuarantineFile('c:\windows\fonts\w\wa\wahiver.exe','');
 TerminateProcessByName('c:\windows\fonts\w\svchost.exe');
 QuarantineFile('c:\windows\fonts\w\svchost.exe','');
 DeleteFile('c:\windows\fonts\w\svchost.exe','32');
 DeleteFile('c:\windows\fonts\w\wa\wahiver.exe','32');
 DeleteFile('C:\Program Files (x86)\Multi Password Recovery\block_reader.sys','64');
ExecuteSysClean;
end.

 

Перезагрузите сервер. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.
1. В заголовке письма напишите "Карантин".
2. В письме напишите ссылку на Вашу тему.
3. Прикрепите файл карантина и нажмите "Отправить"

 

Сделайте новые логи Автологгером. 
 

[wurgiz1]

Mail delivery failed: returning message to sender

 

не могу отправить.

 

 

quarantine.zip на обменник скинул

 

А есть шансы на расшифровку ? ?

[mike 1]

По расшифровке: необходимо уточнить в техподдержке, хотя шансов у Вас мало. 

 

Жду новые логи.  

[wurgiz1]

извините что долго... как говорится беда не ходит одна.

CollectionLog-2020.06.10-08.11.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[wurgiz1]

FRST.txt Addition.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   HKLM-x32\...\Run: [1039582] => 1039582
   HKU\S-1-5-21-3807818289-498084577-1622329469-1039\...\Run: [Costrip] => C:\Users\stas\AppData\Roaming\Costrip\python\pythonw.exe [95760 2019-07-08] (Python Software Foundation -> Python Software Foundation) <==== ATTENTION
   Task: {19D0DA9B-6D8B-4469-8E30-41098DCC7709} - System32\Tasks\WMICRestore => wmic SHADOWCOPY DELETE
   Task: {64B45457-F16F-438E-9974-7ADFF9D05C54} - System32\Tasks\Costrip => C:\Users\stas\AppData\Roaming\Costrip\python\pythonw.exe [95760 2019-07-08] (Python Software Foundation -> Python Software Foundation) <==== ATTENTION
   Task: {8370556E-A609-429A-8072-48728D77DBBB} - System32\Tasks\Costrip2 => C:\Users\stas\AppData\Roaming\Costrip\python\pythonw.exe [95760 2019-07-08] (Python Software Foundation -> Python Software Foundation) <==== ATTENTION
   Task: {C3833089-314B-467A-BC6C-C1B21E6D8D6C} - System32\Tasks\VssDataRestore => vssadmin [Argument = delete shadows /all /quiet]
   Task: {08DFCA16-6BC3-4B49-A691-12EB761357D1} - System32\Tasks\WBadminBackupRestore => wbadmin [Argument = DELETE BACKUP -keepVersions:0]
   Task: {D74317BD-5EF1-43BC-97F8-887834111B4D} - System32\Tasks\WBadminSystemRestore => wbadmin [Argument = DELETE SYSTEMSTATEBACKUP -keepVersions:0]
   2020-04-03 10:19 - 2020-06-05 22:16 - 000000000 ____D C:\Users\Все пользователи\s1u25
   2020-04-03 10:19 - 2020-06-05 22:16 - 000000000 ____D C:\Users\stas\AppData\Roaming\Costrip
   2020-04-03 10:19 - 2020-06-05 22:16 - 000000000 ____D C:\ProgramData\s1u25
   
   2020-04-09 14:32 - 2008-11-24 15:07 - 000636928 _____ (psLib) C:\Program Files\psBackup.exe
   

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
   

[wurgiz1]

 архива Дата_время.zip не было

Fixlog.txt

[mike 1]

Файлы зашифрованы с помощью Crylock версии 1.8.0.0. Не самая последняя версия, возможно смогут помочь в техподдержке. Пишите запрос 

 

[wurgiz1]

Спасибо!!! А по Вашему опыту это долго будет и насколько шансы велики? 

[mike 1]

Ответ дадут в течении нескольких рабочих дней. Если будет возможна расшифровка, то процесс ожидания может затянуться где-то до 4-5 рабочих дней. Версия 1.9 поддавалась расшифровке, а так сложно сказать, каждый случай индивидуален. 

Изменено 10 июня, 2020 пользователем mike 1

[thyrex]

В версии 1.8 пытаться сбрутить пароль тоже нереально. Слишком большая разбежка между двумя частями при генерации ключа может оказаться на современных процессорах.