Помогите дешифровать файлы с расширением .oneway [HEUR:Trojan.Win32.Generic ]

[Mr-ZLOCK]

Привет всем!

Кто нибудь сможет помочь в данном вопросе?

Сообщение вымогателя:

Напишите на почту - [email protected]
================================================== ==================================================


ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!


Ваш личный идентификатор
+4**********3LgghmfJU=eZaLSfxLv=n+
fddfbbo=zSctnxa+H0v+lRWdovW*******ANfadI02ErN6v39W l36szC*********xv
wP32VyC**************IPo1T4=EgCek0C*************** G
2RRihd***********rs


Ваши документы, фотографии, базы данных и другие важные файлы были зашифрованы.
Каждые 24 часа удаляются 24 файла, необходимо прислать свой идентификатор чтоб мы отключили эту функцию.
Каждые 24 часа стоимость расшифровки данных увеличивается на 30% (через 72 часа сумма фиксируется)


Для расшифровки данных:


Напишите на почту - [email protected]

*В письме указать Ваш личный идентификатор
*Прикрепите 2 файла до 1 мб для тестовой расшифровки.
мы их расшифруем, в качестве доказательства, что ТОЛЬКО МЫ можем их расшифровать.

-Чем быстрее вы сообщите нам свой идентификатор, тем быстрее мы выключим произвольное удаление файлов.
-Написав нам на почту вы получите дальнейшие инструкции по оплате.



В ответном письме Вы получите программу для расшифровки.
После запуска программы-дешифровщика все Ваши файлы будут восстановлены.


Внимание!
* Не пытайтесь удалить программу или запускать антивирусные средства
* Попытки самостоятельной расшифровки файлов приведут к потере Ваших данных
* Дешифраторы других пользователей несовместимы с Вашими данными, так как у каждого пользователя
уникальный ключ шифрования
* Не пытайтись найти решение на стороне, это 100% развод. Никто кроме нас расшифровать не может.
================================================== ==================================================
Если связаться через почту не получается
* Зарегистрируйтесь на сайте http://bitmsg.me (сервис онлайн отправки Bitmessage)
* Напишите письмо на адрес BM-2cXv1tCz4mRNE52UyDZ7DWDdvfUf5ed6GB с указанием Вашей почты и
личного идентификатора

[Info_bot]

Уважаемый(ая) Mr-ZLOCK, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\SYSТЕМ\AppData\Roaming\Microsoft\wxmon.exe','');
 TerminateProcessByName('c:\users\sysТЕМ\appdata\roaming\microsoft\wxmon.exe');
 QuarantineFile('c:\users\sysТЕМ\appdata\roaming\microsoft\wxmon.exe','');
 DeleteFile('c:\users\sysТЕМ\appdata\roaming\microsoft\wxmon.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','sJmcJuoTiu');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','WXMon');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-248867897-3617516966-1964103507-1008\Software\Microsoft\Windows\CurrentVersion\Run','WXMon');
 DeleteFile('C:\Users\SYSТЕМ\AppData\Roaming\Microsoft\wxmon.exe','32');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-248867897-3617516966-1964103507-1008\Software\Microsoft\Windows\CurrentVersion\Run','sJmcJuoTiu');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-248867897-3617516966-1964103507-1019\Software\Microsoft\Windows\CurrentVersion\Run','WXMon');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-248867897-3617516966-1964103507-1019\Software\Microsoft\Windows\CurrentVersion\Run','sJmcJuoTiu');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после скрипта.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[Mr-ZLOCK]

Вот лог

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Mr-ZLOCK]

вот

[thyrex]

C:\Users\Public\Documents\Инструкция по расшифровке файлов oneway.TXT вместе с примером шифрованного файла выложите в архиве на sendspace.com и пришлите ссылку

[Mr-ZLOCK]

https://www.sendspace.com/file/aj4d0i

[thyrex]

Похоже очередная версия Scarab. С расшифровкой помочь не сможем. При наличии действующей лицензии на продукты DrWeb попробуйте обратиться к ним.

https://legal.drweb.ru/encoder/

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\sysтем\appdata\roaming\microsoft\wxmon.ex e - HEUR:Trojan.Win32.Generic