Зашифрованные файлы [email protected]_lot2019 [Trojan-Banker.Win32.Capper.tng ]

[gygabyte]

Добрый день.

У практически всех файлов пользователя добавилось окончание [email protected]_lot2019
удаление этого окончания не помогло - файл не открывается.
Прошу помочь восстановить данные.

[Info_bot]

Уважаемый(ая) gygabyte, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Что запускали перед тем как файлы зашифровались?

[gygabyte]

Пользователь, как обычно, отпирается: "Я ничего не делал - оно само".
Но теперь эта гадость уже на сервере появилась...

[mike 1]

Сделайте логи RSIT.

[thyrex]

+ Сделайте лог полного сканирования МВАМ

[gygabyte]

Сделал

- - - Добавлено - - -

Есть 100% оригинальный файл и его зашифрованная копия. Если этот как то поможет - могу выслать (вроде как с симметричным шифрованием такое проходит)

[mike 1]

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
 QuarantineFile('C:\Users\UsenokYI\AppData\Local\Temp\rad357DF.tmp.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

В MBAM удалите:

Обнаруженные файлы:  4
C:\Users\UsenokYI\AppData\Local\Temp\rad357DF.tmp.exe (Trojan.Agent.ED) -> Действие не было предпринято.

[gygabyte]

Карантин выслал

[mike 1]

Файл удалили?

[gygabyte]

Да, удалил, сделал лог на всякий случай

[mike 1]

Лог в порядке. Без оригинального дешифратора файлы не получится расшифровать.

[thyrex]

Все пароли смените

[gygabyte]

Лог в порядке. Без оригинального дешифратора файлы не получится расшифровать.

У меня файлы зашифрованы с кодом lot2019 ([email protected]_lot2019)
"Коллега по несчастью" заплатил злоумышленнику, тот прислал дешифратор (ну код другой естественно), файлы расшифровались. Если я вам вышлю этот дешифратор, вы сможете помочь расшифровать мои файлы?

[mike 1]

тот прислал дешифратор (ну код другой естественно), файлы расшифровались.

Если дешифратор допустим предназначен для lot2018, то для вашей версии он не подойдет так как для каждой цифры после слова lot свой уникальный ключ дешифровки.

Если я вам вышлю этот дешифратор

Пришлите этот дешифратор согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы. + Укажите для какой версии он предназначен.

[gygabyte]

Если дешифратор допустим предназначен для lot2018, то для вашей версии он не подойдет так как для каждой цифры после слова lot свой уникальный ключ дешифровки.

Да, я понимаю, но, возможно, вы сможете разобраться в дешифраторе и на его основе сгенерировать для любых ключей lotXXXX

Пришлите этот дешифратор согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы. + Укажите для какой версии он предназначен.

Согласно правил, я должен сформировать карантин при помощи avz, но программа дает сформировать только файлы, помещенные в карантин. Сформировал вручную. Дешифратор для lot2010

[mike 1]

вы сможете разобраться в дешифраторе и на его основе сгенерировать для любых ключей lotXXXX

Нельзя этого сделать т.к. для каждой такой цифры свой открытый и закрытый ключ. Подробней: http://ru.wikipedia.org/wiki/RSA

[gygabyte]

Нельзя этого сделать т.к. для каждой такой цифры свой открытый и закрытый ключ. Подробней: http://ru.wikipedia.org/wiki/RSA

Я так понимаю все что можно было сделать - сделали? Вирус удалили, файлы не восстановить?
Если да, то тему наверное можно закрыть. Спасибо за помощь!

[thyrex]

Вирус удалили

Именно так

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\usenokyi\appdata\local\temp\rad357df.tmp. exe - Trojan-Banker.Win32.Capper.tng ( DrWEB: Trojan.DownLoad3.30075, BitDefender: Gen:Variant.Symmi.38126, AVAST4: Win32:Zbot-SIS [Trj] )