Форум esetnod32.ru [тема: Зашифрованы файлы с расширением .e-mail.ID*] http://forum.esetnod32.ru Новое в теме Зашифрованы файлы с расширением .e-mail.ID* форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 16 Apr 2026 00:15:04 +0300 Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Андрей Ошарин написал:
Файлы для анализа куда предоставить?
=============
support@esetnod32.ru
если вы лицензионный пользователь,
пришлите желательно файл шифратора в архиве с паролем infected, несколько зашифрованных файлов, несколько чистых файлов, лог ESET log collector, созданный на пострадавшем от шифрования компьютере.
04.10.2017 11:31:11, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100556/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100556/ Wed, 04 Oct 2017 11:31:11 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Файлы для анализа куда предоставить???
04.10.2017 11:23:01, Андрей Ошарин.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100555/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100555/ Wed, 04 Oct 2017 11:23:01 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Андрей Ошарин написал:
Приветствую, тоже попал. Лицензионный НОД32 молчал аки рыба. Лицензионный Win8.1 pro со всеми обновлениями.
=============
Андрей, вы наверное перепутали форумы. обратились в техподдержку дрвеб, а пишете на форуме eset.
04.10.2017 10:51:43, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100554/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100554/ Wed, 04 Oct 2017 10:51:43 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Приветствую, тоже попал. Лицензионный НОД32 молчал аки рыба. Лицензионный Win8.1 pro со всеми обновлениями.
04.10.2017 10:29:32, Андрей Ошарин.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100553/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100553/ Wed, 04 Oct 2017 10:29:32 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Ясно. Спасибо.
11.09.2017 12:45:48, Andrey Yakyshev.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100415/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100415/ Mon, 11 Sep 2017 12:45:48 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
судя по новому образу чисто теперь,
по расшифровке не поможем. архивные копии, пока что - единственный шанс в вашем случае восстановить файлы.
11.09.2017 12:41:40, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100414/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100414/ Mon, 11 Sep 2017 12:41:40 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Сделал
FIDJI_2017-09-11_12-26-02.rar
11.09.2017 12:35:55, Andrey Yakyshev.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100413/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100413/ Mon, 11 Sep 2017 12:35:55 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
судя по детектированию на IDRansomware

====quote====
Опознан как

   ransomnote_filename: How_return_files.txt
   ransomnote_email: bene556@gmx.de
   sample_extension: .<email>.ID<id>
=============

это RSAUtil Ransomware
расшифровки по нему в настоящее время нет.
можно так же следить за этой темой
https://www.bleepingcomputer.com/forums/t/646245/rsautil-ransomware-help-topic-how-return-filestxt-helppmeindiacom/
11.09.2017 12:06:59, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100412/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100412/ Mon, 11 Sep 2017 12:06:59 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
по очистке системы выполните:
(следов шифратора не увидел, зато целая коллекция майнеров трудится.)

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\ЮЗЕР\PICTURES\SVDHOST.EXE
zoo %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MIICROSOFT\ST.BAT
;------------------------autoscript---------------------------

delall %SystemDrive%\USERS\ЮЗЕР\APPDATA\LOCAL\TEMP\RARSFX5\1.VBS
delall %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MIICROSOFT\ST.BAT
zoo %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\MICROSOFT OPERATING SYSTEM.EXE
addsgn A7679BF0AA0234BA4AD4C6F1F1891261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C16DC9EE82BD6D738076F775BACCA8A0931 8 Win64/CoinMiner 7

zoo %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MICROSOFT\WINDOWS\TEMPLATES\SVCHOST.EXE
addsgn BA6F9BB2BD994D720B9C2D754C21F8F9DA7503D3B5E41F787AE623A250D68E69CB09C357C17077572B8048530E95A5D23554E9F36DB9C341CD0288ACBF1E2606 8 TR/Drop.Agent.CE.10 7

addsgn BA6F9BB2BD994D720B9C2D754C21F8F9DA7503D3B5E41F787AE623A250D68E69CB09C357C17077572B8048530E95A5D23554E9F36DB9C341CD0288ACBF1E2606 8 Win64/CoinMiner 7

zoo %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MIICROSOFT\RAN.EXE
addsgn 9AC0769A55024C720BD4C6E5508912ED79CAFCF60A3E131085C3C5BCB883314C23B49B637F55F5492B8084F7460649FA15DFE8725532F26C2D77077BF347229B 8 miner 7

addsgn A7679BF0AA02B4D14BD4C6B1FA881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CE6DC9FE82BD6D7E0FD6C775BACCA52F332 8 miner 7

chklst
delvir

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
apply

deltmp
delref %SystemRoot%\SYSWOW64\SPOOL\DRIVERS\X64\3\CNAP3LAK.EXE
delref %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MIICROSOFT\SSSSS.VBS
delref %SystemDrive%\USERS\ЮЗЕР\APPDATA\ROAMING\MIICROSOFT\AAA.VBS
delref %SystemDrive%\USERS\671D~1\APPDATA\LOCAL\TEMP\CHROME_BITS_4928_8768\26.0.0.151_WIN64_PEPPERFLASHPLAYER.CRX3
delref %SystemDrive%\USERS\ANDREY\APPDATA\LOCAL\TEMP\CHROME_BITS_4808_27597\26.0.0.151_WIN64_PEPPERFLASHPLAYER.CRX3
delref %SystemDrive%\USERS\ANDREY\APPDATA\LOCAL\TEMP\CHROME_BITS_6272_2413\505_ALL_STHSET.CRX3
delref %SystemDrive%\USERS\IRINA\APPDATA\LOCAL\TEMP\CHROME_BITS_4240_6332\498_ALL_STHSET.CRX3
delref D:\ВИТРАЖИ\СКЛАД\SLS-SKLAD\SLS-SKLAD\MONITOR.EXE
delref A9A33436-678B-4C9C-A211-7CC38785E79D\[CLSID]
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemDrive%\VIRTUAL MACHINES\WINDOWS7\WINDOWS7.VMX
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {8AD9C840-044E-11D1-B3E9-00805F499D93}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\YOTA\YOTA ACCESS (MODEMS)\YOTAACCESS.EXE
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4}\[CLSID]
delref %Sys32%\MSSPELLCHECKINGFACILITY.DLL
delref %Sys32%\BLANK.HTM
delref %Sys32%\DRIVERS\NMPAR.SYS
delref %Sys32%\DRIVERS\NMSERIAL.SYS
delref %Sys32%\PSXSS.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %Sys32%\SHAREMEDIACPL.CPL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ADOBE\ACROBAT READER DC\ACRORD32INFO.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref E:\AUTOINSTALL.EXE
delref D:\SETUP.EXE
delref D:\ВИТРАЖИ\СКЛАД\SLS-SKLAD\SKLAD_W.EXE
;-------------------------------------------------------------

restart
czoo
=============
перезагрузка, пишем о старых и новых проблемах.
------------
11.09.2017 12:02:41, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100411/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100411/ Mon, 11 Sep 2017 12:02:41 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Добавил
FIDJI_2017-09-11_11-26-43.rar
How_return_files.txt
11.09.2017 11:49:14, Andrey Yakyshev.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100410/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100410/ Mon, 11 Sep 2017 11:49:14 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
@Andrey Yakyshev,
добавьте образ автозапуска системы, возможно есть в системе еще файлы, по которым можно идентифицировать тип шифратора.
+
добавьте записку о выкупе.
11.09.2017 04:41:38, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100407/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100407/ Mon, 11 Sep 2017 04:41:38 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день!
Зашифровались все файлы на диске.
Возможно ли подобрать или сделать дешифровщик?
Можно ли запустиь Nod32 на сканирвание?

Во вложении два одинаковых файла - один до шифровки, второй после.  
0031001.rar
10.09.2017 18:17:40, Andrey Yakyshev.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message100406/ http://forum.esetnod32.ru/messages/forum35/topic14017/message100406/ Sun, 10 Sep 2017 18:17:40 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Роман,
судя по записке о выкупе и по зашифрованному файлу


====quote====
Identified by

   ransomnote_filename: How_return_files.txt
   sample_extension: .<email>.ID<id>

Click here for more information about RSAUtil

=============
ваши файлы зашифрованы этим шифратором. RSAUtil
https://www.bleepingcomputer.com/forums/t/646245/rsautil-ransomware-help-topic-how-return-filestxt-helppmeindiacom/

расшифровки по данному шифратору нет.

пробуйте восстановить документы из архивных копий, точек восстановления, поиском среди удаленных файлов.
16.05.2017 13:28:41, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message98947/ http://forum.esetnod32.ru/messages/forum35/topic14017/message98947/ Tue, 16 May 2017 13:28:41 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Сам файл, подобные лежат в каждой директории (даже во вкладке IE11 и сетевом окружении).
How_return_files.txt
16.05.2017 11:54:36, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message98944/ http://forum.esetnod32.ru/messages/forum35/topic14017/message98944/ Tue, 16 May 2017 11:54:36 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Роман,
добавьте во вложение сам файл How_return_files.txt
16.05.2017 05:45:23, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message98941/ http://forum.esetnod32.ru/messages/forum35/topic14017/message98941/ Tue, 16 May 2017 05:45:23 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
В каждой директории находится файл How_return_files.txt со следующим содержанием:

Your documents, photos, databases, save games and other important data was encrypted.
Data recovery the necessary interpreter.
To get the interpreter, should send an email to bm-2cv8unfeqfpyrfcxcmaehb5977kt8nazpn@bitmessage.ch  
In a letter to include Your personal ID (see the beginning of this document).

Attention!
* Do not attempt to remove a program or run the anti-virus tools
* Attempts to decrypt the files will lead to loss of Your data
* Decoders other users is incompatible with Your data, as each user
unique encryption key

При связи с вымогателем было достаточно прислать пару зашифрованных файлов, чтобы он скинул уже расшифрованные — в доказательство того, что он может их вернуть к первоначальному виду. Я скинул по файлу с разных машин с одинаковым ID, и расшифровали оба.

Заставки не было, судя по всему вирус сработал по-тихому, пришедший с утра пользователь лишь показал, что не может открыть документы.  
15.05.2017 19:14:40, Роман.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message98930/ http://forum.esetnod32.ru/messages/forum35/topic14017/message98930/ Mon, 15 May 2017 19:14:40 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Роман,
такая заставка на рабочем столе?
Пользователь добавил изображение

если есть записка о выкупе, добавьте так же файл записки о выкупе. лучше добавить в архив и поместить на форум.
15.05.2017 18:40:12, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message98929/ http://forum.esetnod32.ru/messages/forum35/topic14017/message98929/ Mon, 15 May 2017 18:40:12 +0300 Шифровальщики файлов и подбор дешифраторов Зашифрованы файлы с расширением .e-mail.ID* Зашифрованы файлы с расширением .e-mail.ID* возможно, RSAUtil в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день! На двух компьютерах был пойман шифратор (запустился ночью без участия пользователей на обеих машинах примерно в одно и то же время), зашифровал все файлы  расширением .some@mail.ru.ID16035194, были изменены все папки, кроме системных, вплоть до ярлыков на рабочем столе. ID везде одинаковый, списался с вымогателем и скинул ему по файлу с каждого компьютера, он прислал их расшифрованными. На одном компьютере через Kaspersky Removal Tool обнаружил Trojan-Ransom.Win32.Agent.iyp, на втором ничего. Nod32 4.2.76.1 молчал, в журнале угроз ничего. Есть возможность как-то расшифровать файлы, или единственный способ сейчас — на свой страх и риск заплатить? Во вложении — пример зашифрованного файла.

-----------
по расшифровке файлов, зашифрованных в RSAUtil обращайтесь в support@esetnod32.ru
зашифрованный файл.rar
15.05.2017 18:17:39, Роман Небелюк.]]> http://forum.esetnod32.ru/messages/forum35/topic14017/message98926/ http://forum.esetnod32.ru/messages/forum35/topic14017/message98926/ Mon, 15 May 2017 18:17:39 +0300 Шифровальщики файлов и подбор дешифраторов