Помогите! Шифровальщик все зашифровал (

Printable View

10.04.2017, 11:56
DarKGryphon

Вложений: 2

Помогите! Шифровальщик все зашифровал (

День добрый. Шифровальщик на машине натворил делов - зашифровал все базы и документы (
Пишет такое:
Внимание! Все Ваши файлы зашифрованы!
Чтобы восстановить свои файлы и получить к ним доступ,
напишите электронное письмо по адресу [EMAIL="[email protected]"][email protected][/EMAIL]
и получите инструкции!
Не пытайтесь самостоятельно рассшифровать файлы это приведет к потере всех данных без возможности востановления!!
У вас есть 5 попыток ввода кода. При превышении этого
количества, все данные необратимо испортятся. Будьте
внимательны при вводе кода!
Прилагаю парочку файлов и отчет автологера.
Буду предельно рад если Вы мне поможете. Заранее спасибо)
10.04.2017, 11:58
Info_bot

Уважаемый(ая) [B]DarKGryphon[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.04.2017, 14:19
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\User\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\U\user.vbs','');
DeleteFile('C:\WINDOWS\system32\Tasks\DRPNPS','64');
DeleteFile('C:\Users\User\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\U\user.vbs','32');
DeleteFile('C:\WINDOWS\system32\Tasks\system','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
10.04.2017, 15:20
DarKGryphon

Вложений: 1

автолог

Логи в архиве
карантин не грузится, говорит так :
VirusInfo
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

менял имя по-разному, результат тот же ( Другие варианты загрузки есть ?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=DarKGryphon;1444624]Логи в архиве
карантин не грузится, говорит так :
VirusInfo
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

менял имя по-разному, результат тот же ( Другие варианты загрузки есть ?[/QUOTE]

Кстати, архив "карантин" пуст и весит 1Кб.
10.04.2017, 19:33
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
10.04.2017, 20:00
DarKGryphon

Вложений: 1

FRST

Addition.txt и FRST.txt
11.04.2017, 20:23
DarKGryphon

Есть какие ни будь подвижки ? Стоит рассчитывать на успех данной затеи ?)
11.04.2017, 20:45
thyrex

C:\ProgramData\MinerGate.exe - это файл Вам известен?

[quote="DarKGryphon;1444830"]Стоит рассчитывать на успех данной затеи ?)[/quote]
Конечно. А Вы готовы переслать мне всю груду зашифрованных файлов?

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2017-03-04] ()
Startup: C:\Users\def\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2017-03-04] ()
Startup: C:\Users\Olga\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2017-03-04] ()
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\link-agent — ярлык[email protected] [2017-02-07]
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2017-03-04] ()
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2017-03-15 08:33 - 2017-03-04 10:03 - 0007680 _____ () C:\Users\def\AppData\Local\Temp\odQDwByvs89jNt2.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
11.04.2017, 22:00
DarKGryphon

Вложений: 1

Файл MinerGate.exe мне неизвестен.
Лог в прикрепленном архиве.
Что Вы имеете в виду под грудой фалов? Все зашифрованные файлы ?) Готов прислать! для развития успеха!)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Какую роль может сыграть в данной ситуации тот факт, что мне удалось восстановить с винта некоторые удаленные после шифрования вирусом файлы? Файлы без имен и открыть на машине я их не могу - офис не запускается. Могу ли я открыть эти файлы на другой машине? (безопасно ли это ?). если да, то я могу попробовать найти файл в зашифрованном и нормальном видах и прислать оба Вам.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

и еще.. Антивирус нашел сие создание : Ransome:Win32/Sorikrypt.A и Trojan:Win32/Dynamer!ac
Сейчас они в карантине, что с ними делать? Пусть там пока повисят или можно удалять?
11.04.2017, 22:17
thyrex

[quote="DarKGryphon;1444849"]Файл MinerGate.exe мне неизвестен.[/quote]
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
2017-04-10 17:19 - 2017-04-10 19:34 - 00000000 ____D C:\Users\User\AppData\Local\svchost
2017-04-10 17:18 - 2017-03-26 10:53 - 00000000 ____D C:\Users\Все пользователи\Windows
2017-04-10 17:18 - 2017-03-26 10:53 - 00000000 ____D C:\Users\Все пользователи\MinerGate
2017-04-10 17:18 - 2017-03-26 10:53 - 00000000 ____D C:\ProgramData\Windows
2017-04-10 17:18 - 2017-03-26 10:53 - 00000000 ____D C:\ProgramData\MinerGate
2017-04-10 17:16 - 2017-03-26 10:54 - 13754938 _____ C:\Users\Все пользователи\MinerGate.exe
2017-04-10 17:16 - 2017-03-26 10:54 - 13754938 _____ C:\ProgramData\MinerGate.exe
Task: {0EB5723F-6EB1-4BED-9071-05CABCF54E43} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {118F4148-764C-49F0-A456-CB636FB0ADF9} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {1AF958B7-4823-4953-A0B8-0A0FD1EAD4CF} - \system -> No File <==== ATTENTION
Task: {1F31E48B-5F97-4F13-9551-7BDC14D7274F} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {2FF94175-4AEC-475F-8BFC-BF09235082AA} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {3D71887F-2114-4943-8F4A-8A6CE1006C40} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {48151B22-7DFF-4EC6-9E71-4F2CA28B00B1} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {48CE5E3F-2380-4A62-B883-02A60467414E} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {61F103F8-E44B-40E2-9E8F-FD231475AD23} - \WPD\SqmUpload_S-1-5-21-677773981-1080629566-124584782-1001 -> No File <==== ATTENTION
Task: {621FA8A5-CFCF-4F0E-AD16-48D008640CCA} - \DRPNPS -> No File <==== ATTENTION
Task: {63610268-4B6A-4D9C-BA12-0D345581D21C} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {8F745DFF-3B71-47BA-B8ED-BB31E53F7A97} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {952D44AD-5270-489D-81B5-20BA8757460C} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {E9E81284-FB7F-46D4-B296-113150A81A48} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {F060268C-6FB2-464B-A4A0-7E92A06AEF12} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {FED8420A-F2A7-4C41-B27F-ED8121C7549B} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]

[quote="DarKGryphon;1444849"]Готов прислать! для развития успеха!)[/quote]Расшифрованные файлы из первого сообщения во вложении
Архивируйте шифрованные файлы и выкладывайте на Яндекс диск
12.04.2017, 01:39
DarKGryphon

Архивы фалов имеют весьма непристойный вес ( ~26 Гб.
Залью в облако и немедленно отпишу, но может есть возможность расшифровать файлы прямо на машине ?
Я по ходу дела попробовал декриптор [url]https://decrypter.emsisoft.com/xorist[/url] на файлах из первого поста. Перетащил шифрованный и расшифрованный фалы на приложение... но увы, ключ не нашел (
12.04.2017, 05:49
thyrex

Заливайте частями на Яндекс диск
12.04.2017, 16:46
DarKGryphon

[url]https://yadi.sk/d/17LPi9Ru3GsrAx[/url]
Desktop и doc залиты полностью, остальное в процессе (думаю часа через 3 там будут все файлы)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Все файлы в облаке.
Яндекс диск говорит что первые архивы заражены вирусом и по открытой ссылке показывает все архивы кроме начальных
[url]https://yadi.sk/d/kcKopuCv3Gu8RB[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Файлы которые не видно в Яндексе, можно скачать тут [url]https://cloud.mail.ru/public/wv2h/NPRBzRA8G[/url]
13.04.2017, 07:08
thyrex

Мда, занятное дело. Неужели трудно было прислать только зашифрованные файлы, а не целиком папки, в которых они есть :)
Завтра-послезавтра надеюсь скачаю оставшиеся 20 частей архива doc, чтобы разархивировать без проблем.

Присылать буду только то, что было зашифровано и восстановлено.
Ввиду конфиденциальности информации архивы с паролем. Пароль отправлен в ЛС

Первая часть [url]http://dropmefiles.com/VDdHE[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Осталось скачать 10 частей
13.04.2017, 07:13
DarKGryphon

Прошу меня простить за такую свалку всего подряд, посчитал так будет быстрее + если отправить только файлы, я потом потеряюсь (что откуда)
14.04.2017, 07:16
thyrex

Остатки с Рабочего стола. Пароль тот же

[url]http://dropmefiles.com/lyQti[/url]
[url]http://dropmefiles.com/MbbDo[/url]
[url]http://dropmefiles.com/DY8pw[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url]https://yadi.sk/d/93G3DHcg3GwsWB[/url]
Когда скачаете (или переложите на свой Яндекс диск), сообщите, чтобы я мог продолжить
14.04.2017, 09:28
DarKGryphon

Спасибо, все скачал.
14.04.2017, 18:25
thyrex

Пока вот еще кое-что из папки Base
[url]https://yadi.sk/d/7Bq4cJEo3GxEeY[/url]

Остальное думаю в основной массе смогу выложить только вечером из дома. На работе ужасно медленно работает с Яндекс диском

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Последняя партия [url]https://yadi.sk/d/93G3DHcg3GwsWB[/url]

Скачаете - сообщите. Проверите работу баз - сообщите
14.04.2017, 21:05
DarKGryphon

Предельно благодарен !
Качаю...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скачал.
21.04.2017, 11:49
DarKGryphon

Базы проверили, все в порядке. Большое спасибо за помощь!