Шифровальщик system32x Помогите пожалуйста

Printable View

26.04.2019, 09:01
DustCBET

Шифровальщик system32x Помогите пожалуйста

** All your files have been encrypted **
*** PLEASE READ THIS ***
**** IF YOU WANT TO GET ALL YOUR FILES BACK ****
______________________________________________________________________________
| ATTENTION |
| * Do not rename encrypted files. |
| * Do not try to decrypt your data using third party software, this can |
| result in complete data loss. |
|______________________________________________________________________________|

Send us email with your personal encryption KEY.
This email will be as confirmation your are ready to pay for decryption key.
After payment, we send you the decryption tool, that decrypt all your files.

Before paying you can send 2 file for free decryption. The total size of file
must be less than 1Mb (non archived), and files should not contain valuable
information (backups, databases, large excel-word sheets, etc.)

CONTACT US:
[email][email protected][/email]
[email][email protected][/email]

ADDITIONAL CONTACTS:
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]

------------------------------------- KEY -------------------------------------
Q77N6BJHGDDJUTRGVFVPX7PJ6EQUHY2ALA47UEJIJJNKVUYVBOVLE43YPNUIFAPPXIP54RLNPRX2NAHA
JFL73WQ6NE2YP7QXIPLBSVMR5Z5UFMPXZ7GANPIQ63ZTRWUOL2SGGUXKTWHFVY4GKLOUICZF6XOCMMC2
BLGO4URM6I3RUNXDE23KM6MMTQIYYRM3PF5IFNWWTKPSVEZ37HQYKJBCVUT6CVXJYUAVSMBABGIVWGQV
7JYV6KC7INBM6BQJQYK5PZQ65VE2JCDKSDFFBM7W7LCCBVCWTGUUXF4T2JELXWKYPXYWAO6JYPYD5ELI
HDUVGWACBVSLPLYZOCWSMQQD4GHVAVWGOM6K2PW6AEM63IM3F65QOCD7XWY4EOPR7JKYKUUXZMRONFEL
KI6XOX4HLR4E43HWBECV7U36TRJNZAROWUX2FL3ACEYTAP6EN5IDD2UACZLC44RSF6H4TZ7ZCTP6ITAE
HWQZ6WWAPHSYDPKEXH4K646FKWFPAM5FIOWCCI4Y7AJBW7NEP4PKXGKXYXXG3Q5NDFUOFG3CRBYWQGAA
QZAOIP4PDWBC5ZZ3FM4NR4YH7Q7EIGKO3MQSQL4RFW75XGFSDEYSTFTL7SSZIR5Z5K5BKG7X3XIW5BJS
FS2L4WYKFP43CT7ADU3X2ZHNZWCGX2AKHA5GK7YIVCMW2FDSIZ4UJIIGI3KORZN64ZEEW3GSNGSSCCIP
YVGPBYB3DESFXG7TW3W6IZKQUBCF3T34ABA6LN3IFM45NXV44B45J6PG3DVYGK4WAOZCSNGY7YCOXCE4
PMFZ2UMDUJZUHY6XL7OA=
-------------------------------------------------------------------------------
26.04.2019, 09:02
Info_bot

Уважаемый(ая) [B]DustCBET[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.04.2019, 23:21
SQ

Здравствуйте,

Мы не можем гарантировать, что с можем помочь с расшифровкой.

Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
08.05.2019, 15:10
DustCBET

Не могу прикрепить к ответу файл с логами. Закину на файлообменник.
[URL="https://fex.net/s/kedmece"]https://fex.net/s/kedmece[/URL]
08.05.2019, 21:16
SQ

Вы по каким-то причинам прикрепили .exe файл, хотя необходимо было предоставить логи по правилам.
10.05.2019, 16:26
DustCBET

Прошу прощения, это был архив с самой программой.
Вот правильный:
[url]https://fex.net/s/d3pznpc[/url]
11.05.2019, 03:00
SQ

Здравствуйте,

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
R3 - HKU\S-1-5-21-1870247040-214434751-1025863327-1000\..\URLSearchHooks: (no name) - {00000000-6E41-4FD3-8538-502F5495E5FC} - (no file)
R4 - SearchScopes: HKU\S-1-5-21-1870247040-214434751-1025863327-1000\Software\Microsoft\Internet Explorer\SearchScopes\{516151AA-A5A5-4167-9003-EDFB65719B8D}: [URL] = http://websearch.ask.com/redirect?client=ie&tb=BA2&o=APN10138&src=kw&q={searchTerms}&locale=ru_US&apn_ptnrs=^A65&apn_dtid=^YYYYYY^CL^UA&apn_uid=48caec01-c84d-4526-acb7-5de211f0a49c&apn_sauid=8C6E16E4-5834-46A7-A412-58B0135007DF - Ask Search
O2 - HKLM\..\BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - MSConfig\startupreg: AdobeBridge [command] = (HKCU) (2014/05/27) (no file)
O9 - Button: HKLM\..\{c95fe080-8f5d-11d2-a20b-00aa003c157a}: (no name) - (no file)
O22 - Task: Opera scheduled Autoupdate 1765637818 - C:\Users\User\AppData\Roaming\Microsoft\Windows\ajbbgjdr\scwicerg.exe (file missing)
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\ajbbgjdr\scwicerg.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\.D0169387EB562C92B2D5','');
DeleteFile('C:\Windows\system32\Tasks\Opera scheduled Autoupdate 1765637818','32');
DeleteFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\ajbbgjdr\scwicerg.exe','32');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.
11.05.2019, 09:59
DustCBET

Вложений: 1

Лог AdwCleaner:
12.05.2019, 00:30
SQ

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
17.05.2019, 11:36
DustCBET

Вложений: 1

Прикрепляю отчет
17.05.2019, 17:05
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
21.05.2019, 12:40
DustCBET

Вложений: 2

отчеты:
22.05.2019, 05:09
SQ

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
Toolbar: HKU\S-1-5-21-1870247040-214434751-1025863327-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
CHR HKLM\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
2019-04-25 09:13 - 2019-04-25 09:13 - 000000980 ____H C:\Users\Public\Downloads\.D0169387EB562C92B2D5
2019-04-25 08:50 - 2019-04-25 08:50 - 000002265 _____ C:\Users\User\AppData\LocalLow\HOW TO BACK YOUR FILES.TXT
2019-04-25 08:50 - 2019-04-25 08:50 - 000002265 _____ C:\Users\User\AppData\Local\HOW TO BACK YOUR FILES.TXT
2019-04-25 08:45 - 2019-04-25 08:45 - 000002265 _____ C:\Users\User\AppData\Roaming\HOW TO BACK YOUR FILES.TXT
2019-04-25 08:45 - 2019-04-25 08:45 - 000000980 ____H C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\.D0169387EB562C92B2D5
2019-04-25 08:45 - 2019-04-25 08:45 - 000000980 ____H C:\Users\User\AppData\Roaming\.D0169387EB562C92B2D5
2019-04-25 08:45 - 2019-04-25 08:45 - 000000980 ____H C:\Users\User\AppData\LocalLow\.D0169387EB562C92B2D5
2019-04-25 08:45 - 2019-04-25 08:45 - 000000980 ____H C:\Users\User\AppData\Local\.D0169387EB562C92B2D5
2019-04-25 08:45 - 2019-04-25 08:45 - 000000980 ____H C:\Users\User\AppData\.D0169387EB562C92B2D5
2019-04-25 08:43 - 2019-04-25 08:43 - 000002265 _____ C:\Users\Все пользователи\HOW TO BACK YOUR FILES.TXT
2019-04-25 08:43 - 2019-04-25 08:43 - 000002265 _____ C:\ProgramData\HOW TO BACK YOUR FILES.TXT
2019-04-25 08:43 - 2019-04-25 08:43 - 000000980 ____H C:\Users\Все пользователи\.D0169387EB562C92B2D5
2019-04-25 08:43 - 2019-04-25 08:43 - 000000980 ____H C:\Users\User\.D0169387EB562C92B2D5
2019-04-25 08:43 - 2019-04-25 08:43 - 000000980 ____H C:\Users\Public\.D0169387EB562C92B2D5
2019-04-25 08:43 - 2019-04-25 08:43 - 000000980 ____H C:\ProgramData\.D0169387EB562C92B2D5
CustomCLSID: HKU\S-1-5-21-1870247040-214434751-1025863327-1000_Classes\CLSID\{D236C998-BECE-472D-B939-541727B72AEF}\localserver32 -> "C:\Users\User\AppData\Local\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1870247040-214434751-1025863327-1000_Classes\CLSID\{949CDFC6-2A52-4C27-A0A2-F87EF62D5536}\localserver32 -> "C:\Users\User\AppData\Local\Yandex\Updater\praetorian.exe" => No File
FirewallRules: [{A0032CA2-3FFF-4F44-AA08-4776C6A2BA58}] => (Allow) C:\Program Files\Mail.Ru\Sputnik\SputnikFlashPlayer.exe No File
FirewallRules: [{C15526C3-D98E-4DA7-90D5-A7E1856C2D37}] => (Allow) C:\Program Files\Mail.Ru\Sputnik\SputnikFlashPlayer.exe No File
File: C:\Program Files\webget\bin\utilwebget.exe
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
22.05.2019, 15:49
DustCBET

Вложений: 1

Лог-файл:
22.05.2019, 18:38
SQ

К сожалению на данном этапе все, тип шифровальщика похоже на семейство GlobeImposter 2.0, для него расшифровки нет и вряд ли появится в ближайшем будущем.

P.S. Не удаляйте каталога C:\FRST пока не решите вопрос с расшифровкой, возможно файлы из карантина потребуется в дальнейшем для расшифровки.
22.05.2019, 18:48
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]5[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]