файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 30 31 32 33 34 ... 60 След.

Сообщений: 5

Баллов: 2

Регистрация: 12.10.2012

Размещено 09.09.2016 11:36:56

Добрый день!
Проблема с шифровальщиком da_vinci_code
лог прилагаю.
Спасибо!

Прикрепленные файлы

VISTA_2016-09-09_11-17-25.7z (347.14 КБ)

Сообщений: 17970

Баллов: 28751

Регистрация: 16.03.2010

Размещено 09.09.2016 12:08:01

@timhelmet,

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE addsgn 1A06369A5583348CF42B627DA804DE8E69AEF80148F91F7885B7E1365155B04DA7D7B719C9949E492B80F170431649FA7D524C5655DAB02CA0D3802FC70622F8 8 Win32/Filecoder.ED [ESET-NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS.0\APPLICATION DATA\WINDOWS\CSRSS.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\DAOVL\LINCX.SDP delref %SystemDrive%\DOCUMENTS AND SETTINGS\NETWORKSERVICE.NT AUTHORITY\APPLICATION DATA\HFWTLKR.EXE delref %SystemRoot%\URIFAYK.EXE delref 51.EXE delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] ; Java(TM) 6 Update 20 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216020FF} /quiet deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
addsgn 1A06369A5583348CF42B627DA804DE8E69AEF80148F91F7885B7E1365155B04DA7D7B719C9949E492B80F170431649FA7D524C5655DAB02CA0D3802FC70622F8 8 Win32/Filecoder.ED [ESET-NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS.0\APPLICATION DATA\WINDOWS\CSRSS.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\DAOVL\LINCX.SDP

delref %SystemDrive%\DOCUMENTS AND SETTINGS\NETWORKSERVICE.NT AUTHORITY\APPLICATION DATA\HFWTLKR.EXE

delref %SystemRoot%\URIFAYK.EXE

delref 51.EXE

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

; Java(TM) 6 Update 20
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216020FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке сохраните важные папки с документами на отдельный носитель, и ждите решения, когда оно наступит.
+
добавьте несколько зашифрованных файлов в архиве на форум в ваше сообщение.

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 12.10.2012

Размещено 09.09.2016 12:56:46

картинка на раб. столе с "указаниями" осталась (но это мелочи)
тело супостата, я думаю, удалено.
файлы по-прежнему зашифрованы.
прилагаю некоторые из них

Прикрепленные файлы

Рабочийстол.rar (211.86 КБ)

Сообщений: 17970

Баллов: 28751

Регистрация: 16.03.2010

Размещено 09.09.2016 15:03:10

@timhelmet,
по заставке на рабочем столе надо просто поменять на другую. расшифровки пока нет. ждем до лучших времен.

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 13.09.2016

Размещено 13.09.2016 20:06:34

Друзья, нужна помощь с da_vinci. Вчера словили. Буду очень признателен.

http://rgho.st/7FSfWDrPZ

Сообщений: 1

Регистрация: 13.09.2016

Размещено 13.09.2016 22:32:55

Товарищи,
словили вирус da_vinci_code.
DrWebCureIT и KVRT что-то нашли, но т.к. ESET его пропустил - хочется уверенности.
Пожалуйста, посмотрите образ: http://rgho.st/6M7f6CM8G - что еще нужно почистить?

Заранее спасибо.

Сообщений: 17970

Баллов: 28751

Регистрация: 16.03.2010

Размещено 14.09.2016 04:45:28

Цитата
Dmitriy Egorov написал: Друзья, нужна помощь с da_vinci. Вчера словили. Буду очень признателен. http://rgho.st/7FSfWDrPZ

1. добавьте на форум несколько зашифрованных файлов в архиве.
2. по очистке системы:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIAGET2\MEDIAGET-UNINSTALLER.EXE addsgn 9252771A116AC1CC0B44554E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 14 Win32:FakeSys-BF [PUP] ;------------------------autoscript--------------------------- hide %SystemDrive%\PROGRAM FILES\KMPLAYER\KMPLAYER.EXE chklst delvir deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\ROAMING\SWEET-PAGE deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAMINLPMKFCDIBGPGFAJLGNAMICJCKKJF%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://GO.MICROSOFT.COM/FWLINK/?LINKID=56626&HOMEPAGE=HTTP://WWW.SWEET-PAGE.COM/?TYPE=HP&TS=1415371354&FROM=COR&UID=ST500LM012XHN-M500MBB_S2RSJ9AC333701 delref HTTP://WWW.SWEET-PAGE.COM/?TYPE=HP&TS=1415371354&FROM=COR&UID=ST500LM012XHN-M500MBB_S2RSJ9AC333701 delref HTTP://WWW.SWEET-PAGE.COM/WEB/?TYPE=DS&TS=1415371354&FROM=COR&UID=ST500LM012XHN-M500MBB_S2RSJ9AC333701&Q={SEARCHTERMS} deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIAGET2 deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\TSERVERINFO deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\ISERVERINFO deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\SSERVERINFO ; OpenAL exec C:\Program Files\OpenAL\oalinst.exe" /U deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
zoo %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIAGET2\MEDIAGET-UNINSTALLER.EXE
addsgn 9252771A116AC1CC0B44554E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 14 Win32:FakeSys-BF [PUP]

;------------------------autoscript---------------------------

hide %SystemDrive%\PROGRAM FILES\KMPLAYER\KMPLAYER.EXE
chklst
delvir

deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\ROAMING\SWEET-PAGE

deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAMINLPMKFCDIBGPGFAJLGNAMICJCKKJF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://GO.MICROSOFT.COM/FWLINK/?LINKID=56626&HOMEPAGE=HTTP://WWW.SWEET-PAGE.COM/?TYPE=HP&TS=1415371354&FROM=COR&UID=ST500LM012XHN-M500MBB_S2RSJ9AC333701

delref HTTP://WWW.SWEET-PAGE.COM/?TYPE=HP&TS=1415371354&FROM=COR&UID=ST500LM012XHN-M500MBB_S2RSJ9AC333701

delref HTTP://WWW.SWEET-PAGE.COM/WEB/?TYPE=DS&TS=1415371354&FROM=COR&UID=ST500LM012XHN-M500MBB_S2RSJ9AC333701&Q={SEARCHTERMS}

deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIAGET2

deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\TSERVERINFO

deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\ISERVERINFO

deldirex %SystemDrive%\USERS\ТАТЬЯНА\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\SSERVERINFO

; OpenAL
exec C:\Program Files\OpenAL\oalinst.exe" /U
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
3. по расшифровке:
по расшифровке сохраните важные папки с документами на отдельный носитель, и ждите решения,

[ Как создать образ автозапуска? ]

Сообщений: 17970

Баллов: 28751

Регистрация: 16.03.2010

Размещено 14.09.2016 04:49:49

Цитата
Pavel Vot написал: Товарищи, словили вирус da_vinci_code. DrWebCureIT и KVRT что-то нашли, но т.к. ESET его пропустил - хочется уверенности. Пожалуйста, посмотрите образ: http://rgho.st/6M7f6CM8G - что еще нужно почистить? Заранее спасибо.

1. добавьте на форуме несколько зашифрованных файлов в архиве
2. по очистке системы:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLCDJFMKJBHAGPOHNEIOADKDKHFPCMIPO%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\GLAGOL\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PHKDCINMMLJBLPNKOHLIPAIODLONPINF\11.0.3_0\ПОИСК MAIL.RU deldirex %SystemDrive%\USERS\GLAGOL\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DODIJCGAFKHPOBJLNFDGIACPDENPMBGME%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPHKDCINMMLJBLPNKOHLIPAIODLONPINF%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK%26INSTALLSOURCE%3DONDEMAND%26UC ; McAfee Security Scan Plus exec C:\Program Files\McAfee Security Scan\uninstall.exe deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLCDJFMKJBHAGPOHNEIOADKDKHFPCMIPO%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\USERS\GLAGOL\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PHKDCINMMLJBLPNKOHLIPAIODLONPINF\11.0.3_0\ПОИСК MAIL.RU

deldirex %SystemDrive%\USERS\GLAGOL\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DODIJCGAFKHPOBJLNFDGIACPDENPMBGME%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPHKDCINMMLJBLPNKOHLIPAIODLONPINF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK%26INSTALLSOURCE%3DONDEMAND%26UC

; McAfee Security Scan Plus
exec C:\Program Files\McAfee Security Scan\uninstall.exe
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
3. по расшифровке файлов:
по расшифровке сохраните важные папки с документами на отдельный носитель, и ждите решения,

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 15.09.2016

Размещено 15.09.2016 16:36:08

добрый день поймали давинчи, ждем решения, Добавил образ автозапуска системы

Прикрепленные файлы

Desktop.rar (369.6 КБ)
МАРИНА-ПК_2016-09-16_07-43-00.rar (528.26 КБ)

Изменено: Евгений Широкий - 16.09.2016 07:46:46

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 15.09.2016 17:54:46

Евгений Широкий

Очистка - требует индивидуального подхода.
Здесь нет универсальных методов.
Скрипт пишется, для каждого случая отдельно.
Поэтому для очистки нужен образ автозапуска в программе uVS: http://forum.esetnod32.ru/forum9/topic2687/

Пред. 1 ... 30 31 32 33 34 ... 60 След.