Ильнур Акмаев,

файл шифратора здесь:
[QUOTE]%SystemDrive%\USERS\BUH\APPDATA\LOCAL\TEMP\553A1A0EE1967808BA1DB51672C33951.EXE[/QUOTE]

по очистке системы выполните:


выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
addsgn 1AF7D29A5583D98CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6­714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F­9F5FA577 8 ransom.enigma

zoo %SystemDrive%\USERS\BUH\APPDATA\LOCAL\TEMP\553A1A0EE1967808B­A1DB51672C33951.EXE
zoo %SystemDrive%\USERS\BUH\APPDATA\LOCAL\TEMP\ENIGMA.HTA
del %SystemDrive%\USERS\BUH\APPDATA\LOCAL\TEMP\ENIGMA.HTA
hide %SystemDrive%\USERS\BUH\DOWNLOADS\HASP_LM_SETUP\LMSETUP.EXE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (файл по формату: ZOO_yyyy-mm-dd_hh-mm-ss.rar/или 7z)  отправить в почту [email protected]
------------

Ильнур Акмаев,
по расшифрованию файлов обращайтесь в техподдержку: [email protected] при наличие лицензии на антивирус ESET

пробуйте добавить каталог с игрой в исключение антивируса

enigma опять в рассылке,

[QUOTE]О ПРЕДСТОЯЩЕЙ ПЛАНОВОЙ ПРОВЕРКЕ 10.07.2016

Так как вы лицо малого бизнеса, Вам соответствуетполагается 10 трудовых дней для того чтоб привести документы в нормальное положение.
Проверка будет происходить по генеральному офису подтверждающему в док_№2512 о налогоплательщике.
Ждем когда вы сможете ознакомиться и подписать оповещение,о том что Вы предуведомлены и готовы к проверке.
[/QUOTE]
блокируем адрес:
[QUOTE]*pp.providencia.cl*
*incube.biz*
[/QUOTE]

вышлите в почту [email protected] несколько зашифрованных файлов и ключ sec.key в архиве, с паролем infected.
для проверки возможности расшифровки.

[QUOTE]Наталья Болохова написал:
[QUOTE] santy написал:
[QUOTE] Наталья Болохова написал:
Добрый день!
1. регистрационный код ROS47-7f87dnwkuv
2. версия нод32 - ESET NOD32 SMART SECURITY
3. Операционная система -  Windows 7 и Windows 8 (поймали на двух компьютерах)
4. Сама проблема: Поймали вирус - шифровальщик. Все файлы стали с расширением *.xtbl.
Сам вирус удалили, помогите пожалуйста расшифровать файлы.
Код из файла README1:
D43E42947D2345AF8650|0
Пару зашифрованных файлов прилагаю.[/QUOTE]Наталья Болохова,
по вашим файлам расшифровка возможна.[/QUOTE]Спасибо, но офисный работник не может 9 месяцев сидеть и ждать, без работы, без наработанных баз данных, без рабочих документов когда кто-нибудь и на "авось" расшифрует. Система либо сносится и начинается "Новая жизнь", либо быстрее находятся "расшифраторы". В прошлом случае все расшифровали специалисты ЛК. В течение недели.[/QUOTE]
ну, в любом случае, спасибо что ответили. Может быть eset-у повезет помочь  в "следующей жизни" вашей системы. :)
а с дешифровкой всякое бывает. иногда и через год приходят с зашифрованными файлами, и систему уже на 1-2 переустановят.

угу, и не лепить из мухи слона.

readme*.txt возможно остался в карантинах антивируса.
в данном случае важен код (id), который требуется отослать в почту мошенников.
судя по предыдущим шифраторам xtbl/breaking_bad - он хранится в базе, и по нему выдается приватный ключ для расшифровки данных.
(этот код так же есть в самом имени зашифрованного файла.)

Игорь,
по очистке системы выполните скрипт

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBEJNPNKHFGFKCPGIKIINOJLMDCJIMOBI%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBHJCGOMKANPKPBLOKEBECKNHAHGKCMOO%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DHPCGHCDJNEHPKDECAFLPEDHKLIMNEJIA%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref %SystemDrive%\USERS\ПОЛЬЗОВАТЕЛЬ\APPDATA\LOCAL\GOOGLE\CHROME­\USER DATA\DEFAULT\EXTENSIONS\HPCGHCDJNEHPKDECAFLPEDHKLIMNEJIA\1.2.9.0_1\СТАРТОВАЯ — ЯНДЕКС

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке документов:
если документы важны для вас, сохраните зашифрованные документы на отдельный носитель,
добавьте так же файлы reame*.txt

возможно в будущем появится возможность расшифровать документы,
как это было в случае xtbl/breaking_bad

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

[CODE]FF Extension: No Name - C:\Users\hp\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
CHR Extension: (Chrome Media Router) - C:\Users\hp\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2016-08-05]
EmptyTemp:
Reboot:
[/CODE]