Форум esetnod32.ru [тема: Восстанавливаем файлы, удаленные после шифратора] http://forum.esetnod32.ru Новое в теме Восстанавливаем файлы, удаленные после шифратора форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Wed, 15 Apr 2026 21:50:26 +0300 Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
vlad postnov написал:
omerta
=============
http://id-ransomware.blogspot.com/2018/07/scarab-omerta-ransomware.html

если вы лицензионный пользователь ESET, можно сделать запрос на расшифровку в support@esetnod32.ru
если нет лицензии, тогда стоит поискать расшифровку на других форумах (DrWeb или LK),

или например здесь:
https://www.bleepingcomputer.com/forums/t/651855/scarab-mich78-ransomware-scarab-scorpio-mich78usacom-support-topic/?p=4516375
28.08.2018 18:00:20, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message104243/ http://forum.esetnod32.ru/messages/forum35/topic11853/message104243/ Tue, 28 Aug 2018 18:00:20 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Доброго дня! Можете помочь с расшифровкой файлов, зашифрованных omerta?
28.08.2018 17:47:35, vlad postnov.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message104241/ http://forum.esetnod32.ru/messages/forum35/topic11853/message104241/ Tue, 28 Aug 2018 17:47:35 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Марина Ивко написал:
Здравствуйте! помогите пожалуйста расшифровать фотофайлы NO MORE RANSON
=============
расшифровкм по no_more_ransom пока нет.
если необходимо проверить систему на активность шифратора, добавьте образ автозапуска системы
02.03.2017 12:21:26, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message97809/ http://forum.esetnod32.ru/messages/forum35/topic11853/message97809/ Thu, 02 Mar 2017 12:21:26 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Марина Ивко написал:
Здравствуйте! помогите пожалуйста расшифровать фотофайлы NO MORE RANSON

=============
Посмотрите здеть
http://id-ransomware.blogspot.ru/2016/11/blog-post-no-ransom.html
02.03.2017 11:57:54, Руслан Сметанин.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message97804/ http://forum.esetnod32.ru/messages/forum35/topic11853/message97804/ Thu, 02 Mar 2017 11:57:54 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте! помогите пожалуйста расшифровать фотофайлы NO MORE RANSON
01.03.2017 17:15:03, Марина Ивко.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message97794/ http://forum.esetnod32.ru/messages/forum35/topic11853/message97794/ Wed, 01 Mar 2017 17:15:03 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
и как? есть у вас удачный опыт восстановления данных после того, как на системе отработали такие например шифраторы как VAULT, ctb-locker, da_vince_code или better_call_saul?
09.06.2016 10:13:54, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message93444/ http://forum.esetnod32.ru/messages/forum35/topic11853/message93444/ Thu, 09 Jun 2016 10:13:54 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
santy написал:

====quote====
Kodi Kon   написал:
Есть специальный софт по восстановлению данных, зачем придумывать велосипед?   Hetman    Software   прекрасно справляется с затёртыми пакетами данных. Ничего не удаляется навсегда, сначала подлечить диск от вируса, потом восстановить.
=============
а чем лучше другого спец. софта по восстановлению удаленных данных? R-studio, getdataback, ontrack easy recovery?
=============
Из выше перечисленных R-studio только знакомая, но насколько знаю, она не работает с повреждёнными каталогами и файлами повреждёнными вирусами. Если это не так, то поправите меня. В любом случае, если одна не помогает, не стоит ограничиваться одним софтом, способов то много.  
09.06.2016 10:07:31, Kodi Kon.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message93443/ http://forum.esetnod32.ru/messages/forum35/topic11853/message93443/ Thu, 09 Jun 2016 10:07:31 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Скрытая реклама?  :)
09.06.2016 09:03:17, Andrew Komissarov.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message93442/ http://forum.esetnod32.ru/messages/forum35/topic11853/message93442/ Thu, 09 Jun 2016 09:03:17 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Kodi Kon написал:
Есть специальный софт по восстановлению данных, зачем придумывать велосипед?  Hetman  Software  прекрасно справляется с затёртыми пакетами данных. Ничего не удаляется навсегда, сначала подлечить диск от вируса, потом восстановить.
=============
а чем лучше другого спец. софта по восстановлению удаленных данных? R-studio, getdataback, ontrack easy recovery?
08.06.2016 17:50:54, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message93435/ http://forum.esetnod32.ru/messages/forum35/topic11853/message93435/ Wed, 08 Jun 2016 17:50:54 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Есть специальный софт по восстановлению данных, зачем придумывать велосипед? HetmanSoftware прекрасно справляется с затёртыми пакетами данных. Ничего не удаляется навсегда, сначала подлечить диск от вируса, потом восстановить.  
08.06.2016 17:24:06, Kodi Kon.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message93434/ http://forum.esetnod32.ru/messages/forum35/topic11853/message93434/ Wed, 08 Jun 2016 17:24:06 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Alexandr Irtishev написал:
Всем привет, вирус "xtbl" поработал. Все закодировано. Через R-Studio, восстанавливал, то с ошибками открывается. Например .dox, открывается иероглифы и какая то кракозябра одна. Пытался восстановить с помощью других программ этот файл отдельно, и чет никак. Тот же бред. У меня идея вот какая была.      Скрытый текст          Не все знаю о теневом копирование данных в os windows. Так вот, есть такая служба VSS (Volume Snapshot Service), благодаря ее, при создание точки восстановления, создаются в "тени" данные и кое то время остаются. Так вот. Сам вопрос. Можно ли заменить как то или восстановить точки восстановления? Вирус шифровальщик "Xtbl" удалил и перезаписал. А я через программу r-stuio восстановил этим файлы, т. е они у меня есть, но сами точки не появляются, даже если заменяешь сами файлы. Может кто поможет разобраться. Пока тест провожу на win 7, не удачненько. Есть мысли на этот счет?    На майл ответах ничего умного не сказали. Может у вас какие есть идеи? Точки через р-студию в папке VSS можно восстановить.  Друзья?
=============
Может речь идет о "восстановить предыдущие версии файлов"?
03.09.2015 19:44:14, Павел Чер.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message87614/ http://forum.esetnod32.ru/messages/forum35/topic11853/message87614/ Thu, 03 Sep 2015 19:44:14 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Alexandr Irtishev, у меня не получилось никак, основные методы в теме отписаны.
13.07.2015 10:24:05, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message86515/ http://forum.esetnod32.ru/messages/forum35/topic11853/message86515/ Mon, 13 Jul 2015 10:24:05 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Всем привет, вирус "xtbl" поработал. Все закодировано. Через R-Studio, восстанавливал, то с ошибками открывается. Например .dox, открывается иероглифы и какая то кракозябра одна. Пытался восстановить с помощью других программ этот файл отдельно, и чет никак. Тот же бред. У меня идея вот какая была.
Скрытый текст
На майл ответах ничего умного не сказали. Может у вас какие есть идеи? Точки через р-студию в папке VSS можно восстановить.  Друзья?
13.07.2015 08:01:45, Alexandr Irtishev.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message86511/ http://forum.esetnod32.ru/messages/forum35/topic11853/message86511/ Mon, 13 Jul 2015 08:01:45 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Для тех, кто пострадал от Trojan.Encoder.398

http://virusinfo.info/showthread.php?t=183384
09.05.2015 19:51:18, mike 1.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message85038/ http://forum.esetnod32.ru/messages/forum35/topic11853/message85038/ Sat, 09 May 2015 19:51:18 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Использование R-Studio, GetDataBack, EasyRecovery, Recuva
(делимся опытом восстановления данных)

http://rlab.ru/doc/r-studio_getdataback_easyrecovery_recuva.html
08.05.2015 10:32:08, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message85027/ http://forum.esetnod32.ru/messages/forum35/topic11853/message85027/ Fri, 08 May 2015 10:32:08 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
короче говоря, не удалось ничего сделать с восстановленными файлами system volume information.
может кому пригодится такой метод.
06.04.2015 10:44:59, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message84033/ http://forum.esetnod32.ru/messages/forum35/topic11853/message84033/ Mon, 06 Apr 2015 10:44:59 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Восстанавливаем удаленные после шифратора файлы,
перенес часть сообщений из темы VAULT сюда, для обмена опытом восстановления удаленных данных.
02.04.2015 05:44:39, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83944/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83944/ Thu, 02 Apr 2015 05:44:39 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Иван Иванович написал:
кстати если юзать поиск по vault в контексте вылезает контора, которая якобы пишет дешифраторы. так вот они запросили 22кр. притом пример дешифровки не высылают)
=============
посредники, которые выдают дешифровку за свою разработку, хотя банально выкупают ключ и дешифратор у злоумышленников, и возможно пользуются скидкой с их стороны
02.04.2015 05:42:12, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83943/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83943/ Thu, 02 Apr 2015 05:42:12 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Роман, я попытался восстановить р-студией. Он его нашел, но, к сожалению, восстановил 0 кб, и pubring.gpg -1 кб, я ошибся. Так что я тоже сижу с отключенными точками восстановления и перезаписанным нулевым secring.gpg
02.04.2015 00:18:45, Иван Иванович.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83940/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83940/ Thu, 02 Apr 2015 00:18:45 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
santy, может я что-то не понял, но вроде функционал и принцип тот же.

сама папка system volume information была и есть. в ней были точки (файлы без расширения). в 8:30 произошло заражение и затирание этих точек. т.е. папка стала занимать 0Б. затем в 10:30 система сделала новую точку как будто система восстановления win 7 была только что включена.
теме временем удаленные точки фактически оставались на диске как и почти при любом простом удалении (помечены на удаление, да).
вот их удалось вытащить на другой диск. тоже самое предлагает r-undelete. там файлы типа {19f1745a-8bfd-11e4-812f-08606e763134}{3808876b-c176-4e48-b7ae-04046e6cc752} и другие.
если получить права на эту папку и сложить восстановленные файлы туда система их не видит. видит только новую созданную точку.
всё это имхо конечно.

RP55 RP55, наверно метод похож. файлы в каталоге вижу. а вот как устроены эти файлы точек восстановления и как их разобрать хз. наподобие точек в xp, откуда можно было дернуть файлы веток реестра.

Иван Иванович, как восстановили secring.gpg?

кстати если юзать поиск по vault в контексте вылезает контора, которая якобы пишет дешифраторы. так вот они запросили 22кр. притом пример дешифровки не высылают)
01.04.2015 23:27:14, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83937/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83937/ Wed, 01 Apr 2015 23:27:14 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
santy, выслал вам на почту secring.gpg, который удалось восстановить и пару фотографий.
Проверьте, пожалуйста, на возможность расшифровки.
ап.
простите, перепутал файл...
01.04.2015 20:24:25, Иван Иванович.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83928/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83928/ Wed, 01 Apr 2015 20:24:25 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
system volume information

С каталогом можно работать с Linux Live CD
Даже если system volume information были удалены то Windows сразу не удаляет данные, а только помечает их как удалённые.

И с Linux Live CD их видно: http://forum.esetnod32.ru/forum8/topic737/
---------
А затирать спец. утилитами десятки гигов.  данных это история долгая и заметно влияющая на работу PC.
Злоумышленники врядли это будут делать.
Для эффективного затирания/уничтожения стребуется несколько циклов перезаписи данных.
01.04.2015 16:41:05, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83924/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83924/ Wed, 01 Apr 2015 16:41:05 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
Роман,
а если в r-undelete попробовать добавить восстановленную папку? сможет она разобрать файлы в папке? там вроде есть два режима работы: быстрый поиск и восстановление, и углубленный поиск и восстановление.
http://www.r-undelete.com/ru/Download.shtml
r-undelete рекомендуют установить на флэшку, и соответственно восстановление файлов выполнять на другой диск, который не содержит данную папку.
домашняя версия вроде бесплатна, или с некоторыми ограничениями на размер файла.
01.04.2015 16:09:02, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83923/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83923/ Wed, 01 Apr 2015 16:09:02 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
santy,скорее всего vault постарался. r-studio увидел и восстановил данные на 15ГБ.
01.04.2015 15:27:19, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83922/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83922/ Wed, 01 Apr 2015 15:27:19 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
а что с ней было? с system volume information. была удалена?
01.04.2015 14:24:18, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83917/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83917/ Wed, 01 Apr 2015 14:24:18 +0300 Шифровальщики файлов и подбор дешифраторов Восстанавливаем файлы, удаленные после шифратора Восстанавливаем файлы, удаленные после шифратора в форуме Шифровальщики файлов и подбор дешифраторов.
кстати, шифровальщик не тронул файлы, которые были открыты на момент запуска заразы. видимо не умеет закрывать приложения ещё, и не получает доступ.

удалось восстановить директорию system volume information (около 15ГБ), однако не получается работать с этими данными.
закинул файлы в директорию, но винда не видит точки. так же не видят SystemRestoreExplorer и ShadowExplorer. Наверно метаданные уже не содержат инфы о старых точках.
Как достать файлы, кто что может посоветовать?
01.04.2015 14:13:01, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic11853/message83916/ http://forum.esetnod32.ru/messages/forum35/topic11853/message83916/ Wed, 01 Apr 2015 14:13:01 +0300 Шифровальщики файлов и подбор дешифраторов