Перейти к содержанию

Помощь в расшифровке XMRLocker

RCAV
 Поделиться

Рекомендуемые сообщения

RCAV

RCAV

Опубликовано
Опубликовано

Добрый день!

 

Прошу помощи в расшифровке файлов.

Напал XMRLocker.

Зашифровались в основном jpeg, doc, pdf.

Прикладываю как в инструкции необходимые файлы, а также сохраненные оригинальные копии зашифрованных pdf - архив OriginalDocs.rar.

Addition_19-08-2020 14.46.38.txt CryptedDocs_And_Readme.rar FRST_19-08-2020 14.46.38.txt OriginalDocs.rar

thyrex

thyrex

Опубликовано
Опубликовано
Цитата

HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION

Эти политики сами настраивали?
 

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код: 

Start::
CreateRestorePoint:
HKLM\...\Run: [CredSSP] => "C:\ProgramData\CredSSP\workout.exe"
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION
HKLM\...\Winlogon: [LegalNoticeCaption] Does the morning starts with coffee?
HKLM\...\Winlogon: [LegalNoticeText] All your files are encrypted by [XMRLocker] xmrlocker@goat.si
C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385
End::


2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.


 

  • 10 месяцев спустя...
Владимир_ADR

Владимир_ADR

Опубликовано
Опубликовано

Извиняюсь, что поднимаю старую тему, но хотелось-бы узнать - Вам помогли с расшифровкой файлов?

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • karas_mk
      Проблема с шифровальщиком (XMRLOKER)
      Автор karas_mk
      Приветствую всех!
      Зашифровался КД, и файловый сервер + диск с бэкапами
      Зашифрованные файлы.7z Послание.7z Результаты сканирования.7z
       
      Сообщение от модератора kmscom Тема перенесена из раздела Правила раздела и ответы на частые вопросы  
    • AndrewD64
      [Без расшифровки] Помогите пожалуйста с удалением шифровальщика
      Автор AndrewD64
      Помогите пожалуйста удалить шифровальщик из системы, зашифровался сервер с 1C есть возможность восстановления из бэкапов но нужно вывести заразу.

      Шифровальщик скорее всего новый, XMRLocker.
    • makcsab
      Помощь в очистке ПК после шифровальщика
      Автор makcsab
      Добрый день! Залетел шифровальщик, судя по всему через RDP  т.к. комп торчал нарушу портом ? (это уже исправили)
      Т.к. ПК был сразу выключен по питанию большого вреда нанести не удалось, но какие-то следы остались. 
      Из планировщика заданий было удалено задание которое запускало файл XMRLocker.exe который в свою очередь должен был лежать в папке ProgramData (его там не обнаружено).
      Прошу помощи в удалении возможных остатков этой заразы.
       
      FRST.txt Shortcut.txt Addition.txt
    • Феоктистов Артем
      Зашифровали файлы excel XMRLocker
      Автор Феоктистов Артем
      Доброго дня, сегодня обнаружили зашифрованные файлы, посмотрите пожалуйста можно ли расшифровать.
       
      Addition.txt FRST.txt зашифрованные.zip
    • Владимир_ADR
      Словил XMRLocker
      Автор Владимир_ADR
      Собственно поймал шифровальщик XMRLocker. Для расшифровки могу предоставить сами зашифрованные файлы, так и оригинальные которые лежали на внешнем хранилище. На момент "шифрования" никакой лицензии Касперского не было.
×
×
  • Создать...