файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 32 33 34 35 36 ... 60 След.

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 08:49:17

Владимир,
шифратор уже удален из системы.

по очистке системы выполните скрипт в uVS

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DABLPCIKJMHAMJANPIBKCCDMPOEKJIGJA%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDLJDACFOJGIKOGLDJFFNKDCIELNKLKCE%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGDLJKKMGHDKCKHAOGAEMGBGDFOPHKFCO%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD%26INSTALLSOURCE%3DONDEMAND%26UC deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DABLPCIKJMHAMJANPIBKCCDMPOEKJIGJA%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDLJDACFOJGIKOGLDJFFNKDCIELNKLKCE%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGDLJKKMGHDKCKHAOGAEMGBGDFOPHKFCO%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD%26INSTALLSOURCE%3DONDEMAND%26UC

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке сохраняйте зашифрованные файлы из важных папок, ждите решения.

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 10.03.2016

Размещено 16.09.2016 08:55:56

santy, спасибо за оперативность. Будем ждать решения. Файлов очень много осталось

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 09:01:59

Владимир,
делайте выводы.
на решение по шифраторам (если оно возможно) как правило уходит месяц и более,
иногда через год-два появляется дешифратор.
на восстановление из актуального бэкапа важных данным вы потратите максимум день.

[ Как создать образ автозапуска? ]

Сообщений: 3

Баллов: 1

Регистрация: 16.09.2016

Размещено 16.09.2016 09:04:37

Вот файл

Прикрепленные файлы

DIREKTORCZN_2016-09-16_13-53-06.7z (529.13 КБ)

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 09:18:16

@ Баир сотников,

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE addsgn 7300AF98556A1F275D83C49157254C8C49AEE431CDDE0FA02783C5353CF265B3362343173E3D9CC92B807B8A729709FA2820FDDED79AB04624D4DC608406CA8E 8 Win32/Filecoder.ED [ESET-NOD32] zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE delref WWW.OMLET.RU ;------------------------autoscript--------------------------- chklst delvir deldirex %SystemDrive%\USERS\73B5~1\APPDATA\ROAMING\DSITE\UPDATE~1 delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC delhst 192.157.215.108 ok.ru delhst 192.157.215.108 m.ok.ru deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
addsgn 7300AF98556A1F275D83C49157254C8C49AEE431CDDE0FA02783C5353CF265B3362343173E3D9CC92B807B8A729709FA2820FDDED79AB04624D4DC608406CA8E 8 Win32/Filecoder.ED [ESET-NOD32]

zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
delref WWW.OMLET.RU
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\USERS\73B5~1\APPDATA\ROAMING\DSITE\UPDATE~1

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC

delhst 192.157.215.108 ok.ru
delhst 192.157.215.108 m.ok.ru
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 16.09.2016

Размещено 16.09.2016 11:45:54

Здравствуйте!
Прошу помощи.
Вот файл.

Прикрепленные файлы

SAFETY_2016-09-16_13-11-32.7z (745.61 КБ)

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 12:04:00

Сергей Хлуденев,

по очистке системы выполните скрипт из безопасного режима системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.0 OFFSGNSAVE sreg delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFESVC.EXE delref %SystemDrive%\PROGRAM FILES (X86)\TDATA\TDATA.EXE delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNL.SYS delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNLKIT.SYS delref %Sys32%\DRIVERS\ISAFEKRNLBOOT.SYS delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNLMON.SYS delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNLR3.SYS delref %Sys32%\DRIVERS\ISAFENETFILTER.SYS delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\DAEMON2.EXE unload %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE delref %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE delref HTTP://WWW.YOURSITES123.COM/?TYPE=HP&TS=1458821071&Z=3257D84D40FA025858940F8GDZ7W4BCBDOEG1EEQ7Z&FROM=WPM0314&UID=395049983_397233_D4F2E1DD delref HTTP://YOURSITES123.COM/WEB?TYPE=DS&TS=1458821071&Z=3257D84D40FA025858940F8GDZ7W4BCBDOEG1EEQ7Z&FROM=WPM0314&UID=395049983_397233_D4F2E1DD&Q={SEARCHTERMS} delref HTTP://YOURSITES123.COM/WEB?TYPE=DS&TS=1458899167&Z=9F07EA8B40457EDA6301628G4Z3WBB9B1T4T4G5W6Q&FROM=WPM0314&UID=395049983_397233_D4F2E1DD&Q={SEARCHTERMS} areg

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
OFFSGNSAVE

sreg

delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFESVC.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\TDATA\TDATA.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNL.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNLKIT.SYS
delref %Sys32%\DRIVERS\ISAFEKRNLBOOT.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNLMON.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFEKRNLR3.SYS
delref %Sys32%\DRIVERS\ISAFENETFILTER.SYS
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\DAEMON2.EXE
unload %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
delref %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
delref HTTP://WWW.YOURSITES123.COM/?TYPE=HP&TS=1458821071&Z=3257D84D40FA025858940F8GDZ7W4BCBDOEG1EEQ7Z&FROM=WPM0314&UID=395049983_397233_D4F2E1DD
delref HTTP://YOURSITES123.COM/WEB?TYPE=DS&TS=1458821071&Z=3257D84D40FA025858940F8GDZ7W4BCBDOEG1EEQ7Z&FROM=WPM0314&UID=395049983_397233_D4F2E1DD&Q={SEARCHTERMS}
delref HTTP://YOURSITES123.COM/WEB?TYPE=DS&TS=1458899167&Z=9F07EA8B40457EDA6301628G4Z3WBB9B1T4T4G5W6Q&FROM=WPM0314&UID=395049983_397233_D4F2E1DD&Q={SEARCHTERMS}
areg

перезагрузка, пишем о старых и новых проблемах.
------------
перегружаемся в нормальный режим работы,
добавьте новый образ автозапуска для дальнейшей очистки системы.

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 16.09.2016

Размещено 16.09.2016 13:12:41

Скрипт отработал, но не предлагал деинсталляцию программ.
Перегрузил, больше половины файлов осталось зашифрованной.
Новый образ не могу создать, пишет: Ошибка: база проверенных пуста, скачайте готовую базу на оф. сайте или наполните ее хэшами проверенных файлов самостоятельно

Сообщений: 5

Баллов: 2

Регистрация: 16.09.2016

Размещено 16.09.2016 13:16:05

Вот сам заархивировал

Прикрепленные файлы

SAFETY_2016-09-16_15-02-09.ZIP (1.52 МБ)

Сообщений: 3

Баллов: 1

Регистрация: 16.09.2016

Размещено 16.09.2016 13:56:42

Добрый день! Помогите избавится от заразы

Прикрепленные файлы

LAPTOP-QB9TQRUV_2016-09-16_13-33-20.7z (720.6 КБ)

Пред. 1 ... 32 33 34 35 36 ... 60 След.