все важные файлы на всех дисках были зашифрованы

Printable View

19.12.2018, 13:43
lolipok

Вложений: 2

все важные файлы на всех дисках были зашифрованы

Доброго времени суток.

Поймали вирус-шифровальщик. Если можете - помогите пожалуйста.

__________________README_
Bашu фaйлы былu зaшuфрованы.
Чmобы расшuфpовaть ux, Baм неoбходимo оmnpaвиmь koд:
9B14635EAA2BA7C54778|0
на элekтpонный адpeс [EMAIL="[email protected]"][email protected][/EMAIL] .
Далee вы пoлучиme все необходимыe инcтруkциu.
Попыmku pacшифрoваmь самoстоятeльно не nрuведym ни k чeмy, kрoмe безвoзвратной потeрu информации.
Еcли вы вcё же хomumе попыmaтьcя, mо прeдварumельно cдeлaйте рeзepвныe кoпuи фaйлов, иначe в слyчае
ux uзмeнeния рaсшuфровkа стaнет нeвoзможнoй нu пpu kаkих условияx.
Ecли вы нe пoлyчuли оmветa nо вышеyказаннoму aдpecу в тeчeнuе 48 чaсoв (u тoльko в эmoм cлучае!),
воcпользуйmeсь фopмой oбpатной связu. Этo мoжнo cделаmь двyмя сnособaмu:
1) Скaчайте и уcmанoвuте Tor Browser nо ccылkе: [URL]https://www.torproject.org/download/download-easy.html.en[/URL]
В адресной сmpokе Tor Browser-a ввeдuте aдpеc:
[URL]http://cryptsen7fo43rr6.onion/[/URL]
и нaжмиme Enter. Зarpyзumcя сmpанuцa с фopмoй oбpaтнoй cвязи.
2) В любoм бpаузерe пeрейдumе пo oднoмy из aдресов:
[URL]http://cryptsen7fo43rr6.onion.to/[/URL]
[URL]http://cryptsen7fo43rr6.onion.cab/[/URL]

All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
9B14635EAA2BA7C54778|0
to e-mail address [EMAIL="[email protected]"][email protected][/EMAIL] .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
[URL]https://www.torproject.org/download/download-easy.html.en[/URL]
Install it and type the following address into the address bar:
[URL]http://cryptsen7fo43rr6.onion/[/URL]
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:
[URL]http://cryptsen7fo43rr6.onion.to/[/URL]
[URL]http://cryptsen7fo43rr6.onion.cab/[/URL]
__________________________
Пример зашифрованного файла 1.zip
Файл отчета 2.zip
19.12.2018, 13:45
Info_bot

Уважаемый(ая) [B]lolipok[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.12.2018, 20:37
SQ

Здравствуйте,

Мы не можем обещать, что поможем с расшифровкой.

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
O4 - HKU\S-1-5-21-280442057-1131205523-3725619959-1001\..\Run: [CSRSS] = C:\ProgramData\Drivers\csrss.exe (User 'User')
O4 - HKU\S-1-5-21-280442057-1131205523-3725619959-1001\..\Run: [Client Server Runtime Subsystem] = C:\ProgramData\Windows\csrss.exe (User 'User')
O4 - HKU\S-1-5-21-280442057-1131205523-3725619959-1001\..\Run: [Command Line Support] = C:\WINDOWS\system32\cmd.exe /C C:\PROGRA~3\SysWOW64\B3AIlIz.cmd (User 'User')
O4 - HKU\S-1-5-21-280442057-1131205523-3725619959-1001\..\Run: [Windows Session Manager] = C:\ProgramData\services\csrss.exe (User 'User')
O4 - HKU\S-1-5-21-280442057-1131205523-3725619959-1001\..\Run: [hh.exe] = C:\ProgramData\Resources\svchost.exe (User 'User')
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\users\user\appdata\local\temp\5eb88d4c.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\69a0edeb.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\67960cb9.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\91631bb1.exe');
TerminateProcessByName('c:\users\user\appdata\roaming\softwa~1\nheqmi~1.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\rad8cb8d.tmp');
QuarantineFile('C:\PROGRA~3\SysWOW64\B3AIlIz.cmd','');
QuarantineFile('C:\ProgramData\Resources\svchost.exe','');
QuarantineFile('C:\ProgramData\services\csrss.exe','');
QuarantineFile('C:\ProgramData\Drivers\csrss.exe','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\rad8cb8d.tmp','');
QuarantineFile('c:\users\user\appdata\roaming\softwa~1\nheqmi~1.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\91631bb1.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\69a0edeb.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\67960cb9.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\5eb88d4c.exe','');
DeleteFile('c:\users\user\appdata\local\temp\5eb88d4c.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\67960cb9.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\69a0edeb.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\91631bb1.exe','32');
DeleteFile('c:\users\user\appdata\roaming\softwa~1\nheqmi~1.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\rad8cb8d.tmp','32');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem','x32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','CSRSS','x32');
DeleteFile('C:\ProgramData\Drivers\csrss.exe','32');
DeleteFile('C:\ProgramData\services\csrss.exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','Windows Session Manager','x32');
DeleteFile('C:\ProgramData\Resources\svchost.exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','hh.exe','x32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','Command Line Support','x32');
DeleteFile('C:\PROGRA~3\SysWOW64\B3AIlIz.cmd','32');
DeleteFile('C:\ProgramData\Windows\csrss.exe','64');
DeleteFile('C:\ProgramData\Drivers\csrss.exe','64');
DeleteFile('C:\ProgramData\services\csrss.exe','64');
DeleteFile('C:\ProgramData\Resources\svchost.exe','64');
DeleteFile('C:\PROGRA~3\SysWOW64\B3AIlIz.cmd','64');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','Command Line Support','x64');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','hh.exe','x64');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','Windows Session Manager','x64');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','CSRSS','x64');
RegKeyParamDel('HKEY_USERS','S-1-5-21-280442057-1131205523-3725619959-1001\Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]