Trojan.Ransomcrypt.AY <Ransom.Crysis>

[tamir]

Witam.

 

Zaczęło się od tego, że system automatycznie mnie wylogowywał.

Samoczynnie otwarło się okno odinstalowania programów, więc wyłączyłem PC.

Po ponownym uruchomieniu PC zauważyłem, że nie mogę odtworzyć filmu mkv przez vlc. 

Wszystkie moje zapisane filmy i pliki gier zostały zaszyfrowane dodatkowym rozszerzeniem  <.mkv.>id-A05E3A60.[decrypt2018@goat.si].java

Po jakieś godzinie NIS wywołał alert o zagrożeniu Ransom.Crysis.

Na pulpicie ukazał się skrót az1oioj_payload.exe, który to NIS wywalił.

 

Proszę o pomoc

Addition.txt

FRST.txt

Shortcut.txt

Edytowane 28 Grudnia 2017 przez Miszel03
Poprawiam pisownie. //Miszel03

[Miszel03]

Poniekąd Norton wskazał konkretną infekcję, ale i tak poproszę o weryfikacje (i od razu dowiemy się, czy istnieje dekoder).
W tym celu wyślij do analizy jeden z zaszyfrowanych plików lub notatkę żądają okup na serwis usługi ID Ransomware.

 

P.S: Widzę tutaj crack Windows Loader, w przeszłości ten twór był odpowiedzialny za różne infekcje. Będzie on usuwany. 

[tamir]

Poniekąd Norton wskazał konkretną infekcję, ale i tak poproszę o weryfikacje (i od razu dowiemy się, czy istnieje dekoder).

W tym celu wyślij do analizy jeden z zaszyfrowanych plików lub notatkę żądają okup na serwis usługi ID Ransomware.

 

P.S: Widzę tutaj crack Windows Loader, w przeszłości ten twór był odpowiedzialny za różne infekcje. Będzie on usuwany. 

1 Result

Dharma (.cezar)

 Aktualnie sposób na odszyfrowanie tego ransomware nie jest znany.

 

Zabezpiecz kopie swoich zaszyfrowanych plików - ciągle jest nadzieja, że rozwiązanie pojawi się w przyszłości.

Zidentyfikowano w oparciu o sample_extension: .id-<id>.[<email>].java

 

Nigdzie nie widzę żądania okupu

[Miszel03]

Dharma to wariant Crysis. 
Myślę, że opis wszystko wyjaśnił, aczkolwiek ja na koniec dezynfekcji spróbował bym użyć dekodera od Kaspersky, który działa, na niektóre warianty Dharmy (może Ci się poszczęści).
 
Zaczniemy inaczej niż zwykle, bo od automatu - to taki mój nawyk w tego typu infekcjach.
 
1. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 
 
2. Zrób nowy zestaw raportów FRST.

[tamir]

Dostarczam nowe logi.

 

Przeanalizowałem działania NIS'a  i wygląda na to,że albo wirus wyłączył zaporę albo to luka NIS'a dołaczam scrren z Historii zabezpieczeń NIS.

Raport-Malwarebytes.txt

Addition.txt

FRST.txt

Shortcut.txt

[tamir]

Dzisiaj az1oioj_payload.exe bez trudu zakończył to czego nie skończył wczoraj.

NIS oraz MBAM okazał się bezsilny tak jak i ja.

Gdy podszedłem do PC zamarłem gdy zobaczyłem otwarty folder z kopią płatności kartą VISA i ikonę na pulpicie <az1oioj_payload.exe>

 

Nie pozostało mi nic innego jak wyłączyć zasilanie PC

Wirus zaszyfrował również część plików systemowych.

Amen w  pacierzu stawiam system od nowa.

[Miszel03]

Skoro postawiłaś system od nowa to zaszyfrowane pliki skopiuj na dysk zewnętrzny i spróbuj użyć dekoder, który przytoczyłem wcześniej.

[tamir]

Żaden z dekoderów nie rozpoznaje tego cryptera jest zbyt nowy zanim NIS go zablokował sprawdziłem we właściwościach

Data modyfikacji:  2017-12-24 01:55  u mnie od  2017-12-24 13:46.

Jeszcze nie postawiłem nowego systemu piszę z laptopa kopiuję co możliwe na nośniki zewn.przy odłączonym internecie.

[Marek9]

Mam podobną sytuację !!! Miałem bardzo ważne pliki na moim laptopie...

Napisałem do email decrypt2018@goat.si i musiałem zapłacić ...

po dokonaniu płatności moje pliki zostały mi zwrócone! W tym celu musiałem dać pieniądze, ale bardzo się cieszę, że moje pliki są ze mną

 

Tamir, ale jak rozwiązałeś problem?

[tamir]

Zapłacenie za odblokowanie plików nie gwarantuje Ci bezpieczeństwa.

Jak każdy szantażysta zaatakuje ponownie.

Ja pogodziłem się z utratą plików  a straciłem naprawdę cenne dla mnie pliki.

Co było możliwe przekopiowałem na nośniki zewnętrzne a dyski sformatowałem stawiając system od nowa.

 

Z terrorystami nie negocjuję.

 

Interesuje mnie forma zapłaty za decrypt  Twoich plików.

 

Uważam, że temat jest rozwojowy i nie należy go jeszcze zamykać.