Хочу заплатить за помощь, но база keypass с паролем от Paypal тоже зашифрована

Готов оплатить помощь как-нибудь ещё

Шифровальщик работал в Windows 10 c нативной загрузкой на VHDX, зашифровал родительский диск, в том числе и файлы мультизагрузки.
Могу грузиться с внешних дисков


[COLOR=#FFFFFF][FONT=&quot][h=3]CryptConsole[/h][/FONT][/COLOR]
[COLOR=#777777][FONT=&quot][h=3][FONT=&quot][/FONT] [COLOR=green]Этот вымогатель дешифруем![/COLOR][/h]Опознан как

[LIST][*][B]ransomnote_email[/B]: [email][email protected][/email][*][B]sample_extension[/B]: [email][email protected][/email]_<hex>[/LIST]
[/FONT][/COLOR]


Когда я запускаю вот этот декриптор
[url]https://sensorstechforum.com/decrypt-xsertutanota-com-files-encrypted-cryptconsole-virus-free/[/url]

получаю:
[QUOTE]
Starting decryption on COMPUTER at 6/6/2018 4:40:29 PM
Directory: I:\ltsb.vhd.lck

[+] File: I:\ltsb.vhd.lck\[email protected]_4D33333639352E6C636B
[~] File can be renamed, but not decrypted. Original name: M33695.lck


[!] Files are encrypted, a key must be provided.
Decrypted 0 files
Skipped 1 files
[/QUOTE]

Вижу, что файлы только переименованы.
Тем не менее, где лежала база keypass я не помню - очень давно им не пользовался ((

Соотвественно, ищется способ массового переименования зашифрованных файлов взад (Файлов очень много в очень кустистой структуре)
С меня причитается, как только смогу оплатить

Уважаемый(ая) [B]sundmoon[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]https://virusinfo.info/pravila.html[/url]

[QUOTE=thyrex;1482845][url]https://virusinfo.info/pravila.html[/url][/QUOTE]

[B]Шифровальщик работал в Windows 10 c нативной загрузкой на VHDX, зашифровал родительский диск, в том числе и файлы мультизагрузки.
Могу грузиться с внешних дисков[/B]

Для того, чтобы что-то запустить в больной системе, мне надо загрузить её либо из внешней мультизагрузки на свежеотформатированном диске, либо в виртуалке Hyper-V
Я вот сейчас пишу из чистой свежеустановленной десятки, больной vhdх примонтировал и жду возможных указаний.


(И да, файлы всё-таки зашифрованы, а не только переименованы. Нашёл несколько штук того, что заведомо было текстом.)

Образец зашифрованного файла и файл Readme.txt с сообщением вымогателей прикрепите в архиве к следующему сообщению

Вот

Проверьте ЛС

Благодарю! Я в процессе расшифровки своих кустистых файловых структур на двух забитых под завязку носителях

Но мне важно максимально уточнить вектор заражения, хотя бы его дату. Прошу помощи с расследованием
Есть две гипотезы:
1) файл DoNotSleep.exe от 24 мая 2018 года, помогавший криптору когда я прервал процесс

2) GitHub Desktop, который фигурирует в метаданных шифровальщика
[url]https://www.virustotal.com/#/file/6b6a60f1d1b3d7e5657e74aadd4b7124c7a9404d5d6a0f0d3594dfe25c9ff03b/details[/url]
[url]https://www.virustotal.com/#/file/7c018c7763e12af369f48075454047499b1a87512958d519f32637d4c55ebe02/details[/url]

Емнип я действительно второпях взял его из сомнительного источника и удивился нештатному поведению инсталлятора - и было это, кажется, сильно раньше.
Но я ничего не удалял из загрузок, так что после расшиифровки носителя есть шанс найти источник

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Нашел с помощью autoruns вот такой драйвер в больной системе (офлайн)
[url]https://www.virustotal.com/#/file/06f3435a07927147134d3a2fefcc93b3e1ffc803b343fb78239abc8f604133e3/detection[/url]

время модификации этого файла совпадает с активностью криптора

Вход через RDP и ручной запуск - вот и весь механизм. Тут даже и в автозапуск прописываться не нужно. Пароль смените от RDP

Криптор "потрогал" в это время ещё полсотни драйверов, в отличие от упомянутого - подписанных Microsoft

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=thyrex;1482902]Вход через RDP и ручной запуск - вот и весь механизм. Тут даже и в автозапуск прописываться не нужно. Пароль смените от RDP[/QUOTE]

Предположение было бы вполне правдоподобным - если б у меня не был проброшен на RDP пятизначный порт
[del]В автозапуске системном и юзерском гадость тоже есть, чекаю[/del] Это зашифрованные ярлыки

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Если Вы реально подозреваете RDP несмотря на.. - я могу проверить журналы больной системы.

Этот шифратор именно так и проникает

Сотнями исчисляется количество файлов на моих носителях, названия которых остались незашифрованными, а контент по-видимости испорчен (и, судя по дате, криптор их трогал)

С этим что-нибудь можно сделать?


UPD. Для некоторых испорченных файлов я отыскал оригиналы.
Добыл заново папку с 40-минутными видео, половина которых испорчена.
Возможно, найдётся и что-нибудь полегче...

Все до единого файлы README.txt с сообщениями от вымогателей прикрепите в архиве к следующему сообщению вместе с примерами нерасшифровавшихся файлов небольшого размера

Вот ссылка на типичную "ненормальную" директорию
[url]https://www.upload.ee/files/8533728/09_PROJECT_Simulate_Email_Sending_with_Form.7z.html[/url]

Это 9-я часть какого-то видеокурса (парные файлы mp4 и srt), у двух пар оказались незашифрованы названия, но контент зашифрован и не берётся имеющимся у меня декриптором.
Два самых больших файла (доброкачественно дешифрующихся) я удалил


Каким образом Вы предлагаете собрать все файлы?
Может быть, доверите мне самому сделать выводы из
'K:\' | Get-ChildItem -Recurse -Filter 'readme.txt' | Get-FileHash ... | Group-Object …
?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сладких exe парочек у меня насканилось две штуки в таких папках:
K:\1\1\ и K:\1\2
Первая пара проявилась после расшифровки данным мне инструментом (видимо была зашифрована второй парой), файл DoNotSleep лежал незашифрованный в папке первой пары

Или Вы выполняете просьбы в полном объеме, как Вас просят, или я тему просто закрываю. Мне надоело читать тот лишний мусор, который Вы пишете. Мне совершенно не интересно, как Вы собираетесь искать все файлы с сообщениями вымогателей. Другие пострадавшие все делают, как нужно, с первого раза.

Завтра, хорошо?
Я вне доступа, RDP не открывал пока

Файл README.txt у меня лежит в КАЖДОЙ папке тронутой вымогателем.
То есть, их многие тысячи. Вы хотите получить именно все, или только различающиеся хэшем?

Я хочу их все, я найду способ найти ключи, если их несколько

Вот все найденные на носителях файлы readme.txt
Декриптор я в массовом порядке пока не применял (только проверял его работу на отдельных папках)

Поступим следующим образом: все явно зашифрованные, но не переименованные, файлы вы копируете куда-то в отдельную папку с коротким именем из одного символа.

Все зашифрованные и переименованные файлы Вы дешифруете имеющимся ключом и проверяете, нет ли среди них проблемных. Если таковые найдутся, копируете их к остальным проблемным.

Когда закончите этот этап, сообщите и получите дальнейшие инструкции.

Выполнил

Скачайте программу [url]https://www.sendspace.com/file/vi73i5[/url] и распакуйте

После запуска выберите из списка [email][email protected][/email]_
В следующем окне напишите полный путь к папке с непереименованными файлами.
После нажатия на кнопку дождитесь окончания переименования файлов в шифрованный вид.

Запускайте дешифратор и проверяйте расшифровку

Похоже что работает
Однако русские имена файлов стали ������ �� ����� � ��������������� ������������.mp4

Система 1803 английская с русской локалью
Бэкап папки есть

Ответил в ЛС