Форум esetnod32.ru [тема: файлы зашифрованы с расширением __AiraCropEncrypted!] http://forum.esetnod32.ru Новое в теме файлы зашифрованы с расширением __AiraCropEncrypted! форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 30 Apr 2026 02:21:05 +0300 файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
дополнение от F.Wosar:
Just to add a couple of information:

There are three variants out there of the AiraCrop crap. The very first variant is supported by the decrypter currently. The author updated the ransomware shortly after, but his update was insufficient. I haven't updated the decrypter yet, but I will before Christmas. However, the third update fixes the problem of the second variant entirely by moving to a proper and secure mechanism to generate the encryption keys. This secure variant popped up for the first time around December the 8th. So if you were hit before that date, chances are I will be able to help you. In all other cases, without the private keys associated with the campaign, I, unfortunately, won't be able to help you.
-----------
https://www.bleepingcomputer.com/forums/t/629457/airacrop-nmoreira-ransomware-support-topic-airacropencrypted-maktub/page-6#entry4143253
19.12.2016 19:46:40, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message96618/ http://forum.esetnod32.ru/messages/forum35/topic13606/message96618/ Mon, 19 Dec 2016 19:46:40 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
По AiraCropEncrypted! есть решение от компании Emsisoft
Emsisoft Decrypter for NMoreira
https://decrypter.emsisoft.com/nmoreira
19.12.2016 04:55:17, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message96604/ http://forum.esetnod32.ru/messages/forum35/topic13606/message96604/ Mon, 19 Dec 2016 04:55:17 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
POUL UILIAMSON написал:
я так понимаю скорее всего это этот файл может быть тем файлом который нужен QQ123.EXE ?
=============
не факт, что именно этот файл,
но вышлите в почту safety@chklst.ru с паролем infected - проверю на виртуалке

по факту проверки троян,
https://www.virustotal.com/ru/file/3ff1f63dcc7e87a837304e1e5d75fb84717b2adefa45c89b­130dbc705f0492b4/analysis/
т.е его в любом случае надо было удалить.
31.10.2016 05:22:53, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95608/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95608/ Mon, 31 Oct 2016 05:22:53 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
я так понимаю скорее всего это этот файл может быть тем файлом который нужен QQ123.EXE ?
31.10.2016 01:58:36, POUL UILIAMSON.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95607/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95607/ Mon, 31 Oct 2016 01:58:36 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
ищите исполняемые файлы на момент (в интервале) шифрования, которые были удалены.
exe, com, cmd, js, vbs, bat
30.10.2016 17:59:10, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95605/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95605/ Sun, 30 Oct 2016 17:59:10 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
хорошо а что именно мне искать?  
30.10.2016 17:36:03, POUL UILIAMSON.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95604/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95604/ Sun, 30 Oct 2016 17:36:03 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
проверьте наличие точек восстановления на момент шифрования, так же выполните поиск среди удаленны файлов на момент шифрования с помощью R-studio, getdataback
30.10.2016 15:00:51, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95599/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95599/ Sun, 30 Oct 2016 15:00:51 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
есть какие идеи как его достать?  
30.10.2016 10:47:46, POUL UILIAMSON.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95597/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95597/ Sun, 30 Oct 2016 10:47:46 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
да, это скрипт очистки системы.
по расшифровке файлов непонятно, что это за тип шифратора.
нужен файл шифратора.
29.10.2016 08:31:34, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95580/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95580/ Sat, 29 Oct 2016 08:31:34 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
я так понимаю данный скрипт удалит червя но проблему с закодированнными файлами не решит?  
28.10.2016 20:57:40, POUL UILIAMSON.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95577/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95577/ Fri, 28 Oct 2016 20:57:40 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
по образу, кроме этого файле больше нет подозрительных файлов.
возможно подключились из внешней сети.

здесь еще будет инфо по данному шифратору
http://id-ransomware.blogspot.ru/2016/10/airacrop-ransomware.html

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
ZOO %SystemRoot%\FONTS\QQ123.EXE
delall %SystemRoot%\FONTS\QQ123.EXE
deltmp
delnfr
restart
=============
перезагрузка, пишем о старых и новых проблемах.
------------
28.10.2016 14:53:43, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95572/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95572/ Fri, 28 Oct 2016 14:53:43 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
по образу:
этот файл вам известен?
судя по ссылкам - нежелательный файл.
https://malwr.com/analysis/N2VjMjFhYjkwODRkNDJhNmEyNjljYWZiODU5YzAyZjI/
https://www.herdprotect.com/qq123.exe-51c06e49e1c8ee61f93e8a2d27f5369612309c60.aspx


====quote====
Полное имя                  C:\WINDOWS\FONTS\QQ123.EXE
Имя файла                   QQ123.EXE
Тек. статус                 ?ВИРУС? ВИРУС ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Статус                      ВИРУС
Сигнатура                   debug [глубина совпадения 64(64), необх. минимум 8, максимум 64]
                           
www.virustotal.com          2016-10-27
-                           Файл был чист на момент проверки.
                           
Удовлетворяет критериям    
IMAGE FILE EXECUTION.EXE    (ССЫЛКА ~ \IMAGE FILE EXECUTION OPTIONS\)(1)   OR   (ССЫЛКА ~ .EXE\DEBUGGER)(1) [auto (0)]
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
File_Id                     4FD34D7533000
Linker                      9.0
Размер                      99064 байт
Создан                      14.10.2016 в 11:55:55
Изменен                     08.05.2013 в 02:29:38
Атрибуты                    СКРЫТЫЙ  СИСТЕМНЫЙ  
                           
TimeStamp                   09.06.2012 в 13:19:49
EntryPoint                  +
OS Version                  5.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Оригинальное имя            WINRAR.SFX
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Тип запуска                 Неизвестный отладчик приложения(ий)
Атрибут файла               "Скрытый" или "Системный" [типично для вирусов]
Путь до файла               Типичен для вирусов и троянов
                           
Доп. информация             на момент обновления списка
SHA1                        51C06E49E1C8EE61F93E8A2D27F5369612309C60
MD5                         C4D0C458DCE6B802EA946A857FA2EA12
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe\Debugger
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe\Debugger
=============

28.10.2016 13:23:16, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95570/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95570/ Fri, 28 Oct 2016 13:23:16 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
Доброго дня вот образ автозапуска http://rgho.st/6PqwLx9Gt
письмо попробую восстановить удалил попозже будет возможность скину !
Я админю несколько офисов в которых очень жадные директора из за чего теперь и страдают бухгалтера и  сами же директора! вся бухгалтерия закодированна!
28.10.2016 12:57:25, POUL UILIAMSON.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95569/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95569/ Fri, 28 Oct 2016 12:57:25 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
@POUL UILIAMSON,
источник заражения есть? вредоносное вложение в почте или ссылка в сети.
+
добавьте образ автозапуска из зашифрованной системы.
26.10.2016 05:04:16, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95477/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95477/ Wed, 26 Oct 2016 05:04:16 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
Что-то часто Вы болеете шифровальщиками.  
26.10.2016 00:20:13, mike 1.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95475/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95475/ Wed, 26 Oct 2016 00:20:13 +0300 Шифровальщики файлов и подбор дешифраторов файлы зашифрованы с расширением __AiraCropEncrypted! файлы зашифрованы с расширением __AiraCropEncrypted! NMoreira в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте такая проблема :
каждый файлик  лежащий на жёстком диске имеет подпись ".__AiraCropEncrypted!" после расширения файла и рядом лежит текстовый документ How to decrypt your files в котором
Encrypted Files!

All your files are encrypted. Using encryption AES256-bit and RSA-2048-bit.

Making it impossible to recover the files without the correct private key.

If you are interested in getting is key, and retrieve your files

visit one of the link and enter your key;

https://6kaqkavhpu5dln6x.onion.to/

https://6kaqkavhpu5dln6x.onion.link/

https://mvy3kbqc4adhosdy.onion.to/

https://mvy3kbqc4adhosdy.onion.link/

Alternative link:

http://6kaqkavhpu5dln6x.onion

http://mvy3kbqc4adhosdy.onion

To access the alternate link is mandatory to use the TOR browser available on the link

https://www.torproject.org/download/download

Key:

D0809D7FF155EDB518345504C73B507C7A57E23B60D17DEE9F54C27D7143­B3B7


Вот сами файлы

https://cloud.mail.ru/public/HcgU/439QmUCYR

https://cloud.mail.ru/public/Mhhg/2iTRvVgVt
25.10.2016 20:16:16, POUL UILIAMSON.]]> http://forum.esetnod32.ru/messages/forum35/topic13606/message95467/ http://forum.esetnod32.ru/messages/forum35/topic13606/message95467/ Tue, 25 Oct 2016 20:16:16 +0300 Шифровальщики файлов и подбор дешифраторов