файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 33 34 35 36 37 ... 60 След.

Сообщений: 1

Регистрация: 16.09.2016

Размещено 16.09.2016 14:58:13

Добрый день!
Помогите расшифровать файлы, пожалуйста!
Шифровальщик пришел в письме в zip архиве. НОД благополучно пропустил его ((
Все нужные файлы превратились в .da_vinci_code
Высылаю шифровальщик и примеры зашифрованных файлов.
Заранее спасибо!

Прикрепленные файлы

16.09.2016.js.txt (24.17 КБ)
primer.zip (34.35 КБ)

Сообщений: 2

Баллов: 1

Регистрация: 16.09.2016

Размещено 16.09.2016 15:01:40

Здравствуйте!

Помогите пожалуйста, беда как у всех...

Прикрепленные файлы

COMP1_2016-09-16_11-48-57.rar (576.73 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.09.2016 15:05:45

Цитата
Сергей Хлуденев написал: Вот сам заархивировал

по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.0 OFFSGNSAVE zoo %SystemDrive%\PROGRAMDATA\CSRSS\CSRSS.EXE addsgn 925277EA0C6AC1CC0B74484EA34FFEFF008AE174F74048F1604E5998D0278DB312D7936EE220660F6DD3ECBCB13E49ADFE1CEC213DC81B232D2127ECC35572B4 8 Win32/Filecoder.ED zoo %SystemDrive%\PROGRAMDATA\DRIVERS\CSRSS.EXE addsgn 9252777A066AC1CC0BE4424EA34FFAB8058A1C24446148F1604E5998D0278DB312D7936EE220660F6DD3ECBA7B3749ADFE1CEC213DE2C2212D2127ECC35572B4 13 Win32/Filecoder.ED [ESET-NOD32] zoo %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFESVC.EXE addsgn 1A32759A5583008CF42BFB3A8837072105CAFC9C88594B4BC5C32DF355D671B3561F2B1A3B559DCA16D4B7DF461610A308D78273BDEFB52C2D2ECC26C306E29B 8 Adware.Mutabaha.477 [DrWeb] zoo %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFESVC2.EXE addsgn 1AC67C9A5583CC8CF42BFB3A8837670DCD38010976A342BBD69592D650BED1432317AB3360179DA1FEB3849FC5D245925D62A972AACFC89C6C772FDF42F02DF7 8 Win32/Toolbar.Neobar zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\DAEMON2.EXE hide %SystemDrive%\PROGRAM FILES (X86)\TOTAL COMMANDER XP\TOTALCMD.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\PROGRAM FILES\HEWLETT-PACKARD\PRNSTATUSMX\PRNSTATUSMX.EXE del %SystemDrive%\PROGRAM FILES\HEWLETT-PACKARD\PRNSTATUSMX\PRNSTATUSMX.EXE delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGBCCGHHDJGLLJKEKKHMLFNMNJIIPDFCB%26INSTALLSOURCE%3DONDEMAND%26UC deldirex %SystemDrive%\USERS\USER\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=149D55D5EC71443B0C9B8B3A99448D69&TEXT={SEARCHTERMS} delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\6.1.1.2\6.1.1.2\UPDATER.EXE del %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\6.1.1.2\6.1.1.2\UPDATER.EXE deldirex %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC delref %Sys32%\DRIVERS\ISAFENETFILTER.SYS del %Sys32%\DRIVERS\ISAFENETFILTER.SYS delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I3PFAVK.EXE del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I3PFAVK.EXE delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IQKS1NP.EXE del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IQKS1NP.EXE delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I9D53RB.EXE del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I9D53RB.EXE delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IDGK3ZT.EXE del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IDGK3ZT.EXE delref %Sys32%\DRIVERS\ISAFEKRNLBOOT.SYS del %Sys32%\DRIVERS\ISAFEKRNLBOOT.SYS delref HTTP:\\WWW.YOURSITES123.COM\?TYPE=SC&TS=1458821071&Z=3257D84D40FA025858940F8GDZ7W4BCBDOEG1EEQ7Z&FROM=WPM0314&UID=395049983_397233_D4F2E1DD regt 27 deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\CSRSS\CSRSS.EXE
addsgn 925277EA0C6AC1CC0B74484EA34FFEFF008AE174F74048F1604E5998D0278DB312D7936EE220660F6DD3ECBCB13E49ADFE1CEC213DC81B232D2127ECC35572B4 8 Win32/Filecoder.ED

zoo %SystemDrive%\PROGRAMDATA\DRIVERS\CSRSS.EXE
addsgn 9252777A066AC1CC0BE4424EA34FFAB8058A1C24446148F1604E5998D0278DB312D7936EE220660F6DD3ECBA7B3749ADFE1CEC213DE2C2212D2127ECC35572B4 13 Win32/Filecoder.ED [ESET-NOD32]

zoo %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFESVC.EXE
addsgn 1A32759A5583008CF42BFB3A8837072105CAFC9C88594B4BC5C32DF355D671B3561F2B1A3B559DCA16D4B7DF461610A308D78273BDEFB52C2D2ECC26C306E29B 8 Adware.Mutabaha.477 [DrWeb]

zoo %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC\ISAFESVC2.EXE
addsgn 1AC67C9A5583CC8CF42BFB3A8837670DCD38010976A342BBD69592D650BED1432317AB3360179DA1FEB3849FC5D245925D62A972AACFC89C6C772FDF42F02DF7 8 Win32/Toolbar.Neobar

zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\DAEMON2.EXE
hide %SystemDrive%\PROGRAM FILES (X86)\TOTAL COMMANDER XP\TOTALCMD.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\PROGRAM FILES\HEWLETT-PACKARD\PRNSTATUSMX\PRNSTATUSMX.EXE
del %SystemDrive%\PROGRAM FILES\HEWLETT-PACKARD\PRNSTATUSMX\PRNSTATUSMX.EXE

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGBCCGHHDJGLLJKEKKHMLFNMNJIIPDFCB%26INSTALLSOURCE%3DONDEMAND%26UC

deldirex %SystemDrive%\USERS\USER\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=149D55D5EC71443B0C9B8B3A99448D69&TEXT={SEARCHTERMS}
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\6.1.1.2\6.1.1.2\UPDATER.EXE
del %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\6.1.1.2\6.1.1.2\UPDATER.EXE

deldirex %SystemDrive%\PROGRAM FILES (X86)\ELEX-TECH\YAC

delref %Sys32%\DRIVERS\ISAFENETFILTER.SYS
del %Sys32%\DRIVERS\ISAFENETFILTER.SYS

delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I3PFAVK.EXE
del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I3PFAVK.EXE

delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IQKS1NP.EXE
del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IQKS1NP.EXE

delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I9D53RB.EXE
del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$I9D53RB.EXE

delref %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IDGK3ZT.EXE
del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3960564851-3260143060-233747680-1000\$IDGK3ZT.EXE

delref %Sys32%\DRIVERS\ISAFEKRNLBOOT.SYS
del %Sys32%\DRIVERS\ISAFEKRNLBOOT.SYS

delref HTTP:\\WWW.YOURSITES123.COM\?TYPE=SC&TS=1458821071&Z=3257D84D40FA025858940F8GDZ7W4BCBDOEG1EEQ7Z&FROM=WPM0314&UID=395049983_397233_D4F2E1DD
regt 27
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 16.09.2016

Размещено 16.09.2016 15:06:54

Вот удалось сделать новый образ автозапуска, также прилагаю шифрованные файлы.

Прикрепленные файлы

SAFETY_2016-09-16_16-58-53.7z (736.24 КБ)
Файлы.zip (76.17 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.09.2016 15:08:33

Цитата
Максим Буданов написал: Добрый день! Помогите избавится от заразы

Максим, добавьте несколько зашифрованных файлов в ваше сообщение.
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv10.0 OFFSGNSAVE zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE addsgn 7300AF98556A1F275D83C49157254C8C49AEE431CDDE0FA02783C5353CF265B3362343173E3D9CC92B807B8A729709FA2820FDDED79AB04624D4DC608406CA8E 8 da_vinci_code ;------------------------autoscript--------------------------- chklst delvir deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
addsgn 7300AF98556A1F275D83C49157254C8C49AEE431CDDE0FA02783C5353CF265B3362343173E3D9CC92B807B8A729709FA2820FDDED79AB04624D4DC608406CA8E 8 da_vinci_code

;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.09.2016 15:10:48

Цитата
Сергей Хлуденев написал: Вот удалось сделать новый образ автозапуска, также прилагаю шифрованные файлы.

скрипт выполните из сообщения 172 и добавьте лог выполнения скрипта.
это файл дата_времяlog.txt из папки uVS

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.09.2016 15:12:18

Цитата
Андрей Лобанов написал: Добрый день! Помогите расшифровать файлы, пожалуйста! Шифровальщик пришел в письме в zip архиве. НОД благополучно пропустил его (( Все нужные файлы превратились в .da_vinci_code Высылаю шифровальщик и примеры зашифрованных файлов. Заранее спасибо!

Цитата

Андрей Лобанов написал:
Добрый день!
Помогите расшифровать файлы, пожалуйста!
Шифровальщик пришел в письме в zip архиве. НОД благополучно пропустил его ((
Все нужные файлы превратились в .da_vinci_code
Высылаю шифровальщик и примеры зашифрованных файлов.
Заранее спасибо!

Андрей,
добавьте образ автозапуска системы для последующей ее очистки от файлов шифратора.

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.09.2016 15:16:37

Цитата
Роман Гаврилов написал: Здравствуйте! Помогите пожалуйста, беда как у всех...

по очистке системы, выполните скрипт в uVS

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE addsgn A7679BF0AA0294071BD4C6D909D81261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544491E05682F99625583332135F5B42F38852F6F 8 da_vinci_code zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE ;------------------------autoscript--------------------------- chklst delvir delref {D5FEC983-01DB-414A-9456-AF95AC9ED7B5}\[CLSID] delref %SystemDrive%\USERS\ASTRA\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE del %SystemDrive%\USERS\ASTRA\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE regt 27 ; McAfee Security Scan Plus exec C:\Program Files\McAfee Security Scan\uninstall.exe deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
addsgn A7679BF0AA0294071BD4C6D909D81261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544491E05682F99625583332135F5B42F38852F6F 8 da_vinci_code

zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref {D5FEC983-01DB-414A-9456-AF95AC9ED7B5}\[CLSID]

delref %SystemDrive%\USERS\ASTRA\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
del %SystemDrive%\USERS\ASTRA\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
regt 27
; McAfee Security Scan Plus
exec C:\Program Files\McAfee Security Scan\uninstall.exe
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
+
добавьте на форум в архиве несколько зашифрованных файлов.

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 16.09.2016

Размещено 16.09.2016 15:44:12

Цитата

santy написал:

Цитата
Сергей Хлуденев написал: Вот удалось сделать новый образ автозапуска, также прилагаю шифрованные файлы.

скрипт выполните из сообщения 172 и добавьте лог выполнения скрипта.
это файл дата_времяlog.txt из папки uVS

Вот

Прикрепленные файлы

2016-09-16_17-15-32_log.txt (42.58 КБ)

Сообщений: 2

Баллов: 1

Регистрация: 16.09.2016

Размещено 16.09.2016 15:44:25

Цитата
santy написал: по очистке системы, выполните скрипт в uVS

Спасибо.
И я правильно понимаю что дешифровка невозможна?

Пред. 1 ... 33 34 35 36 37 ... 60 След.