файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 17 18 19 20 21 ... 60 След.

Сообщений: 3

Баллов: 1

Регистрация: 23.05.2016

Размещено 23.05.2016 15:13:03

спасибо. печаль беда.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 23.05.2016 15:22:40

xtbl, breaking_bad, better_call_saul, теперь da_vinci_code - это все одно семейство Ransom.Shade/Encode.ED
по нему нет расшифровки.

[ Как создать образ автозапуска? ]

Сообщений: 7

Баллов: 3

Регистрация: 21.05.2016

Размещено 24.05.2016 10:25:11

Цитата

santy написал:
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код

 ;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn A7679BF0AA027CD84BD4C609F6881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CD2DF9FE82BD6D780EB6D775BACCA32E533 8 ransom.shade.da_vinci_code

zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://YANBEX.PW

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DABLPCIKJMHA...

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIO...

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMEL...

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMDELDJOLAMF...

delref %SystemDrive%\USERS\1\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.2.9.0_0\СТАРТОВАЯ — ЯНДЕКС

delref HTTP:\\YANBEX.PW

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.

расшифровки к сожалению нет по этому шифратору.
восстанавливаем документы из архивных копий.

Не помогло всё тоже самое что делать ?!

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 24.05.2016 12:28:18

Кирилл,
скрипт выполняет только очистку системы от тела шифратора. Файлы при этом не расшифровываются.

[ Как создать образ автозапуска? ]

Сообщений: 7

Баллов: 3

Регистрация: 21.05.2016

Размещено 24.05.2016 12:33:29

Хорошо, а банер остался документ никакой я не могу создать(ворд эксель)
Как быть то ?
всё переустанавливать ?

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 24.05.2016 12:40:54

просто поменяйте обои рабочего стола. Офис если не работает, переустановите.

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 24.05.2016

Размещено 24.05.2016 13:45:05

А есть какая нибудь возможность расшифровать?

https://yadi.sk/d/3f_XL_oTrx3iJ

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 24.05.2016 14:42:12

Дмитрий,
расшифровки по .da_vinci_code нет,
а вот почистить систему надо обязательно, тем более, что банковский клиент есть.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.2 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE zoo %SystemDrive%\USERS\1\APPDATA\ROAMING\DIGITALSITES\UPDATEPROC\UPDATETASK.EXE addsgn A7679B19919AF4669195AE59007CECFACD797008767FDF06A0A9C5D4484F304C4B5B5A163E3D1DD06A803D27DC5749409545A972ED322A6D2D9F0E7938F9CA62 9 Win32/DealPly.Z [ESET-NOD32] delref %SystemDrive%\USERS\1\APPDATA\ROAMING\WINDOWSUPDATE\UPDATER.EXE ;------------------------autoscript--------------------------- chklst delvir delref {D5FEC983-01DB-414A-9456-AF95AC9ED7B5}\[CLSID] delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHC... delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMEL... delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLD... delref %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE delref %SystemDrive%\USERS\1\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.0.7_0\СТАРТОВАЯ — ЯНДЕКС deldirex %SystemDrive%\PROGRAM FILES\XTAB delref %SystemDrive%\USERS\1\APPDATA\ROAMING\WINDOWS LIVE\BVHIXVOIVP.EXE del %SystemDrive%\PROGRAM FILES\MOZILLA FIREFOX\FIREFOX.URL del %SystemDrive%\PROGRAM FILES\OPERA\OPERA.URL regt 28 regt 29 ; McAfee Security Scan Plus exec C:\Program Files\McAfee Security Scan\uninstall.exe deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\USERS\1\APPDATA\ROAMING\DIGITALSITES\UPDATEPROC\UPDATETASK.EXE
addsgn A7679B19919AF4669195AE59007CECFACD797008767FDF06A0A9C5D4484F304C4B5B5A163E3D1DD06A803D27DC5749409545A972ED322A6D2D9F0E7938F9CA62 9 Win32/DealPly.Z [ESET-NOD32]

delref %SystemDrive%\USERS\1\APPDATA\ROAMING\WINDOWSUPDATE\UPDATER.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref {D5FEC983-01DB-414A-9456-AF95AC9ED7B5}\[CLSID]

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHC...

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMEL...

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLD...

delref %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE

delref %SystemDrive%\USERS\1\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.0.7_0\СТАРТОВАЯ — ЯНДЕКС

deldirex %SystemDrive%\PROGRAM FILES\XTAB

delref %SystemDrive%\USERS\1\APPDATA\ROAMING\WINDOWS LIVE\BVHIXVOIVP.EXE

del %SystemDrive%\PROGRAM FILES\MOZILLA FIREFOX\FIREFOX.URL

del %SystemDrive%\PROGRAM FILES\OPERA\OPERA.URL

regt 28
regt 29
; McAfee Security Scan Plus
exec C:\Program Files\McAfee Security Scan\uninstall.exe
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Сообщений: 7

Баллов: 3

Регистрация: 21.05.2016

Размещено 24.05.2016 15:16:19

Пока проблемы не обнаружены, настраиваю всё старое будут проблемы буду писать.
Спасибо

Сообщений: 2

Баллов: 1

Регистрация: 24.05.2016

Размещено 24.05.2016 17:52:40

Можете помочь?
http://rgho.st/6wclR9LRR

Пред. 1 ... 17 18 19 20 21 ... 60 След.