файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS
Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровки файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент нет.
Восстановление документов возможно в данный момент только из архивных или теневых копий.


добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:
Цитата
Ваши фaйлы былu зaшифpoвaны.
код:
5E5E1BEC5BE045A020AC|0
или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Цитата
Вадим Вадим написал:
http://rghost.ru/8hcG6mMbV
здесь похоже левый прокси добавлен

Полное имя                  HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP
Имя файла                   HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP
Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Удовлетворяет критериям    
AUTOCONFIGURL               (ССЫЛКА ~ AUTOCONFIGURL)(1)   AND   (AUTOCONFIGURL ~ HTTP)(1) [auto (0)]
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
AutoConfigURL               https://larevante.com/7SSwIPC/95S84.eup
                           
Ссылка                      HKEY_USERS\S-1-5-21-1343024091-2049760794-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
AutoConfigURL               https://larevante.com/7SSwIPC/95S84.eup


-------------
шифратора нет в автозапуске,

выполните скрипт по очистке системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP

; Java(TM) 6 Update 22
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
Изменено: santy - 30.06.2017 11:38:44
Цитата
Глеб Глеб написал:
После скрипта получилось автозагрузка  http://rghost.ru/8K2Tf4mNF
У меня тоже в почте есть этот вирус...
теперь чисто.
Цитата
Глеб Глеб написал:
После скрипта получилось автозагрузка  http://rghost.ru/8K2Tf4mNF
У меня тоже в почте есть этот вирус...

перешлите в почту safety@chklst.ru в архиве с паролем infected
добрый день. вот мой образ. я сама нашла уже что в авто запуске висит "csrss.exe"
вот скрин диспетчера
Снимок.PNG (68.32 КБ)
мне нужно расшифровать важные файлы, как быть? Это очень ужасное состояние когда ничего нельзя сделать :(
Анна,
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
addsgn A7679BF0AA02F4264BD4C65F41881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C2ED89FE82BD6D790B16D775BACCA36BF33 8 Trojan.Encoder.4182 [DrWeb]

zoo %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ICRPSOFT\BD868312.EXE
addsgn 7300F39B556A1F275DE775E6ED94361DE2CED8E6B96B5F780C9FE19C9692555803E8D6634E159D212A00849FB903FD8A3DDFBB8D4056C26C2D1DAD8C7F316073 8 Win32/Boaxxe.BR [ESET-NOD32]

addsgn A7679BF0AA0234984BD4C659D2881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BB1AE92A2DD78F544E95C526A9EE82BD6D720246C775BACCAA62A32 8 better_cal_sou

zoo %SystemDrive%\USERS\АННА\APPDATA\LOCAL\TEMP\5759AB69.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ITQWSOFT\DCBMOWHM.DLL

delref %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ICRPSOFT\DCWVOCKG.DLL

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z)  отправить в почту safety@chklst.ru
------------

расшифровки по данному шифратору нет.
проверяйте теневые копии, или пробуйте восстановление удаленных файлов с помощью R-studio, Recula, testdisk, GetDataback

---------
на будушее,
как минимум, настройте вашу работу под обычным пользователем, без прав администратора.
по крайней мере в этом случае теневые копии останутся живыми.
если опять откроете шифратор.
Изменено: santy - 30.06.2017 11:38:44
Подскажите не понял можно ли расшифровать?
с большой вероятностью расшифровки нет:
по xtbl, breaking_bad, better_call_sou
(в ESET точно нет)
Изменено: santy - 30.06.2017 11:38:44
Help me, please! http://rghost.ru/6KjgWXtrZ
Читают тему (гостей: 2)