Форум esetnod32.ru [тема: Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun] http://forum.esetnod32.ru Новое в теме Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 16 Apr 2026 09:35:54 +0300 Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
к сожалению, это Crysis вариант Dharma с расширением .[usacrypt@aol.com].USA
https://app.any.run/tasks/ff44b2d2-3751-45a3-8057-21e4fbf27172
расшифровки по новым вариантам Crysis нет сейчас  в антивирусных лабораториях
Восстановление документов возможно только из архивных копий.

Если необходима помощь в очистке системы, добавьте образ автозапуска системы.

Так же необходимо защитить ваш сервер от атак из внешней сети.
Разрешить подключение в серверу из внешней сети только с доверенных адресов,
поставить блокировку ip после трех неверных попыток ввода пароля,

Установите актуальные патчи для вашей системы.
https://chklst.ru/discussion/1634/pochemu-uyazvimost-bluekeep-imeet-bolshoe-znachenie
20.08.2019 14:14:05, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message107114/ http://forum.esetnod32.ru/messages/forum35/topic15168/message107114/ Tue, 20 Aug 2019 14:14:05 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день! Был в отпуске и как оказалось, 2 дня нас долбили по rdp. В итоге у них получилось. Во вложениях добавил логи, записку о выкупе, 2 зашифрованных файла и сам вирус. Все сделал согласно инструкции. Помогите, нужен расшифровщик..
Файлы.zip
20.08.2019 08:09:23, Дмитрий Корзун.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message107110/ http://forum.esetnod32.ru/messages/forum35/topic15168/message107110/ Tue, 20 Aug 2019 08:09:23 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
этот файл еще удалите:
C:\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\INFO.HTA
активных файлов шифратора нет.
по расшифровке пока не поможем. Возможно, на bleepcomputer кто-то может восстановить большие базы данных.
01.04.2019 19:21:27, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message106301/ http://forum.esetnod32.ru/messages/forum35/topic15168/message106301/ Mon, 01 Apr 2019 19:21:27 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
Отправил

Прикрепил
TS_2019-04-01_18-08-54_v4.1.3.7z
01.04.2019 19:11:53, Andrei Balan Balan.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message106300/ http://forum.esetnod32.ru/messages/forum35/topic15168/message106300/ Mon, 01 Apr 2019 19:11:53 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
расшифровки по вышеуказанным расширениям для Crysis в настоящее время нет,
восстанавливаем документы из архивных копий, потому что теневые копии так же удаляются после того как отработал Crysis
(если был запущен с правами администратора).

по очистке системы:


выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v4.1.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-9CB21DBF.[UNLOCKDATA@FOXMAIL.COM].STUN
del %SystemDrive%\USERS\COMODA3\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-9CB21DBF.[UNLOCKDATA@FOXMAIL.COM].STUN
del %SystemDrive%\USERS\ADMINISTRATOR.COLUMNA\APPDATA\ROAMING\INFO.HTA
del %SystemDrive%\USERS\COMODA3\APPDATA\ROAMING\INFO.HTA
del %Sys32%\INFO.HTA
zoo %Sys32%\1SVHOST.EXE
addsgn A7679B1BB9DA4D720B132BD59A37ED05258AFC31CC061F7885C302F9A8D6714C237F43573E55F549CBC084F77AB749FA155F083255B230CC6D774CEEA8F9DDF0 8 Win32/Filecoder.Crysis.L 7

zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1SVHOST.EXE
zoo %SystemDrive%\USERS\COMODA3\APPDATA\ROAMING\1SVHOST.EXE
zoo %SystemDrive%\USERS\ADMINISTRATOR.COLUMNA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1SVHOST.EXE
chklst
delvir

czoo
QUIT
=============
без перезагрузки системы, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z)  отправить в почту safety@chklst.ru, sendvirus2011@gmail.com, support@esetnod32.ru  
------------
+
добавьте новый образ автозапуска для контроля.
01.04.2019 08:58:17, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message106283/ http://forum.esetnod32.ru/messages/forum35/topic15168/message106283/ Mon, 01 Apr 2019 08:58:17 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
Прикрепил

TS_2019-04-01_07-39-51_v4.1.3.7z
fdfdf.7z
TS_2019-04-01_07-39-51_v4.1.3.7z
fdfdf.7z
01.04.2019 08:47:56, Andrei Balan Balan.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message106282/ http://forum.esetnod32.ru/messages/forum35/topic15168/message106282/ Mon, 01 Apr 2019 08:47:56 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
@Andrei Balan ,
добавьте образ автозапуска системы,
возможно в системе остались еще файлы шифратора
+
добавьте несколько зашифрованных файлов в архиве
01.04.2019 04:35:49, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message106279/ http://forum.esetnod32.ru/messages/forum35/topic15168/message106279/ Mon, 01 Apr 2019 04:35:49 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день

Помогите расшифровать файлы, зашифроваль документы и базу данных

id-9CB21DBF.[unlockdata@foxmail.com].stun

Спасибо
31.03.2019 23:31:01, Andrei Balan Balan.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message106278/ http://forum.esetnod32.ru/messages/forum35/topic15168/message106278/ Sun, 31 Mar 2019 23:31:01 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Андрей Власюк написал:
Прикрепляю образ автозапуска
=============
система судя по образу уже очищена от файлов шифратора,
по расшифровке документов обращайтесь в техподдержку support@esetnod32.ru, или в support@eset.ua,
при наличие реальной лицензии на продукт ESET

если сохранились файлы шифратора, (в карантине, или в почте), просьба заархивировать с паролем infected
и выслать в почту safety@chklst.ru
--------
или добавить исполняемый файл на https://www.hybrid-analysis.com/
с разрешением доступа к данному файлу.
и указать ссылку на доступ к этому файлу (можно в почту или в ЛС)
02.02.2019 17:31:43, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message105709/ http://forum.esetnod32.ru/messages/forum35/topic15168/message105709/ Sat, 02 Feb 2019 17:31:43 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
Прикрепляю образ автозапуска
COMP2_2019-02-02_15-45-35_v4.1.2.7z
02.02.2019 17:07:14, Андрей Власюк.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message105708/ http://forum.esetnod32.ru/messages/forum35/topic15168/message105708/ Sat, 02 Feb 2019 17:07:14 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.
@Андрей Власюк,
добавьте образ автозапуска из зашифрованнной системы,
возможно необходима очистка системы от тел шифратора
02.02.2019 04:38:05, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message105686/ http://forum.esetnod32.ru/messages/forum35/topic15168/message105686/ Sat, 02 Feb 2019 04:38:05 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Файлы зашифрованы с расширением .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun Filecoder.Crysis / Encoder.3953; r/n: info.hta в форуме Шифровальщики файлов и подбор дешифраторов.

Здравствуйте, помогите расшифровать файлы все документы базы данных зашифрованы расширение .id-66947249.[madbad@foxmail.com].usa

Прикрепленные файлы

update:

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы в  вирлабе:

====quote====
.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love
=============

теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного  брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);
arhive.zip
01.02.2019 22:13:53, Андрей Власюк.]]> http://forum.esetnod32.ru/messages/forum35/topic15168/message105684/ http://forum.esetnod32.ru/messages/forum35/topic15168/message105684/ Fri, 01 Feb 2019 22:13:53 +0300 Шифровальщики файлов и подбор дешифраторов