файлы зашифрованы с расширением .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, .wallet, .onion , CrySiS /Supported Crysis file extensions: .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, .wallet, .onion /

RSS

Сообщений: 1

Регистрация: 25.02.2016

Размещено 25.02.2016 16:48:09

Пострадавших компьютеров несколько. И зашифрованы файлы на расшаренных дисках некоторых компьютеров в локальной сети.
Файлы имеют имя вида <filename>.DOC.{[email protected]}.xtbl
Прилагаю образ автозапуска с двух компьютеров, до остальных пока добраться возможности нет. Один, видимо, эпицентр, второй имел в общем доступе папки с данными. ASSEL-HP скорей всего это начал.
С уважением, и огромной надеждой,
Андрей.

---------
По CrySiS есть хорошие новости.
Получены мастер ключи по вариантам CrySiS (в частности, [email protected]/ {[email protected]}.xtbl/[email protected]/[email protected] и др.),
думаю, в скором времени можно ожидать универсальный дешифратор, с использованием мастер-ключей.

ссылка на дешифратор в общем доступе:
https://download.eset.com/com/eset/tools/decryptors/crysis/latest/esetcrysisdecryptor.exe

ссылку на
How do I clean a Crysis infection using the ESET Crysis decryptor?
http://support.eset.com/kb6274/

Прикрепленные файлы

DAUREN_2016-02-25_19-37-33.7z (350.06 КБ)
ASSEL-HP_2016-02-25_19-32-39.rar (718.97 КБ)

Ответы

Пред. 1 ... 7 8 9 10 11 ... 14 След.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 26.08.2016 15:12:24

это у вас сервер? весело живете.
вот этот файл поищите среди удаленных, в том числе и в r-studio, возможно нужен будет для процесса расшифровки в будущем.
шансов на расшифровку думаю не много, по свежим вариантам {[email protected]}.xtbl нет расшифровки.

Цитата
Полное имя C:\WINDOWS\SYSTEM32\PAYLOAD134.EXE Имя файла PAYLOAD134.EXE Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске Удовлетворяет критериям RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [auto (0)] Сохраненная информация на момент создания образа Статус в автозапуске Инф. о файле Не удается найти указанный файл. Цифр. подпись проверка не производилась Ссылки на объект Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Payload134.exe Payload134.exe C:\Windows\System32\Payload134.exe

Цитата

Полное имя C:\WINDOWS\SYSTEM32\PAYLOAD134.EXE
Имя файла PAYLOAD134.EXE
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям
RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [auto (0)]

Сохраненная информация на момент создания образа
Статус в автозапуске
Инф. о файле Не удается найти указанный файл.
Цифр. подпись проверка не производилась

Ссылки на объект
Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Payload134.exe
Payload134.exe C:\Windows\System32\Payload134.exe

[ Как создать образ автозапуска? ]

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 26.08.2016 15:14:56

по очистке системы:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv6.3 OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\USERS\СОМАДЕНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\СОМАДЕНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ЗЕЛИНСКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ЗЕЛИНСКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\SHPYLCHUK\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\SHPYLCHUK\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ADRA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ADRA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\REPINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\REPINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\MARINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\MARINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ИРИНА ВИКТОРОВНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ИРИНА ВИКТОРОВНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\HOTSPOT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\HOTSPOT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ДУМУШИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ДУМУШИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ЧЕРНИГОВ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ЧЕРНИГОВ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ИЛЬИН\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ИЛЬИН\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ТАТАРИНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ТАТАРИНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ДУМУЩИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ДУМУЩИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\КИСЕЛЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\КИСЕЛЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ЖОЛУДЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ЖОЛУДЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\AMPRO\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\AMPRO\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\КОРЧУК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\КОРЧУК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\СОЛОДКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\СОЛОДКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ГЕРАСИМОВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ГЕРАСИМОВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\ИВАШКО АНДРЕЙ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\ИВАШКО АНДРЕЙ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\JULIANA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\JULIANA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\LIUBOV\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\USERS\LIUBOV\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] deldirex %SystemDrive%\PROGRAM FILES (X86)\CINEMAPLUS-3.3C delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %Sys32%\PAYLOAD134.EXE del %Sys32%\PAYLOAD134.EXE deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\СОМАДЕНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\СОМАДЕНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ЗЕЛИНСКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ЗЕЛИНСКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\SHPYLCHUK\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\SHPYLCHUK\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ADRA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ADRA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\REPINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\REPINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\MARINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\MARINA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ИРИНА ВИКТОРОВНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ИРИНА ВИКТОРОВНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\HOTSPOT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\HOTSPOT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ДУМУШИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ДУМУШИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ЧЕРНИГОВ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ЧЕРНИГОВ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ИЛЬИН\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ИЛЬИН\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ТАТАРИНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ТАТАРИНА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ДУМУЩИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ДУМУЩИ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\КИСЕЛЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\КИСЕЛЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ЖОЛУДЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ЖОЛУДЕВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\AMPRO\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\AMPRO\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\КОРЧУК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\КОРЧУК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\СОЛОДКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\СОЛОДКАЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ГЕРАСИМОВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ГЕРАСИМОВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\ИВАШКО АНДРЕЙ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\ИВАШКО АНДРЕЙ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\JULIANA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\JULIANA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\LIUBOV\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\USERS\LIUBOV\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

deldirex %SystemDrive%\PROGRAM FILES (X86)\CINEMAPLUS-3.3C

delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %Sys32%\PAYLOAD134.EXE
del %Sys32%\PAYLOAD134.EXE

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 29.08.2016

Размещено 29.08.2016 11:45:11

Здравствуйте, Вирус зашифровал все файлы, находящиеся на компьютере, помогите пожалуйста расшифровать... При запуске компьютера появляется сообщение - DECRYPT FILES EMAIL [email protected] Образец зашифрованного файла прикрепляю.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 29.08.2016 12:09:36

Сергей Дидык,
добавьте образ автозапуска (см. инструкцию в моей подписи)+
добавьте несколько зашифрованных файлов в отдельном архиве

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 29.08.2016

Размещено 29.08.2016 13:02:37

Цитата
santy написал: Сергей Дидык, добавьте образ автозапуска (см. инструкцию в моей подписи)+ добавьте несколько зашифрованных файлов в отдельном архиве

У меня возникла проблема, записал распакованную папку на чистую флешку и вставил на зараженный компьютер - все файлы мгновенно на флешке зашифровались и я не смог запустить утилиту.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 29.08.2016 13:04:29

пробуйте из безопасного режима создать образ автозапуска

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 29.08.2016

Размещено 29.08.2016 13:32:21

Цитата
santy написал: Сергей Дидык, добавьте образ автозапуска (см. инструкцию в моей подписи)+ добавьте несколько зашифрованных файлов в отдельном архиве

Прикрепляю архив образа и зашифрованных файлов

Прикрепленные файлы

GITA-A99_2016-08-29_14-14-16.rar (676.22 КБ)
зашифрованные файлы.rar (238.21 КБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 29.08.2016 15:14:47

Сергей Дидык,
ваш шифратор: CrySis:{[email protected]}.XTBL

выполните скрипт в uVS из безопасного режима системы.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE addsgn A7679B1BB9EA4F720B87F876E194EFFADA8AFCF6893D9A607A3C3ABC50D6718BA6933FA8C1559D492B68A6BA4616A12770DFE88D40E2306C2DFE213738F9DDF0 8 Win32/Filecoder.Crysis.D [ESET-NOD32] zoo %SystemDrive%\USERS\АНЯ\APPDATA\ROAMING\[email protected] zoo %SystemDrive%\USERS\АНЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] zoo %SystemDrive%\USERS\АНЯ\DESKTOP\[email protected] ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\USERS\АНЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %SystemDrive%\USERS\1CS08\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] setdns Local\4\{78EC1441-18B6-461D-9AE0-AD90EAA13220}\8.8.8.8,8.8.4.4 delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected] delref %Sys32%\[email protected] delref %SystemDrive%\USERS\АНЯ\DESKTOP\SYSTEM\SYSTEM\START.VBS deltmp delnfr ;------------------------------------------------------------- czoo restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
addsgn A7679B1BB9EA4F720B87F876E194EFFADA8AFCF6893D9A607A3C3ABC50D6718BA6933FA8C1559D492B68A6BA4616A12770DFE88D40E2306C2DFE213738F9DDF0 8 Win32/Filecoder.Crysis.D [ESET-NOD32]

zoo %SystemDrive%\USERS\АНЯ\APPDATA\ROAMING\[email protected]
zoo %SystemDrive%\USERS\АНЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
zoo %SystemDrive%\USERS\АНЯ\DESKTOP\[email protected]
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\АНЯ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %SystemDrive%\USERS\1CS08\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

setdns Local\4\{78EC1441-18B6-461D-9AE0-AD90EAA13220}\8.8.8.8,8.8.4.4
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]

delref %Sys32%\[email protected]

delref %SystemDrive%\USERS\АНЯ\DESKTOP\SYSTEM\SYSTEM\START.VBS

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z) отправить в почту [email protected]
------------

по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

Изменено: santy - 29.08.2016 15:42:41

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 29.08.2016

Размещено 30.08.2016 10:16:25

Спасибо, вирус файлы больше не заражает, но после перезагрузки всеравно выскакивает сообщение что все файлы зашифрованы и "DECRYPT FILES EMAIL [email protected]". Ну и естественно ни одна программа с меню пуск или с ярлыков на рабочем столе не запускается. Еще exe файл вируса я нашел вручную в некоторых папках на системном диске, правда смог его удалить без проблем.
Архив в каталоге uVS не создался т.к. архиватор не запускается.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 30.08.2016 10:43:13

да, этот тип шифратора шифрует все без разбору, в том числе и Program Files, часть программ придется переустановить для нормальной работы.

пробуйте использовать эту программу, чтобы удалить все найденные записки о выкупе.
https://download.bleepingcomputer.com/demonslay335/RansomNoteCleaner.zip
(если антивир будет реагировать на эту программу, то временно отключите его.)

из указанных в списке типов можно оставить только CrySis.
после завершения поиска, просмотрите найденный список, и там есть возможность удалить найденные записки.

[ Как создать образ автозапуска? ]

Пред. 1 ... 7 8 9 10 11 ... 14 След.

файлы зашифрованы с расширением *.xtbl, .*crysis, *.crypt, *.lock, *.crypted, *.dharma, *.wallet, *.onion , CrySiS /Supported Crysis file extensions: .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, .wallet, .onion /

Ответы

файлы зашифрованы с расширением .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, .wallet, .onion , CrySiS /Supported Crysis file extensions: .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, .wallet, .onion /