судя по наличию файла info.hta, по идентификатору, добавленному в заголовок зашифрованного файла,
а так же потому, что в конце файла добавлено имя оригинального файла,
(например, Port3NaPochtu.epf)
это свежий вариант Crysis, без расшифровки получается на данный момент.
активного шифрования уже нет, чуть позже напишу скрипт очистки.
посмотрите в системе, есть ли такие файлы:
FILES ENCRYPTED.txt
если есть такой файл, добавьте так же его в сообщение на форуме.
+
этот файл так же добавьте во вложение сообщения
C:\USERS\DIRECTOR\APPDATA\ROAMING\INFO.HTA
Цитата |
---|
Полное имя C:\USERS\DIRECTOR\APPDATA\ROAMING\INFO.HTA Имя файла INFO.HTA Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске Удовлетворяет критериям RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [auto (0)] Сохраненная информация на момент создания образа Статус в автозапуске Размер 13916 байт Создан 17.10.2018 в 09:12:20 Изменен 18.10.2018 в 12:53:11 Цифр. подпись Отсутствует либо ее не удалось проверить Доп. информация на момент обновления списка Файл C:\WINDOWS\SYSTEM32\MSHTA.EXE SHA1 E12E090BEEA1ECF54CC107A068B44470DCDD2A6C MD5 4B4032E5295129C3B4B2AB652E0D511B Ссылки на объект Ссылка HKEY_USERS\S-1-5-21-1650623945-3038832851-789751919-1007\Software\Microsoft\Windows\CurrentVersion\Run\C:\Users\Director\AppData\Roaming\Info.hta C:\Users\Director\AppData\Roaming\Info.htamshta.exe "C:\Users\Director\AppData\Roaming\Info.hta" |
эти файлы: FILES ENCRYPTED.txt и Info.hta нужны для точной идентификации типа шифратора, которым зашифрованы ваши файлы