зашифровано с расширением *sos1506@163.com_* - Форум технической поддержки ESET NOD32

Сообщений: 11

Баллов: 5

Регистрация: 08.07.2015

Размещено 08.07.2015 14:10:29

Прошу помочь Мне в поиске и подборке шифровальщика от вируса присланого мне на почту злоумышленником с целью разживиться. Я сам полу нуб чуток разбираюсь. думал гугл мне в помощь перебрал кучу программ ссылок и антивирус кодировщиков но так ничего и не вышло(
Все фаилы сменили название [email protected] формат стал у всех СОМ_70DOZ.
ссылка на пару фаилов через обменик https://dropmefiles.com/oYiAT фаил это было когда то фото квартиры.

Изменено: Тимур Хайрулин - 05.12.2016 07:43:50

Сообщений: 17837

Баллов: 14269

Регистрация: 16.03.2010

Размещено 08.07.2015 14:31:10

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Сообщений: 11

Баллов: 5

Регистрация: 08.07.2015

Размещено 08.07.2015 15:18:34

Цитата
santy написал: добавьте образ автозапуска http://forum.esetnod32.ru/forum9/topic2687/

ссылка на фаил автозапуска http://rghost.ru/8rGZ94Mlg#

Сообщений: 17837

Баллов: 14269

Регистрация: 16.03.2010

Размещено 08.07.2015 16:06:59

по очистке системы:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.25 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE zoo %SystemDrive%\PROGRAM FILES (X86)\CINEMAPLUS-3.2CV06.07\D131932D-2BFB-4F57-94FC-116F683BACAE-3.EXE addsgn 1AB2939A5583338CF42BFB3A889E99702D0F0A8E80128E9D85C3FE8C2CD199C4C617C3DC0EBDE6AC2B800F9BF648143928540424BD1AF32C2DFC54AA317325CB 8 Trojan.Crossrider zoo %SystemDrive%\USERS\АДМИН\DESKTOP\ТОЙОТА\PLAYER.EXE addsgn 6E8C9F98556A4C41CB5F6A32A4CC818EC601A70A08111858C5C34261D36B4C656317C258BA6699492B0039CD695649FA09E865F7AEF6F02C7D8831F8EB4622FE 24 svghost zoo %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\386ECC81-1436278116-11CB-8B3E-DA59DE49C098\BNSW80D9.EXE addsgn 1A6FDE9A5583C58CF42B254E3143FE86C9AA77B381AC48128D9A7B44D89271C15EF730F2B71065C26E8CDB1603EA177FBDABE48455D2C42BEA32502F879F23FE 8 Adware.ConvertAd zoo %SystemDrive%\USERS\АДМИН\APPDATA\ROAMING\VOPACKAGE\VOPACKAGE.EXE addsgn 7300F79B556A1F275DE775E6ED94361DE2CED8E6E96B5F78B63503F874C251B33627B3173E3D9CC92B807B8AF66609FA2E20FD0E279AB04625D4BCC38506CA82 64 Adware.ConvertAd addsgn 1ABF639B5583C58CF42B254E3143FE6F2FE0FC09FCF2F77B92C2C53F94DA2C8FA8E896DCD2AAE845418AEE9FB963411268C8E972D61EA071EEFC5B7A4CEA7F9A 8 Amonetize zoo %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\29527\UPDATER.EXE hide %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\DROPBOX\UPDATE\DROPBOXUPDATE.EXE hide %SystemDrive%\PROGRAM FILES\LENOVO\COMMUNICATIONS UTILITY\TPKNRSVC.EXE ;------------------------autoscript--------------------------- chklst delvir deldirex %SystemDrive%\PROGRAM FILES (X86)\ANYPROTECTEX deldirex %SystemDrive%\PROGRAM FILES (X86)\CROSSBROWSE\CROSSBROWSE\APPLICATION deldirex %SystemDrive%\PROGRAM FILES (X86)\GLOBALUPDATE\UPDATE delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\GOOGLEUPDATE.EXE delref %SystemDrive%\USERS\�����\APPDATA\ROAMING\QZDGUDMYUBELHLTYRKBI4F.EXE delref %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 3\EXTENSIONS\PAPBADOLDDDALGCJCICNIKCFENODPGHP\1.26.88_0\CINEMAPLUS-3.2CV06.07 delref %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE ; CinemaPlus-3.2cV06.07 exec C:\Program Files (x86)\CinemaPlus-3.2cV06.07\Uninstall.exe /fcp=1 /runexe='C:\Program Files (x86)\CinemaPlus-3.2cV06.07\UninstallBrw.exe' /url='http://notif.keyprobox.com/notf_sys/index.html' /brwtype='uni' /onerrorexe='C:\Program Files (x86)\CinemaPlus-3.2cV06.07\utils.exe' /crregname='CinemaPlus-3.2cV06.07' /appid='72893' /srcid='002974' /bic='907e95f846ea368b8c89d9a90425bf52IE' /verifier='9d62fd073cdcb48724936a09665a08c5' /brwshtoms='15000' /installerversion='1_36_01_22' /statsdomain='http://stats.keyprobox.com/utility.gif?' /errorsdomain='http://errors.keyprobox.com/utility.gif?' /monetizationdomain='http://logs.keyprobox.com/monetization.gif?' ; Crossbrowse exec C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\39.6.2171.95\Installer\setup.exe" --uninstall --system-level ; Remote Desktop Access (VuuPC) exec C:\Users\АДМИН\AppData\Roaming\VOPackage\Uninstall.exe deldirex %SystemDrive%\PROGRAM FILES (X86)\CINEMAPLUS-3.2CV06.07 deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.85.25 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAM FILES (X86)\CINEMAPLUS-3.2CV06.07\D131932D-2BFB-4F57-94FC-116F683BACAE-3.EXE
addsgn 1AB2939A5583338CF42BFB3A889E99702D0F0A8E80128E9D85C3FE8C2CD199C4C617C3DC0EBDE6AC2B800F9BF648143928540424BD1AF32C2DFC54AA317325CB 8 Trojan.Crossrider

zoo %SystemDrive%\USERS\АДМИН\DESKTOP\ТОЙОТА\PLAYER.EXE
addsgn 6E8C9F98556A4C41CB5F6A32A4CC818EC601A70A08111858C5C34261D36B4C656317C258BA6699492B0039CD695649FA09E865F7AEF6F02C7D8831F8EB4622FE 24 svghost

zoo %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\386ECC81-1436278116-11CB-8B3E-DA59DE49C098\BNSW80D9.EXE
addsgn 1A6FDE9A5583C58CF42B254E3143FE86C9AA77B381AC48128D9A7B44D89271C15EF730F2B71065C26E8CDB1603EA177FBDABE48455D2C42BEA32502F879F23FE 8 Adware.ConvertAd

zoo %SystemDrive%\USERS\АДМИН\APPDATA\ROAMING\VOPACKAGE\VOPACKAGE.EXE
addsgn 7300F79B556A1F275DE775E6ED94361DE2CED8E6E96B5F78B63503F874C251B33627B3173E3D9CC92B807B8AF66609FA2E20FD0E279AB04625D4BCC38506CA82 64 Adware.ConvertAd

addsgn 1ABF639B5583C58CF42B254E3143FE6F2FE0FC09FCF2F77B92C2C53F94DA2C8FA8E896DCD2AAE845418AEE9FB963411268C8E972D61EA071EEFC5B7A4CEA7F9A 8 Amonetize

zoo %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\29527\UPDATER.EXE
hide %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\DROPBOX\UPDATE\DROPBOXUPDATE.EXE
hide %SystemDrive%\PROGRAM FILES\LENOVO\COMMUNICATIONS UTILITY\TPKNRSVC.EXE
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\PROGRAM FILES (X86)\ANYPROTECTEX

deldirex %SystemDrive%\PROGRAM FILES (X86)\CROSSBROWSE\CROSSBROWSE\APPLICATION

deldirex %SystemDrive%\PROGRAM FILES (X86)\GLOBALUPDATE\UPDATE

delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\GOOGLEUPDATE.EXE

delref %SystemDrive%\USERS\&#65533;&#65533;&#65533;&#65533;&#65533;\APPDATA\ROAMING\QZDGUDMYUBELHLTYRKBI4F.EXE

delref %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 3\EXTENSIONS\PAPBADOLDDDALGCJCICNIKCFENODPGHP\1.26.88_0\CINEMAPLUS-3.2CV06.07

delref %SystemDrive%\USERS\АДМИН\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE

; CinemaPlus-3.2cV06.07
exec  C:\Program Files (x86)\CinemaPlus-3.2cV06.07\Uninstall.exe /fcp=1 /runexe='C:\Program Files (x86)\CinemaPlus-3.2cV06.07\UninstallBrw.exe' /url='http://notif.keyprobox.com/notf_sys/index.html' /brwtype='uni' /onerrorexe='C:\Program Files (x86)\CinemaPlus-3.2cV06.07\utils.exe' /crregname='CinemaPlus-3.2cV06.07' /appid='72893' /srcid='002974' /bic='907e95f846ea368b8c89d9a90425bf52IE' /verifier='9d62fd073cdcb48724936a09665a08c5' /brwshtoms='15000' /installerversion='1_36_01_22' /statsdomain='http://stats.keyprobox.com/utility.gif?' /errorsdomain='http://errors.keyprobox.com/utility.gif?' /monetizationdomain='http://logs.keyprobox.com/monetization.gif?'
; Crossbrowse
exec  C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\39.6.2171.95\Installer\setup.exe" --uninstall --system-level
; Remote Desktop Access (VuuPC)
exec  C:\Users\АДМИН\AppData\Roaming\VOPackage\Uninstall.exe

deldirex %SystemDrive%\PROGRAM FILES (X86)\CINEMAPLUS-3.2CV06.07

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 11

Баллов: 5

Регистрация: 08.07.2015

Размещено 08.07.2015 17:53:25

Большое спасибо. Сегодня уже поздно. Завтра с утра сделаю все и отпишусь о результате.

Сообщений: 1

Регистрация: 09.07.2015

Размещено 09.07.2015 02:51:48

Здравствуйте недавно моя жена (ватница) запустила файл с электронной почты это был архив договор а в нем файл JS Ява скрипт

после этого все файлы получили расширение [email protected] фото, видео, xl, word,почта, и тд

Пробовал поменять расширение файла не помогло .

Восстановление системы не помогло .

Облазил и прочитал кучу статей не помогло.

ПОМОГИТЕ пожалуйста если с множите там все мои фотки !!

Я имею исходник (сам вирус js и два зашифрованы файла вирусом для примера)

http://rghost.ru/6rNrQTmz6 Пароль на скачивание 777777 Пароль на ZIP файл virus

Образ автозапуска утилитой uVS v3.85

http://rghost.ru/7bTNTFLQZ Пароль на скачивание 777777

ЕСЛИ кто бубнить может мне помочь БУДУ мега благодарен !!!!

Заранее спасибо !!

С Уважением Дмитрий !

Сообщений: 17837

Баллов: 14269

Регистрация: 16.03.2010

Размещено 09.07.2015 05:56:21

+
проверьте наличие чистых теневых копий на дисках

[ Как создать образ автозапуска? ]

Сообщений: 17837

Баллов: 14269

Регистрация: 16.03.2010

Размещено 09.07.2015 06:02:22

Дмитрий,
по очистке системы: образ чистый,
по восстановлению документов: проверяйте наличие чистых теневых копий на дисках
по расшифровке документов: при наличие лицензии на наш антивирус напишите в техподдержку [email protected]

Изменено: santy - 09.07.2015 06:02:43

[ Как создать образ автозапуска? ]

Сообщений: 11

Баллов: 5

Регистрация: 08.07.2015

Размещено 09.07.2015 07:19:34

Цитата
santy написал: http://forum.esetnod32.ru/forum9/topic10688/

как проверить теневые диски не знаю. Откат был выключен и предыдущих версий нет( скрипт вставил прогрнал изменений нет( фаилы так же зашифрованы. Сейчас обновляю антивирус который дали. Обновлю проверю отпишусь.

Сообщений: 17837

Баллов: 14269

Регистрация: 16.03.2010

Размещено 09.07.2015 07:40:44

используйте проверку теневых копий с помощью shadowexplorer
http://www.shadowexplorer.com/downloads.html

[ Как создать образ автозапуска? ]

зашифровано с расширением *[email protected]_* , возможно, Filecoder.NFD

зашифровано с расширением [email protected]_ , возможно, Filecoder.NFD