Форум esetnod32.ru [форум: Шифровальщики файлов и подбор дешифраторов] http://forum.esetnod32.ru Новые темы форума Шифровальщики файлов и подбор дешифраторов на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Wed, 29 Apr 2026 22:17:46 +0300 Переход на новый форум PRO32 Переход на новый форум PRO32 в форуме Шифровальщики файлов и подбор дешифраторов.
Дорогие участники форума! В ближайшее время форум будет переведен в режим работы "только для чтения", публикация новых тем и сообщений будет ограничена. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму: https://forum.pro32.com/ Спасибо!
26.01.2025 21:39:25, Валентин Поляков.]]> http://forum.esetnod32.ru/messages/forum35/topic18003/message117379/ http://forum.esetnod32.ru/messages/forum35/topic18003/message117379/ Sun, 26 Jan 2025 21:39:25 +0300 Шифровальщики файлов и подбор дешифраторов Вирус-шифровальщик зашифровал файлы и добавил к ним расширение (.kasper) Вирус-шифровальщик зашифровал файлы и добавил к ним расширение (.kasper) PROXIMA/btc-azadi в форуме Шифровальщики файлов и подбор дешифраторов.
Вирус-шифровальщик зашифровал файлы и добавил к ним расширение (.kasper)
1CZDR_2024-08-02_11-29-37_v4.99.0v x64.7z
ЛОГИ и файлы.zip
02.08.2024 10:14:16, Берик К..]]> http://forum.esetnod32.ru/messages/forum35/topic17927/message117214/ http://forum.esetnod32.ru/messages/forum35/topic17927/message117214/ Fri, 02 Aug 2024 10:14:16 +0300 Шифровальщики файлов и подбор дешифраторов Lockbit v3 Black: *. 7nqxXHqux; Lockbit v3 Black: *. 7nqxXHqux; в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте. Зашифровались файлы, есть восможность воостановить их. Текстовый файл 7nqxXHqux.README.txt

Текст в письме

[RU]
Чтобы расшифровать файлы, пожалуйста напишите сюда: 0B1FEA045F37A6FA4A8AFE62212194C7A437AA6A91887575B037B874BDF2­B2434C21DEC4666F
Вы можете скачать Tox здесь: https://tox.chat/download.html
файлы.zip
04.05.2024 09:03:49, Kuim Yura.]]> http://forum.esetnod32.ru/messages/forum35/topic17897/message117121/ http://forum.esetnod32.ru/messages/forum35/topic17897/message117121/ Sat, 04 May 2024 09:03:49 +0300 Шифровальщики файлов и подбор дешифраторов Шифровальщик m0r0kt34m@gmail.com Шифровальщик m0r0kt34m@gmail.com в форуме Шифровальщики файлов и подбор дешифраторов.
Столкнулся с неизвестным типом шифровальщика, антивирус его никак не обнаружил.
Прикрепляю архив с примерами зашифрованного и оригинального файлов. К сожалению, больше информации на данный момент нету.
Заранее спасибо!
crypt.rar
02.02.2024 13:28:45, Глеб Литвинов.]]> http://forum.esetnod32.ru/messages/forum35/topic17868/message116991/ http://forum.esetnod32.ru/messages/forum35/topic17868/message116991/ Fri, 02 Feb 2024 13:28:45 +0300 Шифровальщики файлов и подбор дешифраторов шифровальщик Ouroboros/VoidCrypt. файлы с расширением MRN шифровальщик Ouroboros/VoidCrypt. файлы с расширением MRN заплатили мошенникам voidCrypt. получили дешифратор и RSA ключ. но дешифратор не отрабатывает в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день. подцепил шифровальщик. я так понял, это VoidCrypt. заплатили мошенникам, получили дешифратор и ключ RSA. но дешифровщик не отрабатывает. Нам не отвечают мошенники, но предвижу, что будут тянуть из нас деньги. прикладываю файлы: rar с дешифратором, в текстовом файле ключ RSA. также несколько файлов, которые лежали в корне диска (инфа, как связаться с мошенниками), какой то ключ RSA (возможно открытый), пример зашифрованного файла. посмотрите пож-ста, сможете помочь или нет в дешифровке.
unlock-info.txt
Инфа для дешифровки.txt
decrypt.rar
16.08.2023 16:41:15, Macros macros.]]> http://forum.esetnod32.ru/messages/forum35/topic17375/message116135/ http://forum.esetnod32.ru/messages/forum35/topic17375/message116135/ Wed, 16 Aug 2023 16:41:15 +0300 Шифровальщики файлов и подбор дешифраторов Зашифровано с расширением .BLACK Зашифровано с расширением .BLACK BlackHunt в форуме Шифровальщики файлов и подбор дешифраторов.
Все файлы были зашифрованы BLACK HUNT

Пришло текстовое сообщение:

"As you can see we have penetrated your whole network due some critical network insecurities
All of your files such as documents, dbs and... Are encrypted and we have uploaded many important data from your machines,
and believe we us we know what should we collect.


However you can get your files back and make sure your data is safe from leaking by contacting us using following details :


Primary email :RyanRinse@mailfence.com

Secondary email(backup email in case we didn't answer you in 24h) :RyanRinse@firemail.de

Your machine Id : NISsdNg7kCd00XYU
use this as the title of your email


(Remember, if we don't hear from you for a while, we will start leaking data)"

Очень надеюсь, что Вы сможете мне помочь!

Спасибо всем тем, кто постарается мне помочь! =)
пароль 1111.7z
04.04.2023 18:12:27, Георгий Терентьев.]]> http://forum.esetnod32.ru/messages/forum35/topic17192/message115638/ http://forum.esetnod32.ru/messages/forum35/topic17192/message115638/ Tue, 04 Apr 2023 18:12:27 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .EXTEN; .CROW; .MEOW; .PUTIN; .KREMLIN; .RUSSIA; LOCK2023; RCHAT; RUBEN; CRUST; met@n; GAZPROM файлы зашифрованы с расширением .EXTEN; .CROW; .MEOW; .PUTIN; .KREMLIN; .RUSSIA; LOCK2023; RCHAT; RUBEN; CRUST; met@n; GAZPROM модифицированный вариант Conti в форуме Шифровальщики файлов и подбор дешифраторов.
файлы зашифрованы с расширением *.EXTEN; *.CROW; *.MEOW; *.PUTIN; *.KREMLIN; *.RUSSIA; *.LOCK2023; *.RCHAT; *.RUBEN; *.CRUST; *.met@n; *.GAZPROM
-----------
на текущий момент  расшифровка есть по *.PUTIN; *.KREMLIN; *.RUSSIA;
12.02.2023 09:36:39, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic17125/message115403/ http://forum.esetnod32.ru/messages/forum35/topic17125/message115403/ Sun, 12 Feb 2023 09:36:39 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.hydra Файлы зашифрованы с расширением *.hydra filecoder.hydra; theDMR в форуме Шифровальщики файлов и подбор дешифраторов.
Есть дешифратор для шифровальшика?
files.zip
09.11.2022 17:39:45, Алексей Чернов.]]> http://forum.esetnod32.ru/messages/forum35/topic16993/message114930/ http://forum.esetnod32.ru/messages/forum35/topic16993/message114930/ Wed, 09 Nov 2022 17:39:45 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .FISTING; .likeoldboobs; .Washedback; .Gachimuchi; .Horsefucker; .crxxx; .nigra; .x101 Файлы зашифрованы с расширением .FISTING; .likeoldboobs; .Washedback; .Gachimuchi; .Horsefucker; .crxxx; .nigra; .x101 Win32/Filecoder.NSF/SojusZ в форуме Шифровальщики файлов и подбор дешифраторов.
Всем доброго дня, словил шифровальщика, в интернете очень мало информации по нему, впервые упоминания датируются начало июня 2022.
Есть предположения что это Cryakl.
Взлом был по RDP - 100%
Прилагаю файлы до и после шифрования.
https://mega.nz/file/j0IXSQYC#mh4SPmRNFkSIX2qBExyIy-t8tE-VM1rBJw6NVYvuFHc

ELC_Logs
https://mega.nz/file/jgpngTab#B69BwGXfYKHKXKStZAKZ5oRfdO36cJkjin-eiCgpwJ4

Понимаю что скорее всего расшифровать нет возможности, но хотелось бы узнать что это за чудо и какой версии.


Содержание письма
Скрытый текст

14.07.2022 11:38:52, Александр Гордеев.]]> http://forum.esetnod32.ru/messages/forum35/topic16836/message114243/ http://forum.esetnod32.ru/messages/forum35/topic16836/message114243/ Thu, 14 Jul 2022 11:38:52 +0300 Шифровальщики файлов и подбор дешифраторов Как собрать файлы и логи после атаки шифрования для отправки в антивирусную лабораторию Как собрать файлы и логи после атаки шифрования для отправки в антивирусную лабораторию в форуме Шифровальщики файлов и подбор дешифраторов.
1. Добавьте,  пожалуйста, в Ваше сообщение лицензионные данные на продукт ESET.

2. Для дополнительного анализа и подбора дешифратора в антивирусной лаборатории нам необходимы следующие файлы и журналы

«Crypted»  (добавить  несколько зашифрованных и оригинальных файлов в архив, без пароля)

В идеале - 10 документов MS Office (.doc, .xls, .ppt формат) вместе с оригинальными версиями этих же файлов, или зашифрованные стандартные файлы Windows (например, C:\Пользователи\Общие\Изображения\Образцы изображений\пустыня.jpg), Предельный размер вложения - 5 Мб.  

«Filecoder» (добавить тело вируса-шифратора и записку/инструкцию о выкупе в архив (*.html, *.hta, *.txt или рисунок), с паролем infected )

Тело шифратора может находиться во архивном вложении (или по ссылке) электронного сообщения, или в карантине антивируса. В этом случае, необходимо временно отключить защиту, найденный файл восстановить из карантина ("восстановить в") в отдельный каталог с изменением расширения: *.exe >> *.vexe; *.hta>> *.vhta; *.txt >>.vtxt.
Архивируем с помощью, например, 7-zip с шифрованием имен файлов.
http://www.7-zip.org/a/7z1510.exe - для 32 - х битных систем.  
http://www.7-zip.org/a/7z1510-x64.exe - для 64 - х битных систем.  

"ess_logs.zip" (логи из программы ESETLogCollector)

Скачайте утилиту ESET Log Collector по ссылке:
https://download.eset.com/com/eset/tools/diagnosis/log_collector/latest/esetlogcol­lector.exe

Перед сбором лога ELC желательно, чтобы на компьютере была установлена последняя версия антивируса с действующей лицензией:
Сохраните программу на компьютер. Запустите ESET Log Collector от имени администратора (щелкните по программе правой клавишей мышки и в контекстном меню выберите "Запуск от имени администратора").  

В выпадающем меню "Режим сбора журналов ESET" выберите пункт "Фильтрованный двоичный код" и нажмите кнопку Собрать. Дождитесь окончания сбора необходимых сведений, по окончанию работы программы Вы увидите сообщение «Все файлы собраны и заархивированы» По умолчанию, архив с данными сохранится в папку, откуда Вы запускали утилиту и будет иметь название "ess_logs.zip". Путь сохранения архива можно изменить, нажав кнопку "...". Пришлите данный архив к нам на анализ.  Если размер файла превышает 20Мб, выложите файл на общедоступный диск, и пришлите нам ссылку на загрузку данного файла.

"SysVulnCheck_out.zip" (лог, созданный в программе ESETSysVulbCheck)

Скачайте специальную утилиту ESETSysVulnCheck[/B] по ссылке (скачивать необходимо в IE)
https://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe

и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.  

 
-------------------------------

3. Мы настоятельно рекомендуем Вам ознакомиться со следующей статьёй для уменьшения риска повторного заражения в дальнейшем:  


http://www.esetnod32.ru/support/knowledge_base/solution/?IBLOCK_ID=53&SECTION_ID=1782&ELEMENT_ID=853007
17.01.2022 11:15:13, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16689/message113724/ http://forum.esetnod32.ru/messages/forum35/topic16689/message113724/ Mon, 17 Jan 2022 11:15:13 +0300 Шифровальщики файлов и подбор дешифраторов фйлы зашифрованы с расширением .ps1wek фйлы зашифрованы с расширением .ps1wek Hakbit в форуме Шифровальщики файлов и подбор дешифраторов.
есть ли возможность рашифроват на платной основе?
14.01.2022 13:27:58, Евгений Филатов.]]> http://forum.esetnod32.ru/messages/forum35/topic16688/message113715/ http://forum.esetnod32.ru/messages/forum35/topic16688/message113715/ Fri, 14 Jan 2022 13:27:58 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте.

Терминальный сервер поймал шифровальщика. Зашифровалось все, что можно и нельзя, включая базы и бэкапы.
Прошу, помогите!!!
Вход в систему невозможен: не найден профиль пользователя. Загрузился с USB. Тела вируса не нашел. Прилагаю связку зашифрованный файл - оригинал. И сообщение от бандитов.
Пытались связаться с гражданами-бандитами по указанным адресам - ответа нет.
Restore-My-Files.txt
Пара зашифрованный - оригинал.rar
13.01.2022 13:14:17, Вячеслав Смердов.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message113701/ http://forum.esetnod32.ru/messages/forum35/topic16685/message113701/ Thu, 13 Jan 2022 13:14:17 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .MUST; .GanP; .CLEAN; .c0v; .JRB; .dts; .TCYO; .6ix9; .RZA; .RME; .yUixN; .nomad; .MOON; .chld; .WOLF; .NaS; .lsas; .MS; .WORM; .NEEH; .Deeep; .DC; .Xqxqx; .C1024; .ver; .RED; .bmo; .MTX; .cip: .Bl; .kl Файлы зашифрованы с расширением .MUST; .GanP; .CLEAN; .c0v; .JRB; .dts; .TCYO; .6ix9; .RZA; .RME; .yUixN; .nomad; .MOON; .chld; .WOLF; .NaS; .lsas; .MS; .WORM; .NEEH; .Deeep; .DC; .Xqxqx; .C1024; .ver; .RED; .bmo; .MTX; .cip: .Bl; .kl Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:


====quote====
cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; '.GTF; .Mark; .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB;  .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; .LOG; .1dec; .xati; .GET; .Back; .Aim; .get; .abc; .rec; .NW24; .gtf; .cl; .gold; .eur; .blm; .chuk; .AHP; .lina; .TEREN; .cve; .WSHLP; .fresh; .FLYU; .gtsc; .dme; .Crypt; .259; .LCK; .kut; .SWP; .zimba; .help; .sss; .dex; .ZIN; .SUKA; .msf; .lock; .gac; .21btc; .mpr; .4help; .aol; .14x; .hub; .yoAD; .NOV; .Avaad; .crypt; .22btc; .TomLe; .word; .con30; .text; .LOTUS; .wcg; .pauq; .four; .urs; .clman; .ORAL; .Jessy; .ROG; .biden; .eofyd; .duk; .LAO; .pirat; .liz; .bqd2; .4o4; .ctpl; .error; .zphs; .2122; .HPJ; .bdev; .eye; .root; .rdp; .DELTA; .PARTY; .cnc; .ZIG; .xcss; .nmc; .ZEUS; .OFF; .PcS; .pause; .myday; .grej; .DT; .dance; .TOR; .MUST; .GanP; .CLEAN; .c0v; .JRB; .dts; .TCYO; .6ix9; .RZA; .RME; .yUixN; .nomad; .MOON; .chld; .WOLF; .NaS; .lsas; .MS; .WORM; .NEEH; .Deeep; .DC; .Xqxqx; .C1024; .ver; .RED; .bmo; .MTX; .cip: .Bl; .kl      
=============

26.12.2021 08:31:20, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16674/message113549/ http://forum.esetnod32.ru/messages/forum35/topic16674/message113549/ Sun, 26 Dec 2021 08:31:20 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .LIZARD; .DoNotWorry; .SUMMON Файлы зашифрованы с расширением .LIZARD; .DoNotWorry; .SUMMON Filecoder.Flamingo/DMR/Trojan.Encoder.32508 в форуме Шифровальщики файлов и подбор дешифраторов.

Доброе утро.

Зашифровало все файлы на сервере, включая базу данных.

Возможно ли дешифровать данные каким либо вариантом с помощью специалистов?

Абсолютная безысходность. Бекапы к сожалению были на соседнем диске и их тоже "покушало".

Пример зашифрованных файлов во вложении.

Заранее спасибо за любую помощь и обратную связь.


11VK 300X1000.zip
#ReadThis.TXT
30.06.2021 09:16:06, Ярослав Самоделов.]]> http://forum.esetnod32.ru/messages/forum35/topic16469/message112673/ http://forum.esetnod32.ru/messages/forum35/topic16469/message112673/ Wed, 30 Jun 2021 09:16:06 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .ORAL; .Jessy; .ROG; .biden; .eofyd; .duk; .LAO; .pirat; .liz; .bqd2; .4o4; .ctpl; .error; .zphs; .2122; .HPJ; .bdev; .eye; .root; .rdp; .DELTA; .PARTY; .cnc; .ZIG; .xcss; .nmc; .ZEUS; .OFF; .PcS; .pause; .myday; .grej; .DT файлы зашифрованы с расширением .ORAL; .Jessy; .ROG; .biden; .eofyd; .duk; .LAO; .pirat; .liz; .bqd2; .4o4; .ctpl; .error; .zphs; .2122; .HPJ; .bdev; .eye; .root; .rdp; .DELTA; .PARTY; .cnc; .ZIG; .xcss; .nmc; .ZEUS; .OFF; .PcS; .pause; .myday; .grej; .DT Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:


====quote====
cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; '.GTF; .Mark; .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB;  .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; .LOG; .1dec; .xati; .GET; .Back; .Aim; .get; .abc; .rec; .NW24; .gtf; .cl; .gold; .eur; .blm; .chuk; .AHP; .lina; .TEREN; .cve; .WSHLP; .fresh; .FLYU; .gtsc; .dme; .Crypt; .259; .LCK; .kut; .SWP; .zimba; .help; .sss; .dex; .ZIN; .SUKA; .msf; .lock; .gac; .21btc; .mpr; .4help; .aol; .14x; .hub; .yoAD; .NOV; .Avaad; .crypt; .22btc; .TomLe; .word; .con30; .text; .LOTUS; .wcg; .pauq; .four; .urs; .clman; .ORAL; .Jessy; .ROG; .biden; .eofyd; .duk; .LAO; .pirat; .liz; .bqd2; .4o4; .ctpl; .error; .zphs; .2122; .HPJ; .bdev; .eye; .root; .rdp; .DELTA; .PARTY; .cnc; .ZIG; .xcss; .nmc; .ZEUS; .OFF; .PcS; .pause; .myday; .grej; .DT; .dance; .TOR      
=============

21.04.2021 13:49:28, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16399/message112296/ http://forum.esetnod32.ru/messages/forum35/topic16399/message112296/ Wed, 21 Apr 2021 13:49:28 +0300 Шифровальщики файлов и подбор дешифраторов Clop: цель - руководители, новая тактика программ-ransomware Clop: цель - руководители, новая тактика программ-ransomware в форуме Шифровальщики файлов и подбор дешифраторов.
Операторы программ-вымогателей придумали еще один хитрый поворот в недавней тенденции к краже данных. После опроса нескольких жертв программы-вымогателя Clop, издание ZDNet обнаружил, что ее операторы систематически атакуют рабочие станции руководителей.

Если эта тактика сработает, а возможно, и другие семейства программ-вымогателей последуют ее примеру, точно так же, как они копировали другие успешные тактики в прошлом.

Что такое программа-вымогатель Clop?

Clop был впервые замечен в феврале 2019 года как новый вариант в семействе Cryptomix, но с тех пор он пошел по собственному пути развития. В октябре 2020 года он стал первым вымогателем, потребовавшим выкуп в размере более 20 миллионов долларов. Жертва, немецкая технологическая фирма Software AG, отказалась платить. В ответ операторы Clop опубликовали конфиденциальную информацию, собранную ими во время атаки, на Dark Web-е.

Пользователь добавил изображение

Тактика подражания

Нацеленность Клопа на руководителей - лишь последнее в списке нововведений, свидетелями которых мы стали за последние пару лет.

Давайте кратко рассмотрим некоторые из этих инноваций, от технических приемов до продвинутой социальной инженерии.

Целевые атаки

Большинство успешных семейств программ-вымогателей перешли к целевым атакам. Вместо того, чтобы пытаться зашифровать множество отдельных компьютеров с помощью вредоносных почтовых кампаний, злоумышленники вручную взламывают корпоративные сети и пытаются нанести ущерб целым организациям.

Злоумышленник обычно получает доступ к сети жертвы, используя известные уязвимости или пытаясь подобрать пароль на открытом порте RDP. Как только они получат доступ, они, вероятно, попытаются повысить свои привилегии, исследовать сеть, удалить резервные копии и распространить свои программы-вымогатели на как можно большем количестве машин.

Кража данных

Одним из последних дополнений к арсеналу программ-вымогателей является кража данных. В процессе проникновения в сеть жертвы и шифрования ее компьютеров некоторые банды вымогателей также извлекают данные с зараженных ими машин. Затем они угрожают опубликовать данные на веб-сайте или продать их с аукциона. Это дает злоумышленникам дополнительные рычаги воздействия на жертв, которые не платят или не должны платить за расшифровку своих данных.

Этот дополнительный поворот был введен Ransom.Maze, но также используется Egregor и Ransom.Clop, как мы упоминали выше.

Скрытие внутри виртуальных машин

Я предупреждал вас о технических новинках. Этот выделяется среди них. Как упоминалось в нашем отчете о состоянии вредоносного ПО за 2021 год, банда вымогателей RagnarLocker нашла новый способ шифрования файлов на конечной точке, избегая при этом защиты от программ-вымогателей.

Операторы программы-вымогателя загружают образ виртуальной машины (ВМ), загружают его в автоматическом режиме, а затем запускают внутри него программу-вымогатель, где программа защиты конечных точек не может его увидеть. Программа-вымогатель получает доступ к файлам в хост-системе через «общие папки» гостевой машины.

Шифрование виртуальных жестких дисков

В отчете о состоянии вредоносного ПО за 2021 год также упоминается программа-вымогатель RegretLocker, которая нашла способ обойти шифрование виртуальных жестких дисков (VHD). Эти файлы представляют собой огромные архивы, в которых хранится жесткий диск виртуальной машины. Если злоумышленник захочет зашифровать VHD, он перенесет мучительно медленный процесс (и каждая секунда на счету, когда вы пытаетесь не попасться) из-за размера этих файлов.

RegretLocker использует уловку для «монтирования» виртуальных жестких дисков, чтобы они были так же легко доступны, как и физический жесткий диск. Как только это будет сделано, программа-вымогатель сможет получить доступ к файлам внутри VHD и зашифровать их по отдельности, украсть или удалить. Это более быстрый метод шифрования, чем попытка нацеливания на весь файл VHD.

Нарушение безопасности и обнаружения

Программы-вымогатели также улучшают способность избегать обнаружения и отключать существующее программное обеспечение безопасности. Например, программа-вымогатель Clop останавливает 663 процесса Windows (что является огромным количеством) и пытается отключить или удалить несколько программ безопасности, прежде чем запустить процедуру шифрования.

Остановка этих процессов освобождает некоторые файлы, которые иначе нельзя было бы зашифровать, потому что они были бы заблокированы. Это также снижает вероятность срабатывания предупреждения и может препятствовать созданию новых резервных копий.

Что дальше?

Еще неизвестно, будет ли новая тактика Clop скопирована другими семействами программ-вымогателей или как она может развиваться.

Было высказано предположение, что тактика угроз утечки эксфильтрованных данных снизила ожидания некоторых жертв о том, что выплата выкупа положит конец их неприятностям. Конкретный таргетинг на данные руководителей может быть способом исправить это за счет усиления давления на жертв.

Clop или его подражатель может также попытаться использовать информацию, найденную на машинах менеджеров, для распространения в другие организации. Рассмотрим, например, метод, известный как захват цепочки электронных писем, который использует существующие электронные письма (и, следовательно, доверительные отношения) для распространения среди новых жертв. Или информация может быть продана злоумышленникам, специализирующимся на взломе деловой электронной почты (BEC).

Для заинтересованных, IOC и другие технические подробности о Clop можно найти в профиле обнаруженияRansom.Clop.

https://blog.malwarebytes.com/malwarebytes-news/2021/02/clop-targets-execs-ransomware-tactics-get-another-new-twist/
24.02.2021 06:51:38, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16341/message111941/ http://forum.esetnod32.ru/messages/forum35/topic16341/message111941/ Wed, 24 Feb 2021 06:51:38 +0300 Шифровальщики файлов и подбор дешифраторов Зашифровано с расширением .repter; .FONIX; .XINOF; .Eking; .RYK; .RYKCRYPT Зашифровано с расширением .repter; .FONIX; .XINOF; .Eking; .RYK; .RYKCRYPT Filecoder.FONIX в форуме Шифровальщики файлов и подбор дешифраторов.
по расширению: .repter нет расшифровки.
https://id-ransomware.blogspot.com/2020/06/fonixcrypter.html
---------
encode_files.rar
How To DecryptFiles.rar
19.02.2021 12:33:04, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16331/message111920/ http://forum.esetnod32.ru/messages/forum35/topic16331/message111920/ Fri, 19 Feb 2021 12:33:04 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .aol; .14x; .hub; .yoAD; .NOV; .Avaad; .crypt; .22btc; .TomLe; .word; .con30; .text; .LOTUS; .wcg; .pauq; .four; .urs; .clman файлы зашифрованы с расширением .aol; .14x; .hub; .yoAD; .NOV; .Avaad; .crypt; .22btc; .TomLe; .word; .con30; .text; .LOTUS; .wcg; .pauq; .four; .urs; .clman Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:



====quote====
.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; '.GTF; .Mark; .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB;  .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; .LOG; .1dec; .xati; .GET; .Back; .Aim; .get; .abc; .rec; .NW24; .gtf; .cl; .gold; .eur; .blm; .chuk; .AHP; .lina; .TEREN; .cve; .WSHLP; .fresh; .FLYU; .gtsc; .dme; .Crypt; .259; .LCK; .kut; .SWP; .zimba; .help; .sss; .dex; .ZIN; .SUKA; .msf; .lock; .gac; .21btc; .mpr; .4help; .aol; .14x; .hub; .yoAD; .NOV; .Avaad; .crypt; .22btc; .TomLe; .word; .con30; .text; .LOTUS; .wcg; .pauq; .four; .urs; .clman  
=============

15.01.2021 16:18:10, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16291/message111624/ http://forum.esetnod32.ru/messages/forum35/topic16291/message111624/ Fri, 15 Jan 2021 16:18:10 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .chuk; .AHP; .lina; .TEREN; .cve; .WSHLP; .fresh; .FLYU; .gtsc; .dme; .Crypt; .259; .LCK; .kut; .SWP; .zimba; .help; .sss; .dex; .ZIN; .SUKA; .msf; .lock; .gac; .21btc; .mpr; .4help Файлы зашифрованы с расширением .chuk; .AHP; .lina; .TEREN; .cve; .WSHLP; .fresh; .FLYU; .gtsc; .dme; .Crypt; .259; .LCK; .kut; .SWP; .zimba; .help; .sss; .dex; .ZIN; .SUKA; .msf; .lock; .gac; .21btc; .mpr; .4help Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:



====quote====
 .cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; '.GTF; .Mark; .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB;  .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; .LOG; .1dec; .xati; .GET; .Back; .Aim; .get; .abc; .rec; .NW24; .gtf; .cl; .gold; .eur; .blm; .chuk; .AHP; .lina; .TEREN; .cve; .WSHLP; .fresh; .FLYU; .gtsc; .dme; .Crypt; .259; .LCK; .kut; .SWP; .zimba; .help; .sss; .dex; .ZIN; .SUKA; .msf; .lock; .gac; .21btc; .mpr; .4help        
=============

09.10.2020 15:35:47, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16056/message110440/ http://forum.esetnod32.ru/messages/forum35/topic16056/message110440/ Fri, 09 Oct 2020 15:35:47 +0300 Шифровальщики файлов и подбор дешифраторов Новая вакцина от Ransomware против удаления теневых копий Windows Новая вакцина от Ransomware против удаления теневых копий Windows в форуме Шифровальщики файлов и подбор дешифраторов.
Создана новая программа вакцины от программ-вымогателей, которая завершает процессы, пытающиеся удалить теневые копии тома с помощью программы Microsoft vssadmin.exe,

Каждый день Windows будет создавать резервные копии вашей системы и файлов данных и сохранять их в моментальных снимках теневого копирования томов.

Затем эти снимки можно использовать для восстановления файлов, если они были по ошибке изменены или удалены.

Поскольку заражение программами-вымогателями не хочет, чтобы жертвы использовали эту функцию для бесплатного восстановления файлов, одно из первых действий, которые они делают при запуске, - это удаление всех копий теневых томов на компьютере.

Один из способов удаления теневых томов - использовать следующую команду vssadmin.exe:

====code==== 
vssadmin delete shadows /all /quiet
=============
Вакцина от программ-вымогателей Raccine

В эти выходные исследователь безопасности Флориан Рот выпустил вакцину-вымогатель Raccine, которая отслеживает удаление теневых копий тома с помощью команды vssadmin.exe.

«Мы довольно часто видим, как программы-вымогатели удаляют все теневые копии с помощью vssadmin. Что, если бы мы могли просто перехватить этот запрос и остановить процесс вызова? Давайте попробуем создать простую вакцину», - объясняет страница Raccine на GitHub.

Raccine работает путем регистрации исполняемого файла raccine.exe в качестве отладчика для vssadmin.exe с помощью раздела реестра Windows с параметрами выполнения файла образа.

После регистрации raccine.exe в качестве отладчика при каждом запуске vssadmin.exe он также запускает Raccine, который проверяет, пытается ли vssadmin удалить теневые копии.

Если он обнаруживает, что процесс использует «vssadmin delete», он автоматически завершает процесс, что обычно выполняется до того, как программа-вымогатель начнет шифрование файлов на компьютере.

Пользователь добавил изображение

Хотя этот метод предотвратит шифрование с помощью большого количества программ-вымогателей, некоторые современные семейства программ-вымогателей удаляют теневые тома с помощью других команд, перечисленных ниже.

====code==== 
Get-WmiObject Win32_Shadowcopy | ForEach-Object {$ _. Delete ();}
WMIC.exe shadowcopy удалить / nointeractive
=============

Для этих вариантов вымогателей Raccine в настоящее время не будет блокировать вымогателей, поскольку они не используют vssadmin.exe. Поддержка этих команд может быть добавлена в будущем.

Следует также отметить, что Raccine может прекратить работу законного программного обеспечения, которое использует vssadmin.exe как часть своих процедур резервного копирования.

Рот планирует добавить в будущем возможность разрешать определенным программам обходить Raccine, чтобы они не прекращались по ошибке.

Как установить Raccine

Чтобы установить Raccine, вы можете выполнить следующие действия:

  Загрузите Raccine.exe и используйте командную строку с повышенными привилегиями, чтобы скопировать его в папку C: \ Windows.
    raccine-reg-patch.reg и дважды щелкните его. Когда он предложит вам объединить содержимое в реестр, позвольте ему сделать это.

Raccine теперь зарегистрирован как отладчик для команды vssadmin.exe, отслеживающей попытки удаления теневых копий тома.

Если вы обнаружите, что Raccine завершает работу законных программ, которые вы используете, вы можете удалить его, запустив файл реестра raccine-reg-patch-uninstall.reg и удалив C: \ windows \ raccine.exe.

После удаления Raccine больше не будут завершаться процессы, пытающиеся удалить копии теневых томов с помощью vssadmin.exe.

https://www.bleepingcomputer.com/news/security/new-ransomware-vaccine-kills-programs-wiping-windows-shadow-volumes/
----------
версия 0.4.1
https://github.com/Neo23x0/Raccine/releases
05.10.2020 16:22:31, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16051/message110418/ http://forum.esetnod32.ru/messages/forum35/topic16051/message110418/ Mon, 05 Oct 2020 16:22:31 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; файлы зашифрованы с расширением .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
День добрый!
подхватили шифровальщика, просьба помочь с расшифровкой файлов.


-----------
теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного  брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:


====quote====

  .cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; '.GTF; .Mark; .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB;  .space; .BOMBO; .ONE; .act; .pgp; .FRM; .wch; .club; .dr; .hack; .HCK; .r3f5s; .bad; hlpp; base; .HOW; .team; .credo; .lxhlp; .NHLP; .gyga; .bmtf; .prnds; .teamV; .GNS; .felix; .null; smpl; .rxx; .data; .homer; HAT; .tcprx; .LOG; .1dec; .xati; .GET; .Back; .Aim; .get; .abc; .rec; .NW24; .gtf; .cl; .gold; .eur; .blm    
=============

15.06.2020 09:05:17, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15927/message109204/ http://forum.esetnod32.ru/messages/forum35/topic15927/message109204/ Mon, 15 Jun 2020 09:05:17 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .Lazarus; Lazarus+; .Angus; .Skynet; .Kronos; .Void; .mifr; .onion; Spade; crypter; .RTX; .ADA; .gts; .help; .Iwan; .killer; .lama; .professor; .zxc; solo; .PAY; MrWhite; .rar; RYKCRYPT; .MRN Файлы зашифрованы с расширением .Lazarus; Lazarus+; .Angus; .Skynet; .Kronos; .Void; .mifr; .onion; Spade; crypter; .RTX; .ADA; .gts; .help; .Iwan; .killer; .lama; .professor; .zxc; solo; .PAY; MrWhite; .rar; RYKCRYPT; .MRN VoidCrypt/Filecoder.Ouroboros в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день. подскажите сталкивался кто то с шифровальщиком VOID.Файлы зашифрованы по типу 1.cer.[decoderma@tutanota.com][ID-CJ32FSXI7OR4QA8].Void
04.06.2020 08:36:29, Анатолий Масанов.]]> http://forum.esetnod32.ru/messages/forum35/topic15917/message109173/ http://forum.esetnod32.ru/messages/forum35/topic15917/message109173/ Thu, 04 Jun 2020 08:36:29 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением !Ecryptedd файлы зашифрованы с расширением !Ecryptedd в форуме Шифровальщики файлов и подбор дешифраторов.
Поймали шифровальщик. Атрибут файлов теперь такого вида !Ecryptedd
10.05.2020 08:25:37, Антон Ждахин.]]> http://forum.esetnod32.ru/messages/forum35/topic15881/message109025/ http://forum.esetnod32.ru/messages/forum35/topic15881/message109025/ Sun, 10 May 2020 08:25:37 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .rhino файлы зашифрованы с расширением .rhino Rhino; r/n: info.hta/ReadMe_Decryptor.txt в форуме Шифровальщики файлов и подбор дешифраторов.
попался какой-то новый шифровальщик, зажал все документы. посмотрите, пожалуйста. приложил образ автозапуска и типовой заражённый файл.
SERVER_2020-04-17_09-50-52_v4.1.8.7z
fixes447.txt.[generalchin@countermail.com].7z
17.04.2020 08:14:55, Петр Петрович.]]> http://forum.esetnod32.ru/messages/forum35/topic15858/message108856/ http://forum.esetnod32.ru/messages/forum35/topic15858/message108856/ Fri, 17 Apr 2020 08:14:55 +0300 Шифровальщики файлов и подбор дешифраторов Cryakl/CryLock - этапы "большого пути" Cryakl/CryLock - этапы "большого пути" в форуме Шифровальщики файлов и подбор дешифраторов.
Первая информация о шифраторе Cryakl опубликована на securelist.ru в октябре 2014 года.

 
====quote====
В процессе заражения троянец создает мастер-ключ, который отправляет по почте своим хозяевам. Впоследствии на основе этого мастер-ключа генерируется уникальный ключ для каждого шифруемого файла. При этом файл шифруется не целиком, а лишь первые 29 байт плюс три блока, расположенные в случайных местах файла. Кроме того, в конец файла помещается служебная структура, содержащая:

   - информацию о размере и расположении зашифрованных блоков,
   - MD5-хэши от оригинального файла и его заголовка,
   - константы для генерации файлового ключа из мастер-ключа и хэш для проверки его правильности,
   - ID жертвы,
   - оригинальное имя зашифрованного файла,
   - метку заражения {CRYPTENDBLACKDC}.
=============


скорее всего, Cryakl известен с начала 2014 года

ранние версии:
ver-4.0.0.0
пример зашифрованного файла:
gpgsh378.zip.id-{SXDJPVBHMSYDJPVAGMRXCINTZFKQWBHNTYEK-28.01.2015 13@18@508370589}-email-masfantomas@aol.com-ver-4.0.0.0.cbf

известные почты:

  email-masfantomas@aol.com
   email-HELPFILEDESKRIPT111@GMAIL.COM
   email-helpdecrypt@gmail.com
   email-helpdecrypt123@gmail.com
   email-deskripshen1c@gmail.com
   email-deskr1000@gmail.com
   email-mserbinov@onionmail.in
   email-vernutfiles@gmail.com
   email-base1c1c1c@gmail.com


примеры автозапуска в системе:

   Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
   progrmma C:\Program Files\temp\WINRAR.EXE

ver-6.1.0.0
пример зашифрованного файла:
qyfmtbhovbipwcjpxdkqxdlrzfmsag.nub.id-{EJPUBGLRXCINTYEJPUAFLQWBHMSYDIOUZEKQ-12.03.2015 11@22@168550646}-email-moshiax@aol.com-ver-6.1.0.0.b.cbf

известные почты:

   email-moshiax@aol.com
   email-mserbinov@aol.com
   email-watnik91@aol.com
   email-vpupkin3@aol.com

возможно, их гораздо больше
примеры автозапуска в системе:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
C:\Program Files\1\svchost.exe

ver-8.0.0.0
пример зашифрованного файла:
iqxeltzgoubiqwdkryfmtahowcjqxe.lta.id-{ZFKPWCHMSYDJPUZFLQVBHMSYDJOUAFKQWBHM-30.03.2015 12@49@155029625}-email-moshiax@aol.com-ver-8.0.0.0.cbf

известные почты:

email-moshiax@aol.com
   email-watnik91@aol.com

примеры автозапуска в системе:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
C:\Program Files\xexe\info.exe

ver-CL 0.0.1.0

пример зашифрованного файла:
email-mserbinov@aol.com.ver-CL 0.0.1.0.id-SBGKPTXBEIMPUYBFJMQUYCFJNQVZCGJNRVZD-05.05.2015 23@58@548191739.randomname-DJNRWAEJNQUYBFJNRVYCGKOSWZDHLP.TXB.cbf

известные почты:

  email-mserbinov@aol.com
   d_madre@aol.com
   trojanencoder@aol.com
   iizomer@aol.com

примеры автозапуска в системе:

   HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
   C:\Program Files\monitor.exe

ver-CL 1.0.0.0

пример зашифрованного файла:
email-cryptolocker@aol.com.ver-CL 1.0.0.0.id-NTZXEKPVBHMSYDIOUZFLRWCHNSYEJPVBGLRX-15.07.2015 13@36@284834316.randomname-HGCVMANYIQXEKPUXBDGIKMNPQRSTTU.UUV.cbf
видим, что закодированное имя перемещено в конец заголовка.

известные почты:

   email-gerkaman@aol.com
   email-Seven_Legion2@aol.com
   email-gcaesar2@aol.com
   email-Igor_svetlov2@aol.com
    email-ninja.gaiver@aol.com
    email-bekameka777@aol.com
    email- last.centurion@aol.com
    email-a_princ@aol.com
    email-Cryptolocker@aol.com
    email-ivanov34@aol.com
    email-vpupkin3@aol.com
    email-oduvansh@aol.com
    email-trojanencoder@aol.com
    email-iizomer@aol.com
    email-moshiax@aol.com
    email-load180@aol.com
    email-watnik91@aol.com

примеры автозапуска в системе:

   ссылка: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
   C:\Program Files\simpleinf.exe

ver-CL 1.0.0.0u

пример зашифрованного файла:
Пользователь добавил изображение

известные почты:

   email-iizomer@aol.com
   email-cryptolocker@aol.com_graf1
   email-cryptolocker@aol.com_mod
   email-byaki_buki@aol.com_mod2


ver-CL 1.1.0.0

пример зашифрованного файла:
email-eric.decoder10@gmail.com.ver-CL 1.1.0.0.id-TBHMTZDJPVAFLRWCHNSYEJOUAFKQWBHMSYDI-06.08.2015 14@39@447462257.randomname-MSYEKQWBHMSXDJPTZFLQWCHMSYDJPU.AGM.cbf
известные почты:

   email-hontekilla@india.com
   email-gerkaman@aol.com
   email-oduvansh@aol.com
   eric.decoder10@gmail.com
   email-trojanencoder@aol.com
   email-watnik91@aol.com
   seven_legin2@aol.com
   email-obamausa7@aol.com
   email-gcaesar2@aol.com

примеры автозапуска в системе:

   ссылка: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
   C:\Program Files\1C\карточка предприятия.exe

ver-CL 1.2.0.0

пример зашифрованного файла:
email-trojanencoder@aol.com.ver-CL 1.2.0.0.id-YELRXEJPWBHOTZFLRXDJPUBHMTZELRWCKQWC-29.04.2016 17@04@497267438.randomname-HOUASYEKQWDIOUAGMSZEKRWCJOUAGN.SZF.cbf

известные почты:

   email-anton_ivanov34@aol.com
   email-trojanencoder@aol.com
   email-iizomer@aol.com
   email-ivan_fedorov16@aol.com
   !email-cryptoloker@aol.com
   email-zed.zorro1@aol.com
   email-fedor_pavlov13@yahoo.com
   email-agent.vayne@india.com
   email-moshiax@aol.com
   ! email-oduvansh@aol.com
   email-gcaesar2@aol.com
   email-crypt.cryptor@aol.com
   email-age_empires@ aol.com

примеры автозапуска в системе:

   ссылка: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
   C:\Program Files\service.exe

ver-CL 1.3.0.0
пример зашифрованного файла:
email-moshiax@aol.com.ver-CL 1.3.0.0.id-WCHMSXBGLPUZEJOTYDHMRWBFKPUZEINSXCHM-24.05.2016 20@08@033014428.randomname-AKPUUAFKPUZEINSXCHMRWAFKPUZDIN.TXC.cbf
известные почты:

   email-moshiax@aol.com
   cryptolocker@aol.com

примеры автозапуска в системе:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\sopropool­
C:\Program Files\tr.exe

ver-CL 1.3.1.0

пример зашифрованного файла:
Пользователь добавил изображение
известные почты:

   byaki_buki@aol.com_grafdrkula@gmail.com
   email-byaki_buki@aol.com
   email-iizomer@aol.com
   email-crypthelp@qq.com
   email-tapok@tuta.io
   email-iizomer.iizomer@yandex.ru_iizomer@aol.com
   email-v_pupkin@aol.com
   email-mortalis_certamen@aol.com
   email-salazar_slytherin10@yahoo.com
   email-200usd@india.com
   email-eugene_danilov@yahoo.com
   ...

примеры автозапуска в системе:

   Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\00F5-A4D1
   00F5-A4D1 C:\Program Files\WinRar\резюме.exe

fairytail (CL 1.4.0.0, CL 1.4.1.0, CL 1.5.0.0)

пример зашифрованного файла:

   email-blackdragon43@yahoo.com.ver-CL 1.4.0.0.id-3908370012-23.03.2018 10@01@539726651.fname-Правила поведения вахтеров.jpg.fairytail

известные почты:

    email-blackdragon43@yahoo.com
   email-hola@all-ransomware.info

примеры автозапуска в системе:

   HKEY_USERS\S-1-5-21-1417001333-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run\390837001­2
   C:\DOCUME~1\user\LOCALS~1\Temp\bd.exe

doubleoffset (CL 1.5.1.0)

пример зашифрованного файла:
email-blackdragon43@yahoo.com.ver-CL 1.5.1.0.id-1747396157-41244152820380734004031.fname-Правила поведения вахтеров.jpg.doubleoffset

известные почты:

email-3nity@tuta.io
   email-butterfly.iron@aol.com
   email-n_nightmare@yahoo.com
   email-vally@x-mail.pro
   email-blackdragon43@yahoo.com
   email-dorispackman@tuta.io
   email-hola@all-ransomware.info
   email-coolguay@tutanota.com
   email-biger@x-mail.pro
   email-tapok@tuta.io
   email-komar@tuta.io

примеры автозапуска в системе:
HKEY_USERS\S-1-5-21-1645522239-854245398-682003330-1003\Software\Microsoft\Windows\CurrentVersion\Run\174739615­7
C:\DOCUME~1\user\LOCALS~1\Temp\XEKOVAFKPT.exe

CS 1.6.0.0

пример зашифрованного файла:

известные почты:

   email-sugarman@tutamail.com
   email-3nity@tuta.io
   email-mr.yoba@aol.com

CS 1.7.0.1
пример зашифрованного файла:
desktop.ini[CS 1.7.0.1][opensafezona@protonmail.com].git
известные почты:

   opensafezona@protonmail.com

CS 1.8.0.0
пример зашифрованного файла:
branding.xml[grand@horsefucker.org][2094653670-1579267651].whv
известные почты:

   graff_de_malfet@protonmail.ch
   grand@horsefucker.org
   tomascry@protonmail.com

CryLock 1.9.0.0

   Опознан как

   sample_bytes: [0x3472F - 0x3473D] 0x7B454E4352595054454E4445447D

https://id-ransomware.malwarehunterteam.com/identify.php?case=5e55ddb65eac5f52e424de270004ffeeef08563f

пример зашифрованного файла:
VTS_01_0.BUP[reddragon3335799@protonmail.ch][special].[10ABB6A7-867BCEF7]

известные почты:
   
reddragon3335799@protonmail.ch
   graff_de_malfet@protonmail.ch
   coronovirus@protonmail.com
31.03.2020 10:14:46, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15821/message108719/ http://forum.esetnod32.ru/messages/forum35/topic15821/message108719/ Tue, 31 Mar 2020 10:14:46 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB; файлы зашифрованы с расширением .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB; Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
День добрый!
На терминале подхватили шифровальщика, просьба помочь с расшифровкой файлов.


-----------
теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного  брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:


====quote====

  .cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; '.GTF; .Mark; .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab; .BANG; .payB;
=============

rem.rar
16.03.2020 11:02:25, Александр Захаров.]]> http://forum.esetnod32.ru/messages/forum35/topic15792/message108576/ http://forum.esetnod32.ru/messages/forum35/topic15792/message108576/ Mon, 16 Mar 2020 11:02:25 +0300 Шифровальщики файлов и подбор дешифраторов Crysis: грозящая катастрофа и как с ней бороться Crysis: грозящая катастрофа и как с ней бороться в форуме Шифровальщики файлов и подбор дешифраторов.
Компании с использованием вымогателей под управлением операторов являются значительной и растущей угрозой для бизнеса и представляют собой одну из наиболее эффективных тенденций в современных кибератаках. В этих рукопашных атаках, которые отличаются от автоматического распространения вымогателей (WannaCry или NotPetya), злоумышленники используют методы кражи учетных данных и горизонтального перемещения. Они обладают обширными знаниями в области системного администрирования и общих неправильных настроек безопасности сети, проводят тщательную разведку и адаптируются к тому, что обнаруживают в скомпрометированной сети.

Подобные атаки часто начинаются с «товарного вредоносного ПО», такого как банковские трояны, или «несложных» векторов атак, которые обычно вызывают множественные оповещения об обнаружении; тем не менее, они считаются несущественными и поэтому не подвергаются тщательному исследованию и устранению. Кроме того, начальные полезные нагрузки часто останавливаются антивирусными решениями, но злоумышленники развертывают другую полезную нагрузку или используют административный доступ для отключения антивируса, чтобы не привлекать внимание к службам реагирования на инциденты или операционным центрам безопасности (SOC).

Одним из действующих лиц, появившихся в этой тенденции атак, управляемых оператором, является активная, высоко адаптивная группа (PARINACOTA), которая часто использует Dharma в качестве полезной нагрузки.

Атаки PARINACOTA, как правило, с помощью грубой силы проникают на серверы, на которых открыт из внешней сети протокол удаленного рабочего стола (RDP), с целью дальнейшего горизонтального перемещения внутри сети или выполнения brute forces против целей за пределами сети. Это позволяет группе расширять скомпрометированную инфраструктуру под их контролем. Часто, группа нацеливается на встроенные локальные учетные записи администраторов или список общих имен учетных записей. В других случаях группа нацелена на учетные записи Active Directory (AD), которые они скомпрометировали или имеют предварительные знания, таких как учетные записи служб известных поставщиков.

Группа использует метод brute forces RDP, который ранее применяли печально известный Samas (SamSam). Другие семейства вредоносных программ, такие как GandCrab, MegaCortext, LockerGoga, Hermes и RobbinHood, также использовали этот метод в целевых атаках.

Пользователь добавил изображение

Чтобы найти цели, группа сканирует Интернет на наличие машин, которые прослушивают порт RDP 3389. Злоумышленники могут это делать с зараженных компьютеров, используя такие инструменты, как Masscan.exe, которые обнаруживают уязвимые машины во всем Интернете менее чем за шесть минут.

Как только уязвимая цель найдена, группа начинает атаку грубой силой с использованием таких инструментов, как NLbrute.exe или ForcerX, начиная с общих имен пользователей, таких как «admin», «administrator», «guest» или «test». После успешного получения доступа к сети группа проверяет скомпрометированный компьютер на предмет подключения к Интернету и вычислительной мощности. Они определяют, соответствует ли машина определенным требованиям, прежде чем использовать ее для проведения последующих атак RDP методом перебора против других целей. Эта тактика, которая не использовалась аналогичными операторами вымогателей, дает им доступ к дополнительной инфраструктуре, которая с меньшей вероятностью будет заблокирована. Фактически, группа наблюдала за тем, чтобы их инструменты работали на скомпрометированных машинах месяцами подряд.

После отключения решений по безопасности группа часто загружает ZIP-архив, содержащий десятки известных инструментов атакующего и пакетные файлы для кражи учетных данных, устойчивости, разведки и других действий, не опасаясь предотвращения следующих этапов атаки. С помощью этих инструментов и пакетных файлов группа очищает журналы событий с помощью wevutil.exe, а также проводит обширную разведку на компьютере и в сети, обычно ища возможности для бокового перемещения с использованием обычных инструментов сетевого сканирования. При необходимости группа повышает привилегии от локального администратора до SYSTEM, используя функции специальных возможностей в сочетании с командным файлом или загруженными файлами, названными в честь определенных CVE, на которые они влияют, также известных как атака «Sticky Keys».

Группа сбрасывает учетные данные из процесса LSASS, используя такие инструменты, как Mimikatz и ProcDump, чтобы получить доступ к соответствующим паролям локальных администраторов или учетным записям служб с высокими привилегиями, которые можно использовать для запуска в качестве запланированной задачи или службы или даже для интерактивного использования. Затем PARINACOTA использует тот же сеанс удаленного рабочего стола для эксфильтрации полученных учетных данных. Группа также пытается получить учетные данные для определенных банковских или финансовых веб-сайтов, используя findstr.exe для проверки файлов cookie, связанных с этими сайтами.

PARINACOTA устанавливает постоянные учетные данные, используя различные методы, в том числе:

Изменения реестра с использованием файлов .bat или .reg для разрешения соединений RDP

Настройка доступа через существующие приложения удаленной помощи или установка бэкдора.

Создание новых локальных учетных записей и добавление их в группу локальных администраторов.

Чтобы определить тип полезной нагрузки для развертывания, PARINACOTA использует такие инструменты, как Process Hacker, для идентификации активных процессов. Злоумышленники не всегда сразу устанавливают вымогателей; было замечено, что они устанавливают майнеры и используют massmail.exe для запуска спам-кампаний, в основном используя корпоративные сети в качестве распределенной вычислительной инфраструктуры для получения прибыли. Тем не менее, группа через несколько недель возвращается на те же машины, чтобы установить вымогателей.

Группа выполняет те же самые общие действия для доставки полезной нагрузки вымогателей:

        Размещает вредоносный файл HTA (во многих случаях hta) с использованием различных точек расширяемости автозапуска (ASEPs), но часто с ключами запуска реестра или папкой автозагрузки.
        Удаляет локальные резервные копии, чтобы предотвратить восстановление выкупленных файлов.
        Останавливает активные службы, которые могут мешать шифрованию.

Пользователь добавил изображение

PARINACOTA регулярно использует криптомайнеры Monero на взломанных машинах, что позволяет им получать равномерную прибыль независимо от типа машины, к которой они обращаются.

https://www.microsoft.com/security/blog/2020/03/05/human-operated-ransomware-attacks-a-preventable-disaster/
15.03.2020 06:44:22, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15791/message108572/ http://forum.esetnod32.ru/messages/forum35/topic15791/message108572/ Sun, 15 Mar 2020 06:44:22 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы в Cryakl CS 1.*.* файлы зашифрованы в Cryakl CS 1.*.* Filecoder.EQ/Encoder.567/Cryakl в форуме Шифровальщики файлов и подбор дешифраторов.
Зашифровали файлы. Нужна помощь. Образ автозапуска прилагаю. Заранее Спасибо. https://www.sendspace.com/file/eo6da7
28.01.2020 11:46:25, Роман Литвинюк.]]> http://forum.esetnod32.ru/messages/forum35/topic15675/message108097/ http://forum.esetnod32.ru/messages/forum35/topic15675/message108097/ Tue, 28 Jan 2020 11:46:25 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением .rsa; .kr; .ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; .GTF; .Ma файлы зашифрованы с расширением .rsa; .kr; .ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; .GTF; .Ma Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:


====quote====
   .cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0day; .hccapx; .cap; .xxxx; .crash; .php; .dqb; .save; kick; .1BTC; .com2; .Acuf2; .nqix; .Q1G; .pdf; .cmd; MGS; .RSA; .ebola; .money; .VIVAL; .UTC; .CASH; .KRAB; .uta; .bot; .wiki; PBD; .one; .xda; .start; .asus; .VIRUS; .rsa; .kr; '.ninja; .nvram; .SySS; .kharma; .abc; .2048; ROGER; .bitx; .IMI; .asd; RIDIK; .Z9; .LIVE; .NEWS; wrar; 2NEW; .msh; .CU; .rajar; .blend; .WHY; .crown; .ncov; self; .PAY; .qbix; .PLEX; .YKUP; .8800; .rxx; .GTF; .Mark

=============

теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного  брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);
21.11.2019 05:56:53, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15540/message107645/ http://forum.esetnod32.ru/messages/forum35/topic15540/message107645/ Thu, 21 Nov 2019 05:56:53 +0300 Шифровальщики файлов и подбор дешифраторов Архив Desktop.rar с паролем Архив Desktop.rar с паролем Все содержимое удалено и запаковано в архив в форуме Шифровальщики файлов и подбор дешифраторов.
Архив около 6 гб со всем содержимым рабочего компьютера оставлен на рабочем столе. Рядом с архивом оставлено такое сообщение (см. скриншот).

Помогите пожалуйста спасти информацию.

Что нужно сделать? Какую информацию предоставить, чтобы было проще помочь?
Нужен ли образ автозапуска согласно этой теме http://forum.esetnod32.ru/forum9/topic2687/
Нужно предоставить ссылку на сам архив на яндекс-диске?

Спасибо.

08.10.2019 10:54:49, Валерия МК.]]> http://forum.esetnod32.ru/messages/forum35/topic15484/message107385/ http://forum.esetnod32.ru/messages/forum35/topic15484/message107385/ Tue, 08 Oct 2019 10:54:49 +0300 Шифровальщики файлов и подбор дешифраторов