файлы зашифрованы с расширением .NO_MORE_RANSOM, .crypted000007 , Filecoder.ED / Encoder.858/ Ransom.Shade; r/n: readme*.txt

RSS

Сообщений: 3

Баллов: 1

Регистрация: 29.11.2016

Размещено 29.11.2016 03:21:13

Здравствуйте, прилетел вирус с почты, открыли и за шифровались файлы, в *no_more_ransom, есть ли дешифровщик, или кто готов помочь с решением данной проблемы? в теле зашифрованный файл

-------------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:..NO_MORE_RANSOM, * .crypted000007 на текущий момент возможна. Но надо проверять по каждому отдельному случаю есть приватный ключ или нет.
добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.

просьба: при создании сообщений о шифровании *.no_more_ransom/*.crypted000007 оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Прикрепленные файлы

файл.rar (12.05 КБ)

Ответы

Пред. 1 ... 24 25 26 27 28 ... 41 След.

Сообщений: 2

Баллов: 1

Регистрация: 25.05.2017

Размещено 25.05.2017 10:32:56

Здравствуйте !
Столкнулся с данной проблемой , когда на почту пришло письмо , вроде , выглядящее безобидно.
После всего этого начал замечать странные файлы , но значения этому не придал , и вот неожиданно появляется экран с этими надписями.
Могли бы вы дать мне инструкцию , что дальше делать ? И возможно ли найти дешифратор ?
Заранее благодарен .

Прикрепленные файлы

Oleg.rar (19 МБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.05.2017 11:14:43

Олег,
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v4.0.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v400c OFFSGNSAVE regt 35 ;------------------------autoscript--------------------------- delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPNOOFFJHCLKOCPLOPFFDBCDGHMIFFHJI%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK\1.2.0.4_0\СТАРТОВАЯ — ЯНДЕКС delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\MDPLJNDCMBEIKFNLFLCGGAIPGNHIEDBL\7.15_0\SAVEFROM.NET ПОМОЩНИК apply regt 27 deltmp delref %SystemRoot%\SYSWOW64\BLANK.HTM delref %Sys32%\BLANK.HTM delref %Sys32%\PSXSS.EXE ;------------------------------------------------------------- restart

Код


;uVS v4.0.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
regt 35
;------------------------autoscript---------------------------

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPNOOFFJHCLKOCPLOPFFDBCDGHMIFFHJI%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK\1.2.0.4_0\СТАРТОВАЯ — ЯНДЕКС
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\MDPLJNDCMBEIKFNLFLCGGAIPGNHIEDBL\7.15_0\SAVEFROM.NET ПОМОЩНИК
apply

regt 27
deltmp
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref %Sys32%\BLANK.HTM
delref %Sys32%\PSXSS.EXE
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке помочь не сможем.
восстанавливаем документы из бэкапов.

важные зашифрованные файлы сохраните на отдельный носитель до лучших времен, когда они наступят.

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 25.05.2017

Размещено 25.05.2017 19:23:39

Цитата

santy написал:
Олег,
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код

 
;uVS v4.0.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
regt 35
;------------------------autoscript---------------------------

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPNOOFFJHCLKOCPLOPFFDBCDGHMIFFHJI%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK\1.2.0.4_0\СТАРТОВАЯ — ЯНДЕКС
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\MDPLJNDCMBEIKFNLFLCGGAIPGNHIEDBL\7.15_0\SAVEFROM.NET ПОМОЩНИК
apply

regt 27
deltmp
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref %Sys32%\BLANK.HTM
delref %Sys32%\PSXSS.EXE
;-------------------------------------------------------------

restart

Спасибо , что были отзывчивы в данной ситуации !

Сообщений: 1

Регистрация: 29.05.2017

Размещено 29.05.2017 21:49:50

Добрый день
29.05.2017 попались на шифровальщик.
файл образа автозапуска прикреплен.

Прикрепленные файлы

WIN2K8_2017-05-29_23-01-01.7z (590.92 КБ)
README1.txt (4.05 КБ)
Документы.zip (2.11 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 30.05.2017 04:48:21

Александр,
по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v4.0.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v400c OFFSGNSAVE ;------------------------autoscript--------------------------- delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\SYSHLP\25.EXE delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE del %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\YANDEX\BROWSER.BAT apply regt 28 regt 29 deltmp delref %SystemDrive%\USERS\134E~1\APPDATA\LOCAL\TEMP\9\YUPDATE-VERSIONINFO-YABROWSER.XML delref %SystemRoot%\SYSWOW64\TBSSVC.DLL delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS delref %SystemRoot%\SYSWOW64\UMPO.DLL delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS delref %SystemRoot%\SYSWOW64\LSM.EXE delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID] delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID] delref {6BF52A52-394A-11D3-B153-00C04F79FAA6}\[CLSID] delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID] delref %SystemRoot%\SYSWOW64\WIN32K.SYS delref %SystemRoot%\SYSWOW64\BLANK.HTM delref XCSHINFO\[CLSID] delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID] delref %SystemDrive%\PROGRAM FILES\ESET\ESET SMART SECURITY\X86\SHELLEXT.DLL delref %SystemRoot%\TEMP\15\MCSE32_00.DLL delref %SystemDrive%\PROGRAM FILES\BEWARD\BEWARD PLAYER\BEWARD.FRAMESOURCE.AX delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\ROAMING\MAIL.RU\AGENT\MAGENT.EXE delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID] delref {91D221C4-0CD4-461C-A728-01D509321556}\[CLSID] delref %Sys32%\BLANK.HTM delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\ROAMING\ICQM\ICQ.EXE delref {10DB41A2-8A81-4788-B635-ABA6749A7D87}\[CLSID] delref {A996E48C-D3DC-4244-89F7-AFA33EC60679}\[CLSID] delref D:\СБИС++ ДОКУМЕНТООБОРОТ 2\МОНИТОРИНГ\SBISMON.EXE delref {93DF478B-C32A-4132-AF26-D8EEDCFCECF7}\[CLSID] delref {A9DF8C51-645B-4413-9D7D-0D7BA1F3C27F}\[CLSID] delref {B461F8A3-7F40-4282-ABE4-C9408EB1824B}\[CLSID] delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE delref {0D012ABD-CEED-11D2-9C76-00105AA73033}\[CLSID] delref {56A58823-AE99-11D5-B90B-0050DACD1F75}\[CLSID] delref {E01D1C6A-4F40-11D3-8958-00105A272DCF}\[CLSID] delref %Sys32%\MSSPELLCHECKINGFACILITY.DLL delref HELPSVC\[SERVICE] delref TABLETINPUTSERVICE\[SERVICE] delref VMMS\[SERVICE] delref MESSENGER\[SERVICE] delref RDSESSMGR\[SERVICE] delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.5.1068\BIN\RAGENT.EXE delref %SystemRoot%\TEMP\15B8CAFB.SYS delref %Sys32%\DRIVERS\VMCI.SYS delref %Sys32%\DRIVERS\VMNETADAPTER.SYS delref %Sys32%\DRIVERS\VMSWITCH.SYS delref %Sys32%\PSXSS.EXE delref IRENUM\[SERVICE] delref %SystemRoot%\TEMP\8\V8_B7C5_80.TMP delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.5.1068\BIN\RADMIN.DLL delref %SystemRoot%\TEMP\11\V8_CC47_54.TMP delref %SystemRoot%\TEMP\2\V8_D468_8E.TMP delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_40\BIN\JP2IEXP.DLL delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\7\V8_88D3_10.TMP delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\11\V8_E9B7_10.TMP delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\11\V8_C43D_11.TMP delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\11\V8_2399_16.TMP delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\7\V8_84F0_7B.TMP delref %SystemRoot%\TEMP\6\V8_68CE_11.TMP delref %SystemRoot%\TEMP\3\V8_DB0E_12.TMP delref %SystemRoot%\TEMP\10\V8_D0AA_10.TMP delref %SystemRoot%\TEMP\10\V8_BD2A_11.TMP delref %SystemRoot%\TEMP\4\V8_359A_12.TMP delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\4\V8_A66C_11.TMP delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\10\V8_B5D0_12.TMP delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\2\V8_F6DF_F.TMP delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\1\V8_111D_10.TMP delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\2\V8_8CE9_15.TMP delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_51\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_65\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_66\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_71\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_73\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_77\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_91\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_101\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_111\BIN\JP2IEXP.DLL delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_121\BIN\JP2IEXP.DLL delref %SystemDrive%\USERS\ВАСЯ\APPDATA\LOCAL\TEMP\9\V8_4D4D_14.TMP delref %SystemDrive%\USERS\ВАСЯ\APPDATA\LOCAL\TEMP\12\V8_D7E9_13.TMP delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\14\V8_3F4C_10.TMP delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\5\V8_B636_F8.TMP delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.7.1633\BIN\SBIS3SDK_V_1_1_4.DLL delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\7\V8_3F93_10.TMP delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\12\V8_B52_10.TMP delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\10\V8_BB0F_10.TMP delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\3\V8_153D_F.TMP delref %SystemRoot%\TEMP\3\V8_6D47_12.TMP delref %SystemRoot%\TEMP\2\V8_9F7_11.TMP delref %SystemRoot%\TEMP\4\V8_74B2_2D.TMP delref %SystemRoot%\TEMP\1\V8_9C60_15.TMP delref %SystemRoot%\TEMP\9\V8_A08B_F.TMP delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\6\V8_789B_12.TMP delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\6\V8_412D_23.TMP delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\13\V8_A769_1A.TMP delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\13\V8_E8BD_12.TMP delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\5\V8_1CD8_22.TMP delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\32.0.1709.125\DELEGATE_EXECUTE.EXE delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_45\BIN\JP2IEXP.DLL delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\3\V8_F173_14.TMP delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.7.1633\BIN\SBIS3SDK_3_6_4.DLL delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\4\V8_785D_10.TMP delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\V8_51AA_11.TMP delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\2\V8_B775_10.TMP delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\8\V8_6BA3_20.TMP delref %SystemDrive%\USERS\МАРИНА\APPDATA\LOCAL\TEMP\4\V8_E8B_12.TMP delref %SystemDrive%\USERS\МАРИНА\APPDATA\LOCAL\TEMP\5\V8_A0B8_F.TMP delref %SystemDrive%\USERS\МАРИНА\APPDATA\LOCAL\TEMP\11\V8_3E9A_F.TMP delref %SystemDrive%\USERS\ЛЕНА\APPDATA\LOCAL\TEMP\10\V8_DCCB_F.TMP delref %SystemDrive%\USERS\ЛЕНА\APPDATA\LOCAL\TEMP\8\V8_DF14_10.TMP delref %SystemDrive%\USERS\ЛЕНА\APPDATA\LOCAL\TEMP\6\V8_BC2C_11.TMP delref %SystemDrive%\USERS\СНАБЖЕНИЕ\APPDATA\LOCAL\TEMP\9\V8_4851_12.TMP delref %SystemDrive%\USERS\СНАБЖЕНИЕ\APPDATA\LOCAL\TEMP\4\V8_1288_13.TMP delref %SystemDrive%\USERS\МЕНЕДЖЕР\APPDATA\LOCAL\TEMP\6\V8_CF0_17.TMP delref %SystemDrive%\USERS\МЕНЕДЖЕР\APPDATA\LOCAL\TEMP\9\V8_5D8_F.TMP delref %SystemDrive%\USERS\ЮРИСТ\APPDATA\LOCAL\TEMP\11\V8_FEE5_13.TMP delref %SystemDrive%\USERS\ЮРИСТ\APPDATA\LOCAL\TEMP\12\V8_51BD_11.TMP delref %SystemDrive%\USERS\СВЕТА\APPDATA\LOCAL\TEMP\9\V8_33E7_13.TMP delref %SystemDrive%\USERS\СВЕТА\APPDATA\LOCAL\TEMP\12\V8_3FBD_13.TMP delref %SystemDrive%\USERS\META\APPDATA\LOCAL\TEMP\16\V8_9AE8_10.TMP delref %SystemDrive%\USERS\META\APPDATA\LOCAL\TEMP\14\V8_DE0E_F.TMP delref %SystemDrive%\PDFCOOLVPRINTERDRV\AMD64\NOVAPI7.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL delref %SystemDrive%\PROGRAM FILES\DRWEB ENTERPRISE BROWSER PLUGINS\IEINSHELPER64.OCX delref %Sys32%\IGFXCFG.EXE delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL delref %SystemRoot%\SYSWOW64\IBCASSL.DLL delref %SystemDrive%\PDFCOOLVPRINTERDRV\I386\NOVAPI7.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\12\CV8CF.DLL delref H:\MULTI_PASSWORD_RECOVERY_1.2.9_PORTABLE\MPR.EXE delref %SystemDrive%\PROGRAM FILES (X86)\VMWARE\VMWARE WORKSTATION\ELEVATED.DLL delref E:\BIN\1CV7S.EXE delref %SystemDrive%\PROGRAM FILES (X86)\NOVOSOFT\HANDY BACKUP\PLUGINS\SPECIALFOLDERSPLUGIN.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL delref %SystemDrive%\PROGRAM FILES (X86)\NOVOSOFT\HANDY BACKUP\HBAGENT.EXE delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\ROAMING\MAIL.RU\AGENT\MAGENTSETUP.EXE delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\COMMON\1CESTART.EXE delref %SystemDrive%\PROGRAM FILES (X86)\ADVANCED IP SCANNER\ADVANCED_IP_SCANNER.EXE delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\ROAMING\ICQM\ICQSETUP.EXE delref %SystemDrive%\IEXPLORE.BAT delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\VK.EXE delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\OK.EXE ;------------------------------------------------------------- restart

Код


;uVS v4.0.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\SYSHLP\25.EXE
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
del %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\YANDEX\BROWSER.BAT
apply

regt 28
regt 29
deltmp
delref %SystemDrive%\USERS\134E~1\APPDATA\LOCAL\TEMP\9\YUPDATE-VERSIONINFO-YABROWSER.XML
delref %SystemRoot%\SYSWOW64\TBSSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\UMPO.DLL
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {6BF52A52-394A-11D3-B153-00C04F79FAA6}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref %SystemRoot%\SYSWOW64\WIN32K.SYS
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref XCSHINFO\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %SystemDrive%\PROGRAM FILES\ESET\ESET SMART SECURITY\X86\SHELLEXT.DLL
delref %SystemRoot%\TEMP\15\MCSE32_00.DLL
delref %SystemDrive%\PROGRAM FILES\BEWARD\BEWARD PLAYER\BEWARD.FRAMESOURCE.AX
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\ROAMING\MAIL.RU\AGENT\MAGENT.EXE
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref {91D221C4-0CD4-461C-A728-01D509321556}\[CLSID]
delref %Sys32%\BLANK.HTM
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\ROAMING\ICQM\ICQ.EXE
delref {10DB41A2-8A81-4788-B635-ABA6749A7D87}\[CLSID]
delref {A996E48C-D3DC-4244-89F7-AFA33EC60679}\[CLSID]
delref D:\СБИС++ ДОКУМЕНТООБОРОТ 2\МОНИТОРИНГ\SBISMON.EXE
delref {93DF478B-C32A-4132-AF26-D8EEDCFCECF7}\[CLSID]
delref {A9DF8C51-645B-4413-9D7D-0D7BA1F3C27F}\[CLSID]
delref {B461F8A3-7F40-4282-ABE4-C9408EB1824B}\[CLSID]
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE
delref {0D012ABD-CEED-11D2-9C76-00105AA73033}\[CLSID]
delref {56A58823-AE99-11D5-B90B-0050DACD1F75}\[CLSID]
delref {E01D1C6A-4F40-11D3-8958-00105A272DCF}\[CLSID]
delref %Sys32%\MSSPELLCHECKINGFACILITY.DLL
delref HELPSVC\[SERVICE]
delref TABLETINPUTSERVICE\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.5.1068\BIN\RAGENT.EXE
delref %SystemRoot%\TEMP\15B8CAFB.SYS
delref %Sys32%\DRIVERS\VMCI.SYS
delref %Sys32%\DRIVERS\VMNETADAPTER.SYS
delref %Sys32%\DRIVERS\VMSWITCH.SYS
delref %Sys32%\PSXSS.EXE
delref IRENUM\[SERVICE]
delref %SystemRoot%\TEMP\8\V8_B7C5_80.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.5.1068\BIN\RADMIN.DLL
delref %SystemRoot%\TEMP\11\V8_CC47_54.TMP
delref %SystemRoot%\TEMP\2\V8_D468_8E.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_40\BIN\JP2IEXP.DLL
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\7\V8_88D3_10.TMP
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\11\V8_E9B7_10.TMP
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\11\V8_C43D_11.TMP
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\11\V8_2399_16.TMP
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\LOCAL\TEMP\7\V8_84F0_7B.TMP
delref %SystemRoot%\TEMP\6\V8_68CE_11.TMP
delref %SystemRoot%\TEMP\3\V8_DB0E_12.TMP
delref %SystemRoot%\TEMP\10\V8_D0AA_10.TMP
delref %SystemRoot%\TEMP\10\V8_BD2A_11.TMP
delref %SystemRoot%\TEMP\4\V8_359A_12.TMP
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\4\V8_A66C_11.TMP
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\10\V8_B5D0_12.TMP
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\2\V8_F6DF_F.TMP
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\1\V8_111D_10.TMP
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\LOCAL\TEMP\2\V8_8CE9_15.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_51\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_65\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_66\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_71\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_73\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_77\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_91\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_101\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_111\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_121\BIN\JP2IEXP.DLL
delref %SystemDrive%\USERS\ВАСЯ\APPDATA\LOCAL\TEMP\9\V8_4D4D_14.TMP
delref %SystemDrive%\USERS\ВАСЯ\APPDATA\LOCAL\TEMP\12\V8_D7E9_13.TMP
delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\14\V8_3F4C_10.TMP
delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\5\V8_B636_F8.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.7.1633\BIN\SBIS3SDK_V_1_1_4.DLL
delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\7\V8_3F93_10.TMP
delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\12\V8_B52_10.TMP
delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\10\V8_BB0F_10.TMP
delref %SystemDrive%\USERS\НАСТЯ.WIN2K8\APPDATA\LOCAL\TEMP\3\V8_153D_F.TMP
delref %SystemRoot%\TEMP\3\V8_6D47_12.TMP
delref %SystemRoot%\TEMP\2\V8_9F7_11.TMP
delref %SystemRoot%\TEMP\4\V8_74B2_2D.TMP
delref %SystemRoot%\TEMP\1\V8_9C60_15.TMP
delref %SystemRoot%\TEMP\9\V8_A08B_F.TMP
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\6\V8_789B_12.TMP
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\6\V8_412D_23.TMP
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\13\V8_A769_1A.TMP
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\13\V8_E8BD_12.TMP
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\5\V8_1CD8_22.TMP
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\32.0.1709.125\DELEGATE_EXECUTE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_45\BIN\JP2IEXP.DLL
delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\3\V8_F173_14.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\8.3.7.1633\BIN\SBIS3SDK_3_6_4.DLL
delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\4\V8_785D_10.TMP
delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\V8_51AA_11.TMP
delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\2\V8_B775_10.TMP
delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\8\V8_6BA3_20.TMP
delref %SystemDrive%\USERS\МАРИНА\APPDATA\LOCAL\TEMP\4\V8_E8B_12.TMP
delref %SystemDrive%\USERS\МАРИНА\APPDATA\LOCAL\TEMP\5\V8_A0B8_F.TMP
delref %SystemDrive%\USERS\МАРИНА\APPDATA\LOCAL\TEMP\11\V8_3E9A_F.TMP
delref %SystemDrive%\USERS\ЛЕНА\APPDATA\LOCAL\TEMP\10\V8_DCCB_F.TMP
delref %SystemDrive%\USERS\ЛЕНА\APPDATA\LOCAL\TEMP\8\V8_DF14_10.TMP
delref %SystemDrive%\USERS\ЛЕНА\APPDATA\LOCAL\TEMP\6\V8_BC2C_11.TMP
delref %SystemDrive%\USERS\СНАБЖЕНИЕ\APPDATA\LOCAL\TEMP\9\V8_4851_12.TMP
delref %SystemDrive%\USERS\СНАБЖЕНИЕ\APPDATA\LOCAL\TEMP\4\V8_1288_13.TMP
delref %SystemDrive%\USERS\МЕНЕДЖЕР\APPDATA\LOCAL\TEMP\6\V8_CF0_17.TMP
delref %SystemDrive%\USERS\МЕНЕДЖЕР\APPDATA\LOCAL\TEMP\9\V8_5D8_F.TMP
delref %SystemDrive%\USERS\ЮРИСТ\APPDATA\LOCAL\TEMP\11\V8_FEE5_13.TMP
delref %SystemDrive%\USERS\ЮРИСТ\APPDATA\LOCAL\TEMP\12\V8_51BD_11.TMP
delref %SystemDrive%\USERS\СВЕТА\APPDATA\LOCAL\TEMP\9\V8_33E7_13.TMP
delref %SystemDrive%\USERS\СВЕТА\APPDATA\LOCAL\TEMP\12\V8_3FBD_13.TMP
delref %SystemDrive%\USERS\META\APPDATA\LOCAL\TEMP\16\V8_9AE8_10.TMP
delref %SystemDrive%\USERS\META\APPDATA\LOCAL\TEMP\14\V8_DE0E_F.TMP
delref %SystemDrive%\PDFCOOLVPRINTERDRV\AMD64\NOVAPI7.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\DRWEB ENTERPRISE BROWSER PLUGINS\IEINSHELPER64.OCX
delref %Sys32%\IGFXCFG.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemRoot%\SYSWOW64\IBCASSL.DLL
delref %SystemDrive%\PDFCOOLVPRINTERDRV\I386\NOVAPI7.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\USERS\ED\APPDATA\LOCAL\TEMP\12\CV8CF.DLL
delref H:\MULTI_PASSWORD_RECOVERY_1.2.9_PORTABLE\MPR.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\VMWARE\VMWARE WORKSTATION\ELEVATED.DLL
delref E:\BIN\1CV7S.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\NOVOSOFT\HANDY BACKUP\PLUGINS\SPECIALFOLDERSPLUGIN.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\NOVOSOFT\HANDY BACKUP\HBAGENT.EXE
delref %SystemDrive%\USERS\НАДЕЖДА\APPDATA\ROAMING\MAIL.RU\AGENT\MAGENTSETUP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\1CV8\COMMON\1CESTART.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\ADVANCED IP SCANNER\ADVANCED_IP_SCANNER.EXE
delref %SystemDrive%\USERS\ОЛЬГА\APPDATA\ROAMING\ICQM\ICQSETUP.EXE
delref %SystemDrive%\IEXPLORE.BAT
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\VK.EXE
delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\AMIGO\APPLICATION\OK.EXE
;-------------------------------------------------------------

restart

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 03.06.2017

Размещено 03.06.2017 11:05:15

Добрый день!
Помогите, пожалуйста!!!
Словили Filecoder.ED. Образ системы и несколько зараженных файлов в архиве. Есть возможность расшифровать?
Сделали сканирование. Антивирус удалил шифровальщика!

Прикрепленные файлы

1-311-01_2017-06-03_12-53-17.7z (347.24 КБ)
cripted.rar (74.99 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.06.2017 11:11:23

Денис,
по образу все нормально, нет уже тел шифратора в системе

по расшифровке: сохраните зашифрованные файлы на отдельный носитель,
возможно когда-нибудь будет расшифровка.

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 15.06.2017

Размещено 15.06.2017 14:48:18

Добрый день.

Файлы зашифрованы *.no_more_ransom
Шифровальщика словил из почты.

Прикрепленные файлы

Archive.zip (54.15 КБ)
FLEB3_2017-06-15_16-31-54.7z (769.51 КБ)
Profile.rar (1.6 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.06.2017 15:22:15

Дмитрий,

судя по образу автоазапуска система уже очищена от тел шифратора.

по расшифровке: сохраните зашифрованные файлы на отдельный носитель,
возможно когда-нибудь будет расшифровка.

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 23.06.2017

Размещено 23.06.2017 12:07:07

все пропало(

Прикрепленные файлы

README1.txt (4.05 КБ)
B67FE095C263583AB6BD.rar (5.46 МБ)
HOME-839CCA650D_2017-06-23_12-24-42.7z (250.84 КБ)
шифровальщик пароль (123).rar (2.41 МБ)

Изменено: Сергей Шаталов - 23.06.2017 12:36:13

Пред. 1 ... 24 25 26 27 28 ... 41 След.

файлы зашифрованы с расширением *.NO_MORE_RANSOM, * .crypted000007 , Filecoder.ED / Encoder.858/ Ransom.Shade; r/n: readme*.txt

Ответы

файлы зашифрованы с расширением .NO_MORE_RANSOM, .crypted000007 , Filecoder.ED / Encoder.858/ Ransom.Shade; r/n: readme*.txt