файлы зашифрованы с расширением .better_call_saul, .da_vinci_code , Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

RSS

Сообщений: 2

Баллов: 1

Регистрация: 19.02.2016

Размещено 19.02.2016 08:53:05

Добрый день. Помогите пожалуйста решить вот такой вопрос: все файлы документов стали зашифрованы.
Имена файлов искажены и расширение стало better_call_saul.
пример файл: GPHnwCWRp0yK5DkAlkkt18wIguwtZiAJfeRdWbefM3VlRjRo4l ff4+tKMwz8eqU-sSEsHk2KZyepIE921Nj+VIu9LmqcNysthULZ+KGu0ccr9chFvr uL9L19917QKEmlnDIdqxR5rF61vpoRLmLssmJX6xO98Y8APFaB ppHXjvo=.50EF5038C45FD9E89C5B.better_call_saul
-----------------------
самый главный вопрос: лечить пк мне не нужно(уже вылечил), реально ли расшифровать эти файлы? пусть даже на платной основе

--------------

расшифровка файлов, зашифрованных данным вариантом шифратора Filecoder.ED / Ransom.Shade:.better_call_saul, .da_vinci_code на текущий момент возможна. Но надо проверять по каждому отдельному случаю, есть приватный ключ или нет.

добавьте на форум в ваше сообщение несколько зашифрованных документов.

если нет архивных копий,
сохраните важные документы на отдельный носитель, возможно в будущем расшифровка документов станет возможной.
просьба: при создании сообщений о шифровании *.better_call_saul, .da_vinci_code оставляйте информацию о коде шифрования,
например:

Цитата
Ваши фaйлы былu зaшифpoвaны. код: 5E5E1BEC5BE045A020AC\|0

или добавьте во вложении в архив зашифрованный файл и один из созданных шифратором файлов README*.TXT

Ответы

Пред. 1 ... 20 21 22 23 24 ... 60 След.

Сообщений: 4

Баллов: 2

Регистрация: 30.05.2016

Размещено 30.05.2016 15:54:56

Добрый день! Можете помочь?
http://rgho.st/666HB5pky

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 30.05.2016 17:43:23

Антон Савин,

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.3 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemRoot%\FIXCAMERA.EXE addsgn A7679BF0AA021C564BD4C6C57E881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C5A5C9FE82BD6D7C01D6D775BACCA721333 12 a variant of Win32/KillProc.A addsgn 9AA860DA5582BC8DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC7806DC6E6DD2B61592DE6F09A7C5F88F461649FA7DDFE97255DAB02C2D77A42F91435007 8 Win32/Filecoder.ED [ESET-NOD32] zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE zoo %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\8877.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\LALFIODOHDGAEJJCCFGFMMNGGGPPLMHP\8.11.0_0\СТАРТОВАЯ — ЯНДЕКС deldirex %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.87.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
zoo %SystemRoot%\FIXCAMERA.EXE
addsgn A7679BF0AA021C564BD4C6C57E881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C5A5C9FE82BD6D7C01D6D775BACCA721333 12 a variant of Win32/KillProc.A

addsgn 9AA860DA5582BC8DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC7806DC6E6DD2B61592DE6F09A7C5F88F461649FA7DDFE97255DAB02C2D77A42F91435007 8 Win32/Filecoder.ED [ESET-NOD32]

zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
zoo %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\8877.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\LALFIODOHDGAEJJCCFGFMMNGGGPPLMHP\8.11.0_0\СТАРТОВАЯ — ЯНДЕКС

deldirex %SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
с расшифровкой не поможем

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 30.05.2016

Размещено 31.05.2016 09:31:24

Доброе утро! Спасибо за скрипт! Скажите пожалуйста, теперь все зашифрованные файлы можно удалить или переместить на флешку (мало ли через год или два создадут расшифровщик

) и продолжать работать на данном компьютере, или стоит отформатировать жесткий диск и полностью переустановить систему и все программы?

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 31.05.2016 09:50:51

систему можно не трогать, если нет такой необходимости.
да важные документы, хотя их сейчас не разберешь, где какие, скорее всего уж папки можно откопировать и хранить некоторое время.

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 30.05.2016

Размещено 31.05.2016 10:28:23

Еще такой вопрос, как проверить исчез ли шифровальщик? Мы создали документ в ворде и сохранили его на рабочем столе, пока он имеет нормальный вид, сколько по времени ждать (или он удален уже с компьютера) и можно ли подключать данный компьютер в локальную сеть? Извините если вопросы дилетантские, просто если на данном компьютере потерю данных мы переживем без особых потерь, то если заразится сеть, то это будет очень не хорошо! Заранее спасибо!

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 31.05.2016 11:29:03

если этих файлов сейчас нет в системе, значит пока нет шифратора

%SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
%SystemDrive%\USERS\ЮЛЯ\APPDATA\LOCAL\TEMP\8877.EXE

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 30.05.2016

Размещено 31.05.2016 11:55:04

Спасибо большое!

Сообщений: 2

Баллов: 1

Регистрация: 01.06.2016

Размещено 01.06.2016 11:33:43

Добрый день! Тоже поймал шифровальщика логи прилагаю. Заранее спасибо!

Прикрепленные файлы

3-ПК_2016-06-01_11-29-20.7z (579.05 КБ)

Сообщений: 5

Баллов: 2

Регистрация: 21.10.2014

Размещено 01.06.2016 12:08:59

Добрый день.
Один из пользователей все-таки поймал этот код да винчи (интересно, что ESET Endpoint Antivirus 5й версии с актуальными базами даже не пикнул).
Дайте, пожалуйста, скрипт для чистки, образ прикрепляю.

Спасибо!

Прикрепленные файлы

MSCPC72_2016-06-01_11-48-47.7z (574.74 КБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 01.06.2016 12:10:46

Роман, судя по образу система уже очищена от тел шифратора. чисто.

[ Как создать образ автозапуска? ]

Пред. 1 ... 20 21 22 23 24 ... 60 След.