Вложений: 5
Суть проблемы: В бухгалтерии произошёл сбой работы программы, при беглом анализе было выявлено, что почти все файлы с расширениями doc, dbf, xls, pdf, jpg получили расширение [EMAIL="[email protected]"][email protected][/EMAIL] и переименованием проблема не решается. Была заражена как машина пользователя, так и сетевой диск к которому этот пользователь имел доступ. К обязательному списку файлов добавляю проблемные файлы для анализа и поиска дешифратора.
Вложений: 3
Логи AVZ и hijackthis обновил
Логи AVZ и hijackthis обновил, найденное mbam - удалил, повторная проверка затянулась, как только закончится, обновлю лог mbam. Вопрос, когда можно будет получить декриптор, что бы восстановить зашифрованные файлы?
Вложений: 1
Удалил ВСЁ найденное MBAM и высылаю лог
[QUOTE=mike 1;1116522]В MBAM удалите все найденное. После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.[/QUOTE]
Удалил ВСЁ найденное MBAM и высылаю лог. Жду решения о расшифровке файлов пользователя.
Вложений: 2
Очиска в AdwCleaner v3.210 проведена
Всё подчистил.
Что нужно, что бы восстановить зашифрованные файлы?
Какова вероятность их расшифровки???
Я в Вашем форуме видел, что кому то Вы помогли восстановить файлы, предоставив дешифратор.
У меня есть честная лицензия KAV, но их тех.поддержка вообще не отвечает :-(
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
[QUOTE=mike 1;1117836]
Файлы без оригинального дешифратора не получится восстановить.[/QUOTE]
Нашёл у Вас на форуме, что можно попробовать RectorDecryptor и XoristDecryptor - ректор по крайней мере смог определить наличие зашифрованных файлов, а хорист ничего не нашёл.
[CODE]
16:21:53.0092 0x2350 Trojan-Ransom.Win32.Rector decryptor tool 2.6.24.0 Apr 23 2014 22:48:52
16:21:55.0092 0x2350 ============================================================
16:21:55.0092 0x2350 Current date / time: 2014/05/20 16:21:55.0092
16:21:55.0092 0x2350 SystemInfo:
16:21:55.0092 0x2350
16:21:55.0092 0x2350 OS Version: 6.1.7601 ServicePack: 1.0
16:21:55.0092 0x2350 Product type: Workstation
16:21:55.0092 0x2350 ComputerName: ANDREY-W7
16:21:55.0092 0x2350 UserName: Andrey
16:21:55.0092 0x2350 Windows directory: C:\Windows
16:21:55.0092 0x2350 System windows directory: C:\Windows
16:21:55.0092 0x2350 Processor architecture: Intel x86
16:21:55.0092 0x2350 Number of processors: 4
16:21:55.0092 0x2350 Page size: 0x1000
16:21:55.0092 0x2350 Boot type: Normal boot
16:21:55.0092 0x2350 ============================================================
16:21:55.0093 0x2350 Initialize success
16:24:06.0051 0x252c ProcessDriveEnumEx: Drive B:\ type 4:0
16:24:06.0051 0x252c ProcessDriveEnumEx: Drive C:\ type 3:0
16:24:06.0051 0x252c ProcessDriveEnumEx: Drive D:\ type 3:0
16:24:06.0051 0x252c ProcessDriveEnumEx: Drive E:\ type 5:0
16:24:06.0051 0x252c ProcessDriveEnumEx: Drive F:\ type 2:0
16:24:06.0141 0x252c Found suspicious file: F:\$RECYCLE.BIN\S-1-5-21-2024182186-3713291217-3137328193-1000\$R02JVJ5\[email protected]
16:24:07.0231 0x252c This is Trojan-Ransom.Win32.Rector, but key not found for file: F:\$RECYCLE.BIN\S-1-5-21-2024182186-3713291217-3137328193-1000\$R02JVJ5\[email protected]
[/CODE]
Вложений: 1
Образцы файлов до и после шифрования
Вот один из файлов базы данных пострадавших от шифрования, есть пустая и заполненная база, соответсвенно в пустой только названия полей без цифр. Зашифрованные файлы так же есть как с пустой так и с заполненной базой. Надеюсь удастся подобрать ключ по этим файлам.
Получил Дешифратор от NOD32 - всё расшифровывается нормально :)
Хочу поделиться радостью, мне ответили ребята из NOD32 - прислали дешифратор, процесс рашифровки во всю идёт - всё расшифровывется без проблем из 5-8тысяч файлов не более 1% битых, в основном .dbf :-)
[code]
Здравствуйте!
В приложенном архиве находится дешифратор (пароль на архив: clean).
Запуск дешифратора необходимо производить через командную строку (Пуск - Все программы - Стандартные - Командная строка, для Windows 7 необходимо запускать командную строку от имени администратора).
Скопируйте файлы из архива, к примеру, в корень диска C:\.
В командной строке введите путь к папке, в которой находится декодер, например: cd c:\ и нажмите Enter.
Использование:
ESETFilecoderWCleaner.exe /b <имя файла или директории>
Примеры использования:
Для обработки одного файла - используйте "ESETFilecoderWCleaner.exe /b C:\the_it.pdf".
Пожалуйста, будьте внимательны и запишите имя файла "как есть" (с прописными и строчными буквами).
Для того, чтобы обработать все зашифрованные файлы, к примеру, в директории C:\photo и всех её подкаталогах, используйте "ESETFilecoderWCleaner.exe /b C:\photo"
Мы рекомендуем попробовать дешифрацию только одного файла, чтобы убедиться, что это правильная версия декодера!
Если версия декодера не соответствует требуемой, файлы будут неправильно дешифрованы.
http://yadi.sk/d/8Ryae0N4S6gNt
пароль: clean
[/code]
Проясню для ясности:
У меня есть корпоративная лицензия на Касперского и там мне сказали, что пока нет дешифратора и соответсвенно ничем не могут помочь. Я обратился на этот форум, к Др.Вебу и в NOD32. Др.Веб не смог определить вирус в присланном файле с вирусом и не отвечал на дальнейшие вопросы ибо помощь только "клиентам". А вот в NOD32 заинтересовались и довольно быстро (спустя примерно неделю после обращения) прислали архив с дешифровщиком и инструкцией по расшифровке. Из примерно 5-8тысяч файлов примерно 1% битых т.е. расшифровщик написал, что расшифровать не удалось и это как правило относилось к базам данных dbf. Расшифровывает очень быстро, результат видно сразу т.е. натравил расшифровщик на диск и следя за процессом проверял расшифрованные файлы.
