Александр Т (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 11.11.2016 06:02:34

Капец. У меня у глав буха тоже было подключено 2 сетевых диска когда она вирус поймала. Я сейчас по серваку прошелся, нашел 10 файлов readme.txt в которых написано куда высылать данные для расшифровки. НО! Файлы на самом сервере не зашифрованы. Возможно ли это из за того что я успел рубануть зараженый комп во время процеса и вирус не успел начать шифровать сервак?

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 11:10:43

[QUOTE]santy написал:
csrss.exe из карантина, readme*.txt (эти файлы создаются шифратором) должны быть в корне диска, если шифрование было завершено,
лог ESET collector создается этой утилитой
[URL=https://download.eset.com/special/logcollector/ESETLogCollector_rus.exe]https://download.eset.com/special/logcollector/ESETLogCollector_rus.exe[/URL] [/QUOTE]
Шифрование не было завершненно, я успел вырубить комп во время процесса

Изменено: Александр Терихов - 04.11.2016 14:46:16

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 10:26:17

[QUOTE]santy написал:
Александр,
в техподдержку надо будет отправить:
файл шифратора +readme*.txt (в архиве с паролем infected)
несколько зашифрованных файлов в архиве (без пароля)
+
лог Eset collector log из зашифрованной системы.[/QUOTE]
так не совсем понятно. Файл шифратора я возьму с вашего скрипта на фшелку правильно? Что написать в readme.txt? И где взять лог Eset collectora

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 10:02:43

[QUOTE]santy написал:
Александр,

по расшифровке:
на сегодня и завтра расшифровки по da_vinci_code нет.
тем не менее

напишите в [URL=mailto:[email protected]][email protected][/URL] при наличие лицензии на антивирус ESET

или соответственно в LK/DrWeb при наличие лицензии на антивирусы этих компаний.[/QUOTE]
Понял вас! Спасибо! напишу в нод

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 09:49:14

[QUOTE]santy написал:
он здесь карантинится в скрипте командой ZOO,
но поскольку ZOO создается в папке, откуда запускается uVS, то после завершения работы в winpe zoo потеряется.
поэтому можно откопировать файлик из ZOO предварительно на флэшку, и
потом уже перегружаться в нормальный режим.[/QUOTE]
Спасибо больше за помощь! А потом то куда его? Вы не занимаетесь расшифровкой?

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 07:28:14

Так может тогда не надо убивать файл шифратор? Я слышал что если удается его поймать прежде чем он себя удалил, можно его отослать специалистам ( вам?) и они могут подобрать ключ к расшифровке!

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 06:40:02

Добавил еще 512 памяти на комп бухгалтера, все заработало норально. Вот файл!

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 06:27:29

[QUOTE]santy написал:
вопрос: какой загрузочный диск используете?
winpe&uVS или с какого то другого загрузочного диска запускаете uVS?[/QUOTE]
да загрузочный диск, скачал вчера по вышей ссылке. Загружаюсь с него, выбираю систему - С\виндовс. Текущий пользователь, ну и там открывается окно программы. Там нажимаю файл сохранить образ, оно спрашивает там что то про подписи, отказываюсь, выбираю куда сохранить образ - на С, запускаю, начинает ругаться на оперативную память, ну и в конце то что выше написал

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 06:25:11

Мне кажется тоже самое будет. Я же говорю он говорит не хватает оперативной памяти для завершения операции, и так несколько раз, потот что то делает, не может найти, потом в конце говорит ошибка 8 , образ сохранен. Может снять с него винт, подцепить себе и со своего компа попробовать? Палево конечно вирусный винт к себе цеплять

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 62

Баллов: 49

Регистрация: 28.10.2016

Размещено 03.11.2016 05:44:02

Капец конечно! Когда выбираю нужный каталог виндовс и начинаю делать файл образа - пишет что не хватает операвтивной памяти! Как так то? 512 стоит на том компе. Вот что получилось

Перейти