Zaszyfrowane pliki Ransomware Xorist

[amstaff92]

Witam,

przez swoją nieuwagę "głupotę" ściągnąłem Ransomware. Zaszyfrowało mi pliki na komputerze większości chyba mam kopię zapasową ale najnowszych nie. Wiem, że najprawdopodobniej będę musiał zrobić formata i jestem tego świadomy ale czy są może znane narzędzia do próby odszyfrowania plików? Po ID Ransomware wynalazło mi Xorist. Uprzedzam pytanie miałem Windows Defender i co jakiś czas skanowanie Malwarabytes-Anti Malware, punkty przywracania były robione ale widocznie zostały przy szyfrowaniu usunięte. W załączeniu przesyłam logi. Z góry dziękuję za pomoc

Addition.txt

FRST.txt

GMER.txt

Shortcut.txt

[Miszel03]

Jeśli jesteś gotowy na format i nie będzie to dla Ciebie utrapienie to zaleciłbym go. 

Na Twoje szczęście, jeśli to rzeczywiście Xorist to istnieją* skuteczne dekodery!

 

* - Kaspersky XoristDecryptor oraz Emsisoft Decrypter for Xorist.

 

Napisz na to się decydujesz. Leczymy system, czy Ty go kompleksowo reinstalujesz i deszyfrujesz pliki osobno?

[amstaff92]

Dziękuję za odpowiedź, przeinstaluje system i tak miałem to niedługo zrobić. Mam pytanie czy jeżeli przeniosę zaszyfrowane pliki to nie zaszyfruję innego komputera? Niestety próba odszyfrowania za pomocą obydwóch narzędzi się nie powiodła, w pliku "jak odszyfrować" znajduje się informacja encrypted by CFER Ransomware, czy to może być inny ransom niż xiorist?

[Miszel03]

Wprawdzie ID Ransomware dał diagnozę "Xorist", ale nie jest powiedziane, że diagnoza była poprawna i, że dany wariant da się rozkodować. Na podstawie logów jakoś nie jestem w stanie rozpoznać co to za infekcja dodająca 4 znaki (prawdopodobnie "CFER" jest losowe).

2017-06-09 19:58 - 2017-06-09 20:18 - 1468010588 _____ C:\Users\Mateusz_2\Downloads\eduweb.pl Kurs Strony WWW z WordPress - Podstawy-DW-MTU.rar.CFER
2017-06-09 19:33 - 2017-06-09 19:53 - 2092451759 _____ C:\Users\Mateusz_2\Downloads\strefakursow.pl Kurs Tworzenie profesjonalnych stron z WordPress-DW-MTU.rar.CFER

2016-04-15 16:16 - 2016-02-09 03:31 - 0001010 _____ () C:\Users\Mateusz_2\AppData\Roaming\HOW TO DECRYPT FILES.txt

 

Swój pierwszy post oparłem tylko o diagnozie z ID Ransomware i skrycie liczyłem, że narzędzie nie zawiodło.

 

Proszę ponów analizę plików (może była aktualizacja poprawkowa), daj zarówno notatkę jak i zaszyfrowany plik do analizy. Dostarcz wyniki. 

 

Xorist to rodzina, istnieję wiele wariantów, niektóre da się rozszyfrować, a niektóre nie. Choć ID Ransomoware rozpoznał Xorista, to nie wiadomo jaki to konkretnie wariant. Jeśli te dwa dekodery zawiodły (to był sposób na sprawdzenie, która to grupa wirusa) to niestety, ale obstawiłbym te bardziej złośliwe warianty, gdzie rozkodowanie plików jest awykonalne. 

 

Zaszyfrowywane dane przenieś na jakiś dysk zewnętrzny (ewentualnie daj do chmury), same zaszyfrowane pliki nie są infekcyjne. 

[amstaff92]

Dziękuję za dotychczasową pomoc, zdecydowałem się na format. Przepraszam, że dopiero teraz odpisuje. Drobne wsparcie na forum oczywiście przekażę. 

[Miszel03]

Drobne wsparcie na forum oczywiście przekażę.

 

Właściwie to nie pomogłem Ci zbyt wiele, ale w imieniu zespołu Fixitpc bardzo dziękuje za pomoc w utrzymaniu serwisu  

 

Zamykam.