Решена без расшифровки Вирус @Fileraptor [Raptorfiles@yahooweb.co].[C5A019F3-6CAF97D4]

[RSSR_ProJect]

Помогите пожалуйста расшифровать файлы

 

[Sandor]

Здравствуйте!

Прочтите и выполните правила раздела.
Нужное прикрепите к следующему сообщению в текущей теме.

 

[RSSR_ProJect]

Тут результате, в архивы примеры зашифрованых фалов и письмо о выкупе

 

[Sandor]

в архивы примеры зашифрованых фалов и письмо о выкупе

Пожалуйста, перепакуйте ещё раз этот архив и добавьте пароль на распаковку (не забудьте этот пароль сообщить). Иначе мне не даёт скачать прокси.

 

[RSSR_ProJect]

123123

 

[Sandor]

Вынужден огорчить. Это Crylock 2.0, но именно для этой версии расшифровки нет.
Можем только помочь с очисткой системы от его следов.

 

[RSSR_ProJect]

Вынужден огорчить. Это Crylock 2.0, но именно для этой версии расшифровки нет.
Можем только помочь с очисткой системы от его следов.

А в чем заключатся очистка ?Все зараженные файлы уничтожатся ?

 

[Sandor]

Конечно нет. Только вы путаете термины - зашифрованные файлы при очистке не будут затронуты.

 

[RSSR_ProJect]

Конечно нет. Только вы путаете термины - зашифрованные файлы при очистке не будут затронуты.

Да, я в этом честно ничего не понимаю, вы поможете удалить этот шифратор, но файлы как были зашифрованные так и останутся ?

 

[Sandor]

Сам шифратор скорее всего уже удалён. Мы очистим его следы (и возможные другие вредоносные следы).
Да, зашифрованные останутся. Если речь идёт о базах данных, попробуйте обратиться к S.lab

 

[RSSR_ProJect]

Платить хакерам не вариант, есть вероятность что они пришлют дешифратор?

 

[RSSR_ProJect]

Сам шифратор скорее всего уже удалён. Мы очистим его следы (и возможные другие вредоносные следы).
Да, зашифрованные останутся. Если речь идёт о базах данных, попробуйте обратиться к S.lab

Почистите пожалуйста

 

[Sandor]

есть вероятность что они пришлют дешифратор?

Весьма и весьма сомнительно. Почитайте тему - Шифровальщик [stopencrypt@qq.com].adobe,

Через пару минут составлю скрипт лечения.

 

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  VirusTotal: C:\Users\Бухгалтер\Documents\Registry.exe
  (explorer.exe ->) () [Файл не подписан] C:\Users\Бухгалтер\Documents\Registry.exe
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3365961051-4004144061-1133008489-1008\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe --minimize  (Нет файла)
  HKU\S-1-5-21-3365961051-4004144061-1133008489-500\...\MountPoints2: {344965ab-d68d-11e8-ba85-54bf6464876b} - "I:\autorun.exe" 
  HKU\S-1-5-18\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe --minimize  (Нет файла)
  2022-10-01 19:01 - 2022-10-01 19:01 - 000006031 _____ C:\Users\Бухгалтер\how_to_decrypt.hta
  2022-10-01 19:01 - 2022-10-01 19:01 - 000006031 _____ C:\Users\Бухгалтер\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
  2022-10-01 19:00 - 2022-10-01 19:00 - 000006031 _____ C:\Users\Бухгалтер\Downloads\how_to_decrypt.hta
  2022-10-01 19:00 - 2022-10-01 19:00 - 000006031 _____ C:\Users\Бухгалтер\Documents\how_to_decrypt.hta
  2022-10-01 19:00 - 2022-10-01 19:00 - 000006031 _____ C:\Users\Бухгалтер\Desktop\how_to_decrypt.hta
  2022-10-01 19:00 - 2022-10-01 19:00 - 000006031 _____ C:\Users\Бухгалтер\AppData\Roaming\how_to_decrypt.hta
  2022-10-01 19:00 - 2022-10-01 19:00 - 000006031 _____ C:\Users\Бухгалтер\AppData\LocalLow\how_to_decrypt.hta
  2022-10-01 19:00 - 2022-10-01 19:00 - 000006031 _____ C:\Users\Бухгалтер\AppData\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Public\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Public\Documents\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Default\Documents\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
  2022-10-01 18:58 - 2022-10-01 18:58 - 000006031 _____ C:\Users\Default\AppData\how_to_decrypt.hta
  2022-10-01 18:57 - 2022-10-01 18:57 - 000006031 _____ C:\ProgramData\how_to_decrypt.hta
  2022-10-01 17:09 - 2022-07-16 17:55 - 000205312 _____ C:\Users\Бухгалтер\Documents\Registry.exe
  AlternateDataStreams: C:\Windows\system32\XLLEX.DLL:com.apple.metadatakMDItemDownloadedDate [26]
  AlternateDataStreams: C:\Windows\system32\XLLEX.DLL:com.apple.metadatakMDItemWhereFroms [300]
  AlternateDataStreams: C:\Windows\system32\XLLEX.DLL:com.apple.quarantine [57]
  AlternateDataStreams: C:\Users\Public\.DS_Store[Raptorfiles@yahooweb.co].[C5A019F3-6CAF97D4]:AFP_AfpInfo [122]
  AlternateDataStreams: C:\Users\Public\Downloads\.DS_Store[Raptorfiles@yahooweb.co].[C5A019F3-6CAF97D4]:AFP_AfpInfo [122]
  AlternateDataStreams: C:\Users\ЛебедеваТН\Desktop\Прайс Экспорт 2020 .pdf:com.apple.lastuseddate#PS [34]
  AlternateDataStreams: C:\Users\ЛебедеваТН\Desktop\Прайс Экспорт 2020 .pdf:com.apple.metadatakMDLabel_c7nc6v7nfippyp3eqct253mzdi [89]
  AlternateDataStreams: C:\Users\ЛебедеваТН\Desktop\Прайс Экспорт 2020 .pdf:com.apple.metadata_kMDItemUserTags [86]
  AlternateDataStreams: C:\Users\ЛебедеваТН\Desktop\Прайс Экспорт 2020 .pdf:com.apple.quarantine [20]
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

После перезагрузки удалите старые и соберите новые логи FRST.txt и Addition.txt (последний первый раз получился неполный).

 

[RSSR_ProJect]

Сделал

 

[RSSR_ProJect]

Оказалось в сети, был компютер, на котором была открыта общая папка к зараженному компу, в этой папке так же зашифровались файлы, на остальном коммпе нет. Комп так же надо лечить?

 

[Sandor]

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению

Это забыли.

По второму ПК, если только в расшаренной папке зашифровано, то можно не лечить. Только сменить пароль на доступ к папке.

 

[RSSR_ProJect]

fixlog.txt выше, еще раз скидываю

 

[Sandor]

Ещё один скрипт выполните, пожалуйста.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  FirewallRules: [NPS-NPSSvc-In-UDP-1645] => (Allow) LPort=1645
  FirewallRules: [NPS-NPSSvc-In-UDP-1646] => (Allow) LPort=1646
  FirewallRules: [NPS-NPSSvc-In-UDP-1812] => (Allow) LPort=1812
  FirewallRules: [NPS-NPSSvc-In-UDP-1813] => (Allow) LPort=1813
  FirewallRules: [{C947DCA4-E38B-4CCA-B6EA-E092BF162C6F}] => (Allow) LPort=475
  FirewallRules: [{E65FF01A-C628-4565-B733-8D9081365AD1}] => (Allow) LPort=475
  FirewallRules: [{A8042206-019E-4BAC-955B-9F7F560CACDC}] => (Allow) LPort=10502
  FirewallRules: [{5862DC21-6FFB-4033-B83E-1FEBF9889FD6}] => (Allow) LPort=8080
  Zip: c:\FRST\Quarantine\
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.
На рабочем столе появится архив Date_Time.zip (Дата_Время), прикрепите его к следующему сообщению.

 

[RSSR_ProJect]

Есть