Помогите в расшифровке EnCiPhErEd [Trojan-Ransom.Win32.Xorist.ln ]

[brudstas]

Доброго дня!

Проблема такая же как и в ^{http://virusinfo.info/showthread.php?t=191285}

словили шифровальщик, все файлы имеют вид "имя".doc/xls/etc.EnCiPhErEd

в каждом каталоге лежит текстовый фаил с содержанием:

ВСЕ ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ !!!
ЧТОБЫ РАСШИФРОВАТЬ ИХ
НАПИШИТЕ НАМ НА [email protected]
В СООБЩЕНИИ УКАЖИТЕ IP АДРЕСС КОМПЬЮТЕРА
НА КОТОРОМ БЫЛИ ЗАШИФРОВАНЫ ФАЙЛЫ
ЕГО ВЫ СМОЖЕТЕ УЗНАТЬ НА 2ip.ru
МЫ ОТВЕТИМ ВАМ В ТЕЧЕНИИ 24 ЧАСОВ
НЕ ПЫТАЙТЕСЬ РАСШИФРОВАТЬ ФАЙЛЫ
САМОСТОЯТЕЛЬНО ИЛИ С ПОМОЩЬЮ
АНТИВИРУСНЫХ УТИЛИТ
ЭТИМИ ДЕЙСТВИЯМИ ВЫ ТОЛЬКО
БЕЗВОЗВРАТНО ПОВРЕДИТЕ ФАЙЛЫ
РАСШИФРОВАТЬ МОЖЕМ ТОЛЬКО МЫ !!!

к зараженой машине затруднен доступ про логине выдается ошибка "неполадка помешала windows проверить лицензию компьютера. Код ошибки 0x8007002"

Проверку удалось провести с безопасного режима

Прошу помочь с расшифровкой!

[Info_bot]

Уважаемый(ая) brudstas, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[brudstas]

карантин AVZ:

Файл сохранён как 151016_134215_virus_5620c6772c185.zip
Размер файла 6822
MD5 aaf1eddcf74554184d2b99ffefaa1917

[thyrex]

Занятно У Вас как раз отработал полный комплект шифровальщика и заработали двойное шифрование

Несколько зашифрованных файлов с расширением .EnCiPhErEd.d (картинки, документы Office) выложите одним архивом на rghost.ru (Яндекс-диск) и пришлите ссылку

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\DOCUME~1\admin\LOCALS~1\Temp\Q7j6340S490B59E.exe','');
 DeleteFile('C:\DOCUME~1\admin\LOCALS~1\Temp\Q7j6340S490B59E.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[brudstas]

Спасибо, что отозвались

Скрипт выполнил, карантил прислал

Файл сохранён как 151016_212556_quarantine_56213324bb563.zip
Размер файла 6818
MD5 52c1cf4937b6c8f3d1621fa35e8d9ec7

Кстати, файлы есть с одинарным шифрованием - ссылка на Я.диск: https://yadi.sk/d/hoWQIaBnjnawP
файлы с двойным шифрованием: https://yadi.sk/d/yZhvXPA6jnawR

Пока выполняю правила, логи предоставлю сразу же!

Спасибо!

[brudstas]

Правила выполнил. Новые логи прикерпил

[thyrex]

Инструкция по расшифровке отправлена в личные сообщения

[brudstas]

Инструкцию получил, тестовый файл расшифрован 100%. Вы - гений!!
Спасибо! Обязательно поддержу!

[brudstas]

Всё отлично! Расшифровалось 99% файлов. Проблемы только с DBF таблицами, правда они есть в бэкапах в zip-формате (которые тоже зашифрованы, но расшифровались на отлично).
Спасибо огромное Вам лично и проэкту в целом!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\docume~1\admin\locals~1\temp\q7j6340s490b59e.ex e - Trojan-Ransom.Win32.Xorist.ln ( BitDefender: Generic.Malware.Sprn.78EC5290, AVAST4: Win32:Evo-gen [Susp] )