файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 25 26 27 28 29 ... 60 След.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2016 15:13:55

Данзан Очиров,
по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemRoot%\DOEVWADMFQR.EXE addsgn 1AA70A9A5583348CF42B254E3143FE86C9AA77B381AC48128D9A7B1C549471C15EF730F2B71065C26E8CDB1603EA177FBDABE48455D2C42BEA32502F879F23FE 8 Win32/Spy.Delf.PWC [ESET-NOD32] zoo %SystemRoot%\DOEVWADMFQR.EXE.1467667858631.DLL addsgn 9204749A556AA5990F89EBE4A7201305258A17AB3217E0877AC0183DBBD6B14A23947E2A3A559D49A21DF99B4616467FBDDCE872D85F39282D77F4D0520F2D73 8 Trojan.MulDrop6.35238 [DrWeb] zoo %SystemRoot%\DOEVWADMFQR.EXE.1467655205724.DLL zoo %SystemRoot%\LIBEAY32.DLL zoo %SystemRoot%\DOEVWADMFQR.EXE.1467667863121.DLL zoo %SystemRoot%\SSLEAY32.DLL zoo %Sys32%\CONFIG\SYSTEMPROFILE\APPDATA\ROAMING\ACAEBFCDB.EXE addsgn 1A93CC9A5583348CF42B627DA804DEC9E946307DC5DE1B8F44C0C5BC50A255C622940256BA95E907DC41879F46163C1578DFE872555714082D77A42F4AA20673 8 da_vinci_code zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\QIP\QIP SHOT\QIPSHOT.EXE delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDFONANKHFNHIHDCPAAGPABBAOCLNJFP%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMDELDJOLAMFBCGNNDJMJJIINNHBNBNLA%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\MDEFNBCPJEFLGGGKIPFEMFCKJICCEIII\1.0_0\QIP AUTHORIZER delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD\1.2.9.1_0\СТАРТОВАЯ — ЯНДЕКС delref HTTP://QIP.RU delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=4E7578F9AD2425A905EF478502EE6A0D&TEXT={SEARCHTERMS} delref HTTP://WWW.QIP.RU/ deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
zoo %SystemRoot%\DOEVWADMFQR.EXE
addsgn 1AA70A9A5583348CF42B254E3143FE86C9AA77B381AC48128D9A7B1C549471C15EF730F2B71065C26E8CDB1603EA177FBDABE48455D2C42BEA32502F879F23FE 8 Win32/Spy.Delf.PWC [ESET-NOD32]

zoo %SystemRoot%\DOEVWADMFQR.EXE.1467667858631.DLL
addsgn 9204749A556AA5990F89EBE4A7201305258A17AB3217E0877AC0183DBBD6B14A23947E2A3A559D49A21DF99B4616467FBDDCE872D85F39282D77F4D0520F2D73 8 Trojan.MulDrop6.35238 [DrWeb]

zoo %SystemRoot%\DOEVWADMFQR.EXE.1467655205724.DLL
zoo %SystemRoot%\LIBEAY32.DLL
zoo %SystemRoot%\DOEVWADMFQR.EXE.1467667863121.DLL
zoo %SystemRoot%\SSLEAY32.DLL
zoo %Sys32%\CONFIG\SYSTEMPROFILE\APPDATA\ROAMING\ACAEBFCDB.EXE
addsgn 1A93CC9A5583348CF42B627DA804DEC9E946307DC5DE1B8F44C0C5BC50A255C622940256BA95E907DC41879F46163C1578DFE872555714082D77A42F4AA20673 8 da_vinci_code

zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\QIP\QIP SHOT\QIPSHOT.EXE

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDFONANKHFNHIHDCPAAGPABBAOCLNJFP%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMDELDJOLAMFBCGNNDJMJJIINNHBNBNLA%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\MDEFNBCPJEFLGGGKIPFEMFCKJICCEIII\1.0_0\QIP AUTHORIZER

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD\1.2.9.1_0\СТАРТОВАЯ — ЯНДЕКС

delref HTTP://QIP.RU

delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=4E7578F9AD2425A905EF478502EE6A0D&TEXT={SEARCHTERMS}

delref HTTP://WWW.QIP.RU/

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 13.07.2016

Размещено 13.07.2016 07:16:55

Здравствуйте

Поймали da vinci code в письме.
Архив с исходником js имеется, оно поможет?

Образ автозагрузки
http://rgho.st/6GYpnR4PZ

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.07.2016 07:53:14

Семен Сидоров,
по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemDrive%\TEMP\RAD62572.TMP addsgn 9A2C51DA5582BC8DF42BAEB164C81205158AFCF6B1FA1F7885C3C5BC0BC20978341B0517BA9D686943606871461649FA7DDFE97255DAB02C2D77A42FA4696F06 64 Multi.Generic [Kaspersky] zoo %SystemDrive%\TEMP\RADDCE02.TMP ;------------------------autoscript--------------------------- chklst delvir deltmp delnfr CZOO ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
zoo %SystemDrive%\TEMP\RAD62572.TMP
addsgn 9A2C51DA5582BC8DF42BAEB164C81205158AFCF6B1FA1F7885C3C5BC0BC20978341B0517BA9D686943606871461649FA7DDFE97255DAB02C2D77A42FA4696F06 64 Multi.Generic [Kaspersky]

zoo %SystemDrive%\TEMP\RADDCE02.TMP
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
CZOO
;-------------------------------------------------------------

restart

архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
по расшифровке не поможем.

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 15.07.2016

Размещено 15.07.2016 15:40:29

Здравствуйте!
Поймали ДаВинчи перекодировал файлы. Образ автозагрузки http://rgho.st/8gMlDpqLH

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.07.2016 16:11:56

Николай,
система уже очищена от вирусных тел шифратора.
С расшифровкой данных не поможем.

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 20.07.2016

Размещено 20.07.2016 08:26:23

Здравствуйте! Образ автозагрузки.

http://rgho.st/6BZMPg8fg

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 20.07.2016 09:43:40

Игорь Журавлев,

судя по образу система очищена от файлов шифратора

для полной очистки системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\PROGRAM FILES\TOOLKITSERVICE\UPDATES\TKIEHLP2.DLL del %SystemDrive%\PROGRAM FILES\TOOLKITSERVICE\UPDATES\TKIEHLP2.DLL delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAMINLPMKFCDIBGPGFAJLGNAMICJCKKJF%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://SETSUPDATES.COM/WHV9G3/E9U.PAC delref %SystemDrive%\DOCUMENTS AND SETTINGS\DESIGNER\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMJBEPBHONBOJPOAENHCKJOCCHGFIAOFO%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://SEARCH.QIP.RU/SEARCH?QUERY={SEARCHTERMS}&FROM=IE delref HTTP://SEARCH.QIP.RU/IE delref HTTP://QIP.RU delref HTTP://WWW.QIP.RU/ deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\PROGRAM FILES\TOOLKITSERVICE\UPDATES\TKIEHLP2.DLL
del %SystemDrive%\PROGRAM FILES\TOOLKITSERVICE\UPDATES\TKIEHLP2.DLL

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAMINLPMKFCDIBGPGFAJLGNAMICJCKKJF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://SETSUPDATES.COM/WHV9G3/E9U.PAC
delref %SystemDrive%\DOCUMENTS AND SETTINGS\DESIGNER\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMJBEPBHONBOJPOAENHCKJOCCHGFIAOFO%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://SEARCH.QIP.RU/SEARCH?QUERY={SEARCHTERMS}&FROM=IE
delref HTTP://SEARCH.QIP.RU/IE
delref HTTP://QIP.RU
delref HTTP://WWW.QIP.RU/
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
с расшифровкой не поможем.

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 05.08.2016

Размещено 05.08.2016 22:45:27

Добрый день, уважаемый @santy, девочки тоже подцепили эту заразу.

Прикрепляю лог автозагрузки.

http://rgho.st/72SMsBp6J

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.08.2016 02:15:32

Игорь,
по очистке системы выполните скрипт

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBEJNPNKHFGFKCPGIKIINOJLMDCJIMOBI%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBHJCGOMKANPKPBLOKEBECKNHAHGKCMOO%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DHPCGHCDJNEHPKDECAFLPEDHKLIMNEJIA%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\ПОЛЬЗОВАТЕЛЬ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\HPCGHCDJNEHPKDECAFLPEDHKLIMNEJIA\1.2.9.0_1\СТАРТОВАЯ — ЯНДЕКС deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBEJNPNKHFGFKCPGIKIINOJLMDCJIMOBI%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBHJCGOMKANPKPBLOKEBECKNHAHGKCMOO%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DHPCGHCDJNEHPKDECAFLPEDHKLIMNEJIA%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\USERS\ПОЛЬЗОВАТЕЛЬ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\HPCGHCDJNEHPKDECAFLPEDHKLIMNEJIA\1.2.9.0_1\СТАРТОВАЯ — ЯНДЕКС

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке документов:
если документы важны для вас, сохраните зашифрованные документы на отдельный носитель,
добавьте так же файлы reame*.txt

возможно в будущем появится возможность расшифровать документы,
как это было в случае xtbl/breaking_bad

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 05.08.2016

Размещено 06.08.2016 10:07:25

Спасибо за оперативный ответ.

К сожалению шифратор не оставил ни одного файла " readme*.txt ", поэтому ID для расшифровки тоже нет.
Остались в реестре две ветки " .da_vinci_code " , но они обе пустые.
Могу у пользователя взять скрипт, на почте остался, но поможет ли это.
Файлы все перезаписаны вместе с теневыми копиями, так что враги тоже делают работу над ошибками.

Спасибо за помощь. Удачи Вам.

Пред. 1 ... 25 26 27 28 29 ... 60 След.