Помогите с шифровальщиком neitrino

Printable View

Показывать 40 сообщений этой темы на одной странице

10.01.2017, 13:46
candibober

Вложений: 1

Помогите с шифровальщиком neitrino

Сегодня зашифровались данные на диске одного из сотрудников.
к файлам добавилось расширение - neitrino

в папках, где побывал вирус, найден файл следующего содержания -

Запросить стоимость декриптора можно, написав письмо на адрес: [EMAIL="[email protected]"][email protected][/EMAIL]
В ТЕМЕ письма укажите ваш ID: 6241649786
Письма без указания ID игнорируются.
Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.
Вы можете их окончательно испортить и даже оригинальный декриптор не поможет.
Приобрести декриптор можно до 13.01.2017
Заявки обрабатываются автоматической системой.

Помогите с дешифрацией данных, пожалуйста.
Заранее благодарю.
10.01.2017, 13:48
Info_bot

Уважаемый(ая) [B]candibober[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.01.2017, 16:42
SQ

Здравствуйте,

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
11.01.2017, 17:13
candibober

Вложений: 2

Добрый день,
спасибо за ответ.
Прикладываю файлы.
11.01.2017, 18:21
SQ

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
BHO: Norton Vulnerability Protection -> {6D53EC84-6AAE-4787-AEEE-F4628F01010C} -> C:\Program Files\Symantec.cloud\EndpointProtectionAgent\Engine\21.5.0.19\IPS\IPSBHO.DLL => No File
FF SearchPlugin: C:\Users\tgurova\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\MESSAGE.txt [2017-01-10]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [iikflkcanblccfahdhdonehdalibjnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Павел\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Павел\AppData\Roaming\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Павел\AppData\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\Downloads\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\Documents\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\AppData\Roaming\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\AppData\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор\AppData\Local\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\Downloads\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\Documents\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\Desktop\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\AppData\Roaming\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\AppData\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Администратор.000\AppData\Local\MESSAGE.txt
2017-01-10 10:20 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:19 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\Downloads\MESSAGE.txt
2017-01-10 10:14 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\Documents\MESSAGE.txt
2017-01-10 10:13 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\Desktop\MESSAGE.txt
2017-01-10 10:12 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\AppData\Roaming\MESSAGE.txt
2017-01-10 10:10 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\AppData\LocalLow\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Все пользователи\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\tgurova\AppData\Local\Apps\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Public\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Public\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Public\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ionopa\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\AppData\LocalLow\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\ekozlova\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Default User\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Consplus\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\AppData\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\AppData\LocalLow\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\Administrator\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\Downloads\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\Documents\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\Desktop\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\AppData\Roaming\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\AppData\LocalLow\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 00000417 _____ C:\ProgramData\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\Downloads\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\Documents\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\Desktop\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\AppData\Roaming\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\AppData\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\AppData\LocalLow\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin\AppData\Local\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\AppData\MESSAGE.txt
2017-01-10 10:03 - 2017-01-10 11:02 - 00000417 _____ C:\Users\admin.VENTUR\AppData\Local\MESSAGE.txt
2017-01-10 09:56 - 2017-01-10 11:02 - 00000417 _____ C:\Users\MESSAGE.txt
File: C:\Windows\upwpmhlp.dll
2017-01-10 10:12 - 2017-01-10 11:02 - 0000417 _____ () C:\Users\tgurova\AppData\Roaming\MESSAGE.txt
2017-01-10 10:12 - 2017-01-10 11:02 - 0000417 _____ () C:\Users\tgurova\AppData\Roaming\Microsoft\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 0000417 _____ () C:\Users\tgurova\AppData\Local\MESSAGE.txt
2017-01-10 10:04 - 2017-01-10 11:02 - 0000417 _____ () C:\ProgramData\MESSAGE.txt
File: C:\ProgramData\UserProfileMigrationService.exe
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
12.01.2017, 17:14
candibober

Вложений: 1

Добрый день,
12.01.2017, 20:18
SQ

К сожалению с расшифровкой не поможем.

P.S. Не удаляйте каталог C:\FRST до тех пор пока не решите вопрос с расшифровкой.
12.01.2017, 21:23
candibober

Мне прислали декриптор, но он не сработал.
Вы можете его посмотреть?
13.01.2017, 00:36
SQ

Пришлите дескриптор с образцами нерасшифровавшихся файлов выкладывает на [url]www.sendspace.com[/url].
в следующем сообщение приложите ссылку на архив.
13.01.2017, 09:03
candibober

Добрый день,

sendspace у меня что-то не открылся, я выложил здесь [url]https://cloud.mail.ru/public/BgZk/njzTFvnkd[/url]
внутри этого архива, есть архив с декриптором. Для него пароль - 123

Подскажите, на компьютере еще есть активный шифровальщик? Вновь созданные файлы под угрозой или нет?

Спасибо.
13.01.2017, 11:02
thyrex

Дешифровку запускаете на компьютере с именем EKOZLOVA?
13.01.2017, 11:33
candibober

Да, конечно.
13.01.2017, 11:57
thyrex

Какую ошибку показывает дешифратор?
13.01.2017, 12:02
candibober

В интерфейсе никакой.
На кнопке,где было написано DECRYPT->WORKING, появляется DONE.
И создаются файлы с правильным именем, но размером 0 байт.
Заканчивается все довольно быстро, не более 2-4 минут.

В папке, где запускался дешифратор, никаких логов не создается.
13.01.2017, 12:59
thyrex

Ну тогда придется изучать дешифратор, на что потребуется время
13.01.2017, 14:01
candibober

[QUOTE=thyrex;1426377]Ну тогда придется изучать дешифратор, на что потребуется время[/QUOTE]

Подскажите, а можно как-нибудь ускорить процесс? За donate или через Помогите+ ?
Спасибо.
13.01.2017, 14:26
thyrex

Увы, тут все упирается в наличие (точнее отсутствие) свободного времени. У меня ведь и по основной работе дел хватает
13.01.2017, 15:13
candibober

[QUOTE=thyrex;1426395]Увы, тут все упирается в наличие (точнее отсутствие) свободного времени. У меня ведь и по основной работе дел хватает[/QUOTE]

Понял. Буду ждать.
Заранее спасибо.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=thyrex;1426377]Ну тогда придется изучать дешифратор, на что потребуется время[/QUOTE]

Подскажите, как можно узнать, шифровальщик еще сидит на компе или он после перезагрузки перестает работать?
И то что они пишут про 13 января - этой фейк?
13.01.2017, 21:56
thyrex

[quote="candibober;1426400"]И то что они пишут про 13 января - этой фейк?[/quote]скорее всего да. По крайней мере в предыдущих версиях еще была проверка даты. Сейчас [B]беглый[/B] анализ ее не показывает

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вопрос: файлы не расшифровываются в любой папке? У меня по какой-то причине не хочет брать файлы только в папке Мои документы
13.01.2017, 22:15
candibober

После запуска дешифратора я ни одного расшифрованного файла не находил, только файлы размером 0 байт.

У вас файлы расшифровываются успешно?

Показывать 40 сообщений этой темы на одной странице