файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 31 32 33 34 35 ... 60 След.

Сообщений: 13

Баллов: 6

Регистрация: 08.05.2014

Размещено 15.09.2016 21:16:20

Был скачан архив по этой вот ссылке - https://cloud.mail.ru/public/JPKV/yp7SggZe5
Архив был сначала проверен антивирусом Eset Endpoint Antivirus версия 5.0.2214.7 с последними базами, но ничего подозрительного не обнаружил.
После архив был открыт и была попытка открыть файл внутри архива...но т.к. файл не открылся...был удален потом.
После перезагрузки ПК, на компьютере появились множество файлов с непонятными именами и расширением ".da_vinci_code"
Помогите уж восстановить файлы, если Ваш антивирус

не способен обнаружить данный вирус (или троянскую программу)...хотя антивирус Касперского показал наличие вредоносной программы или вредоносного объекта, в сканируемом потом уже архиве на другом ПК!!!

Прикрепленные файлы

KSCO-ADMIN_2016-09-15_20-15-37.7z (419.8 КБ)

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 15.09.2016 22:46:06

Я обычно в темы с шифраторами не вмешиваюсь.
Вирус всё ещё активен.
C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\WINDOWS\CSRSS.EXE
Копия вируса: C:\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\RAD0E131.TMP
-----
А вообще файлы прежде чем запускать нужно проверять здесь: https://www.virustotal.com/

Изменено: RP55 RP55 - 16.09.2016 01:19:56

Сообщений: 13

Баллов: 6

Регистрация: 08.05.2014

Размещено 15.09.2016 22:50:13

Дружище, как бы сначала проверил архив Нодом, а потом уже за чем то открыл...понадеялся на адекватность Нода, но как видимо зря...
Теперь приходят мысли о смене, на тот же Каспер.

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 01:32:36

Сергей Антоненко,

по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE addsgn 7300AF98556A1F275D83C49157254C8C49AEE431CDDE0FA02783C5353CF265B3362343173E3D9CC92B807B8A729709FA2820FDDED79AB04624D4DC608406CA8E 8 da_vinci_code zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\WINDOWS\CSRSS.EXE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\RAD0E131.TMP ;------------------------autoscript--------------------------- chklst delvir delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.2.9.0_0\СТАРТОВАЯ — ЯНДЕКС regt 28 regt 29 deltmp delnfr ;------------------------------------------------------------- czoo restart

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
addsgn 7300AF98556A1F275D83C49157254C8C49AEE431CDDE0FA02783C5353CF265B3362343173E3D9CC92B807B8A729709FA2820FDDED79AB04624D4DC608406CA8E 8 da_vinci_code

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\WINDOWS\CSRSS.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\RAD0E131.TMP
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.2.9.0_0\СТАРТОВАЯ — ЯНДЕКС

regt 28
regt 29
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
по расшифровке:
сохраните зашифрованные файлы из важных папок на отдельный носитель и ждите решения, когда оно будет.
а за это время, имеет смысл выполнять регулярно архивное копирование важных документов,
а так же уделить немного времени медитации вот по этой фразе:

Цитата
а потом уже за чем то открыл...понадеялся на адекватность Нода

здесь видится проблема, что на свою адекватность вы видимо не рассчитываете, а надеетесь на то, что антивир станет за вас порядок наводить.

Изменено: santy - 16.09.2016 01:48:17

[ Как создать образ автозапуска? ]

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 01:37:03

Цитата
RP55 RP55 написал: А вообще файлы прежде чем запускать нужно проверять здесь: https://www.virustotal.com/

добавлю, что надо обращать внимание на расширение файла.
если вам пишут про офисные документы в сообщении, а по факту в архиве исполняемый файл с расширением js, (там даже иконка видна, что это js, и тип указан Jscript),
значит вам просто обманывают, и не надо играть в русскую рулетку - а что будет если нажать на курок, вроде бы сказали что в барабане нет пуль.
т.е. даже если VT показывает все по нулям.

Изменено: santy - 16.09.2016 01:47:08

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 08.05.2014

Размещено 16.09.2016 02:22:17

Спасибо рассмешили, но если говорить по факту. Тогда почему Каспер что-то обнаружил нехорошее в архиве, а NOD сказал, что все путем работайте дальше... я ничего плохого в архиве не обнаружил???????????? Если бы, меня совсем не насторожило содержимое архива - то я, не стал бы тогда проверять его Нодом...видимо, что-то нужно улучшать в работе антивиртуса NOD - если он хочет удерживать потребителей своего антивирусного продукта, иначе как говорится: аллес капут и адиос NOD)))
В любом случае спасибо за помощь, буду надеяться на разрешение моей проблемы и возможного нахождения дешифратора!!!

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 04:42:00

Цитата
Сергей Антоненко написал: ...если говорить по факту. Тогда почему Каспер что-то обнаружил нехорошее в архиве, а NOD сказал, что все путем работайте дальше... я ничего плохого в архиве не обнаружил????????????

и опять у вас неверные установки. Если антивир ничего не обнаружил, это не значит еще что файл безопасен.
В каком то смысле - вердикт безопасности может дать только система LiveGrid (по комплекту показателей: наличие легальной цифровой, отсутствие детекта, наличие надежной облачной репутации.
Складывается впечатление, что вы даже порадовались этому факту (что не было детекта). А вот сейчас и проверим, так ли он безопасен, как утверждает антивирус.

.

только проверять такие файлы надо на виртуальной машине, а не на рабочем компе с установленными рабочими приложениями.
и не давать волю своему любопытству, вопреки здравому смыслу.

[ Как создать образ автозапуска? ]

Сообщений: 3

Баллов: 1

Регистрация: 16.09.2016

Размещено 16.09.2016 06:55:37

Добрый день! Не знаю как, но зашифровались все файлы и имееют такой вид: +w6GVBN4mH4SjvFbi3NRkOpR9Uix3WPLjPdxeEhx1BwEIFYSCOYWNsmwMxOEIvEn.877E2CF607B13569DFD0.da_vinci_code.
В форуме есть обращения по этому поводу, но у меня не выполняется uVS - не удается найти. Что делать?

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 16.09.2016 07:14:58

@Баир сотников,
добавьте образ автозапуска системы по инструкции
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 10.03.2016

Размещено 16.09.2016 08:25:16

Друзья, нужна помощь с da_vinci. Вчера словили. Буду очень признателен.

http://rgho.st/7CwyS4NFt

Пред. 1 ... 31 32 33 34 35 ... 60 След.