Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)
Прекращение поддержки email

прошу помощи в расшифровке файлов, или в очистке последствий

localhost
 Поделиться

Рекомендуемые сообщения

localhost

localhost

Опубликовано
Опубликовано (изменено)

Добрый день, словили шифровальщик, в итоге все файлы зашифрованы. Подскажите, пожалуйста, возможна ли расшифровка? Если нет - то какие действия от меня требуются для очистки системы от последствий? Заранее благодарен. 
Ниже прикладываю требуемые файлы (логи FRST, два зашифрованных файла).

FRST.txt Касса.xlsx[paybackformistake@qq.com].zip надпись реализация.odt[paybackformistake@qq.com].zip Addition.txt

Изменено пользователем localhost
опечатка
Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Расшифровки этой версии нет.

 

Чистим:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
Startup: C:\Users\1cadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
Startup: C:\Users\Bakieva\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
Startup: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
Startup: C:\Users\DefaultAppPool\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2021-12-15] () [Файл не подписан]
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2021-12-15 21:05 - 2021-12-15 21:05 - 000001792 _____ C:\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\Downloads\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\Documents\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\Desktop\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\AppData\LocalLow\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\AppData\Local\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\Администратор\AppData\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\User\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\User\Downloads\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\User\Documents\how_to_decrypt.hta
2021-12-15 21:04 - 2021-12-15 21:04 - 000001792 _____ C:\Users\User\Desktop\how_to_decrypt.hta
2021-12-15 21:03 - 2021-12-15 21:03 - 000001792 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 21:03 - 2021-12-15 21:03 - 000001792 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 21:03 - 2021-12-15 21:03 - 000001792 _____ C:\Users\User\AppData\Roaming\how_to_decrypt.hta
2021-12-15 21:03 - 2021-12-15 21:03 - 000001792 _____ C:\Users\User\AppData\LocalLow\how_to_decrypt.hta
2021-12-15 21:03 - 2021-12-15 21:03 - 000001792 _____ C:\Users\User\AppData\how_to_decrypt.hta
2021-12-15 21:02 - 2021-12-15 21:13 - 000002240 _____ C:\Users\1cadmin\Documents\Default.rdp
2021-12-15 21:00 - 2021-12-15 21:00 - 000001792 _____ C:\Users\User\AppData\Local\how_to_decrypt.hta
2021-12-15 21:00 - 2021-12-15 21:00 - 000001792 _____ C:\Users\DefaultAppPool\how_to_decrypt.hta
2021-12-15 21:00 - 2021-12-15 21:00 - 000001792 _____ C:\Users\DefaultAppPool\Downloads\how_to_decrypt.hta
2021-12-15 21:00 - 2021-12-15 21:00 - 000001792 _____ C:\Users\DefaultAppPool\Documents\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\Desktop\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\AppData\Roaming\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\AppData\LocalLow\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\AppData\Local\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\DefaultAppPool\AppData\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\Documents\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\AppData\Local\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Default\AppData\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Bakieva\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Bakieva\Downloads\how_to_decrypt.hta
2021-12-15 20:59 - 2021-12-15 20:59 - 000001792 _____ C:\Users\Bakieva\Documents\how_to_decrypt.hta
2021-12-15 20:58 - 2021-12-15 20:58 - 000001792 _____ C:\Users\Bakieva\Desktop\how_to_decrypt.hta
2021-12-15 20:58 - 2021-12-15 20:58 - 000001792 _____ C:\Users\Bakieva\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 20:58 - 2021-12-15 20:58 - 000001792 _____ C:\Users\Bakieva\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 20:58 - 2021-12-15 20:58 - 000001792 _____ C:\Users\Bakieva\AppData\Roaming\how_to_decrypt.hta
2021-12-15 20:58 - 2021-12-15 20:58 - 000001792 _____ C:\Users\Bakieva\AppData\LocalLow\how_to_decrypt.hta
2021-12-15 20:58 - 2021-12-15 20:58 - 000001792 _____ C:\Users\Bakieva\AppData\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\Bakieva\AppData\Local\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\Downloads\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\Documents\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\Desktop\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\AppData\Roaming\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\AppData\LocalLow\how_to_decrypt.hta
2021-12-15 20:56 - 2021-12-15 20:56 - 000001792 _____ C:\Users\1cadmin\AppData\how_to_decrypt.hta
2021-12-15 20:55 - 2021-12-15 20:55 - 000001792 _____ C:\Users\Public\Desktop\how_to_decrypt.hta
2021-12-15 20:55 - 2021-12-15 20:55 - 000001792 _____ C:\Users\1cadmin\AppData\Local\how_to_decrypt.hta
2021-12-15 20:55 - 2021-12-15 20:55 - 000001792 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-12-15 20:55 - 2021-12-15 20:55 - 000001792 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-12-15 20:54 - 2021-12-15 20:54 - 000001792 _____ C:\ProgramData\how_to_decrypt.hta
2021-12-15 20:54 - 2021-12-15 20:54 - 000001792 _____ C:\Program Files (x86)\how_to_decrypt.hta
2021-12-15 20:53 - 2021-12-15 20:53 - 000001792 _____ C:\Program Files\how_to_decrypt.hta
2021-12-15 20:52 - 2021-12-15 20:52 - 000001792 _____ C:\Program Files\Common Files\how_to_decrypt.hta
2021-12-15 20:51 - 2021-12-15 20:51 - 000001792 _____ C:\Users\how_to_decrypt.hta
AlternateDataStreams: C:\Users\Bakieva:Index [148]
AlternateDataStreams: C:\Users\User:Index [148]
FirewallRules: [{59F4892A-B992-417D-A7AE-73B8BE18A87C}] => (Allow) LPort=80
FirewallRules: [{B72C70FD-2539-4F1D-B498-9D18EC489967}] => (Allow) LPort=475
FirewallRules: [{EC0247C3-B541-4A4B-81E6-25EC7605D9D8}] => (Allow) LPort=475
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Меняйте пароль на учётную запись администратора и пароли на подключение по RDP.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Valek777
      зашифрованы файлы
      Автор Valek777
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: 419D9A8EFC43B7B3A621|0 на электронный адрес decode00001@gmail.com или decode00002@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 419D9A8EFC43B7B3A621|0 to e-mail address decode00001@gmail.com or decode00002@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data. CollectionLog-2015.03.27-22.57.zip
    • СергейПенза
      Вирус шифровальщик *zmsgrcl
      Автор СергейПенза
      Здравствуйте! Вирус зашифровал офисные файлы, .pdf, .jpeg, архивы. У всех файлов добавлено расширение .zmsgrcl
      Прикрепляю 2 версии одного файла, зашифрованную и обычную, рабочую, так же CureIt нашел тело вируса(2 файла с одинаковым размером, но разными именами), временная активность совпадает с временем поражения. Так же прикрепляю логи. Пароль на архив infected
      Заранее спасибо!
       

      Строгое предупреждение от модератора Roman_Five Зловреда выкладывать не надо! CollectionLog-2015.01.29-11.52.zip
    • vi-ego
      Вирус-шифровальщик
      Автор vi-ego
      Всем добрый день. У меня такая вот проблемка. На днях user  открыл почтовое сообщение в котором было тело вируса и естественно его запустил по незнанию, в результате в течении минуты были зашифрованы все файлы на его рабочей машине. Помогите исправить, как можно дешифровать данные? Все нужные файлы во вложении. Ни в коем случае не запускаем файл с расширением . exe иначе Ваши файлы все зашифруются..
       
       

      Сообщение от модератора Карантин в теме Doc1.doc
    • vkams
      Шифровальщик .no_more_ransom [Shade Ransomware]
      Автор vkams
      Пользовательница открыла .zip-файл якобы из налоговой. По её словам, антивирус nod32 предупредил и, вроде, не дал выполнить. Через 30 мин, заметив проблемы с базой The bat! (часть писем не показывалась), обратилась ко мне. Я обнаружил признаки шифрования, по одной из тем в этом разделе убил 'C:\ProgramData\Windows\csrss.exe' с помощью AVZ, но огромное количество файлов и папок уже зашифрованы. Последующая проверка с помощью Kaspresky Security Scan, DrWeb CureIt!, Malwarebytes показали, что других заражений нет. Отчёты FRST прилагаю. 
       
      Есть ли расшифровщик?

      Папка quarantine была пустой, так что, может, ничего при запуске AVZ и не убилось, разве что перезагрузка прервала работу шифровальщика. Действовал в цейтноте, не слишком разумно... .
      Addition.zip
      FRST.zip
    • ArtMaster7
      Шифровщик email-moshiax@aol.com
      Автор ArtMaster7
      Доброго времени суток.
      Помогите....
      Получил 02.12.2015 письмо из налоговой, открыл и появились проблемы....
       
      CollectionLog-2016.01.17-01.05.zip
×
×
  • Создать...