Как сделать дешифровку файлов

PowerShell. Дешифруем файлы после воздействия «вируса»

В неком городе России
(Может быть, что даже в вашем)
Есть не маленькая фирма.
Арендует помещенье
У НИИморгорворпрома.

В этой фирме есть сотрудник, почту любящий читать. Открывает как-то файл, кем-то вложенный нарочно, в недра письмеца пришедшего. Запустив без задней мысли «Благодарственное письмо.hta» и не увидев поздравления, покурить решил немного. Возвращаясь с перекура, он читает в беспокойстве:

Если Вы читаете это сообщение, значит Ваш компьютер был атакован опаснейшим вирусом.
Вся Ваша информация (документы, фильмы и другие файлы) на этом компьютере была зашифрована
с помощью самого криптостойкого алгоритма в мире RSA1024.
Восстановить файлы можно только при помощи специальной программы. Чтобы её получить, Вам необходимо
написать нам письмо на адрес unblockme@tormail.org

При попытке расшифровки без нашей программы файлы могут повредиться!
К письму прикрепите файл, который находится на рабочем столе «READ_ME_NOW. TXT», либо этот файл
Письма с угрозами будут угрожать только Вам и Вашим файлам! НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!

pz8FkWJXdijcajJcWfhJ27TGPgcNNEKXDBcsdyzfX+lUoq68eAptVmGNIYLD8eti1kwicdOR59pwOC7XM7T+YLccqyeJqc5loxMCKy4pklzbMJBRm и т.д.

Смотрим дальше (у отдела началась истерика от смеха насколько всё гениально и просто):

Примерно поняв, что главное — выкачивается PowerShell с аккаунта на dropbox.com теряем интерес к этому куску.
Далее:

Читаем, читаем и облегчённо выдыхаем. Ни о каком тотальном шифровании файлов речи не идёт.
Итак. Первым делом ищем ключи. Видим строки:

и понимаем, что для ключа используется UUID компьютера. С этого момента становится ещё легче и почти смело забываем про первую часть, где формируется страшный ключ, который добавляется в *.TXT

Из этого выясняем, что шифруется не весь файл, а только первая его часть если размер файла больше 40кб, если меньше, то весь файл.
Остается узнать UUID компьютера и написать скрипт для дешифровки.
UUID узнаем той же командой

Запустив в PowerShell, который зловред заботливо закачал и не удалил из %TEMP%.

Теперь за написание скрипта. Сложность возникла только в понимании (и то из-за нехватки знаний, т.к. не приходилось раньше сталкиваться), что по примерам у M$ подобные функции передают в качестве параметра строку, а тут используют просто массив.

Собственно, что поучилось. Данный код — рабочий, без изменений и с лишними выводами для отслеживания процесса работы.

Что он делает, что надо изменить если понадобиться самим:
1)задаем в ручную переменную $ek c нужным ключом (в нашем случае UUID)
2)Описание функции декодирования, которая возвращает массив. Задаём переменные $salt и $init согласно тем, что были в исходном коде зловреда.
3)Просим запускающего указать путь, начиная с которого будет поиск файлов (ищем по вложенным папкам)
4)Каждый найденный фаил с указанным расширением (.BMCODE) декодируем и переименовываем в нормальный вид.
5)Попутно удаются файлы с именем READ_ME_NOW. TXT, которые насоздавал зловред.

Код не идеален и многое можно упростить и переписать, но главное — он работает и помогает.

Вот и всё. Надеюсь эта статья поможет всем кто уже столкнулся с подобной проблемой и не знает, что делать. Как пишут в рунете злоумышленники требуют за расшифровку от 3000 до 10000 руб, но и встречаются более сложные варианты зловредов, где просто так ключ уже не узнать.

За сим прощаюсь и надеюсь, что всёже найду время и напишу как мы в своём НИИморгорворпроме устанавливали видео наблюдение и вешали мышку в качестве звонка на двери отдела.

В коде зловреда реализована своеобразная проверка на повторный запуск

Если в файл уже записано good значит ключ уже так просто не найти. Так, что если случайно запустили зловреда или заметили, что файлы начали менять расширения, немедленно выключайте компьютер, чтобы остановить процесс шифровки и сохранить ключ.

Источник

4 бесплатных дешифратора для файлов, зараженных программой-вымогателем

Подробнее о том, как расшифровать файлы бесплатно и не платить выкуп программам-вымогателям, используя утилиты Avast по удалению вирусов-шифровальщиков.

Программы-вымогатели становятся «флагманом» вредоносного ПО. За последний год мы зафиксировали рост числа атак шифрователей более чем в два раза (на 105%). Подобные вирусы блокируют доступ к файлам на компьютере, кодируя их и вымогая выкуп за предоставление кода для расшифровки.

Как расшифровать файлы бесплатно? Мы рады объявить о выпуске четырех инструментов для удаления программ-вымогателей и дешифровки файлов: Alcatraz Locker, CrySiS, Globe и NoobCrypt. Все дешифраторы для файлов доступны на нашей странице и являются бесплатными.

Там же представлено подробное описание каждого вида программ-вымогателей. Наши инструменты смогут помочь вам удалить вирус-шифровальщик и разблокировать файлы. Утилиты постоянно обновляются по мере развития перечисленных видов угроз.

С момента выпуска первого пакета из семи инструментов Avast для дешифровки нам было приятно получить множество отзывов с благодарностями и рассказами о том, как наши утилиты спасли чьи-то ценные данные или даже бизнес. Надеемся, новые программы для дешифровки помогут еще большему количеству пользователей.

Ниже приведено краткое описание четырех новых видов программ-вымогателей, для удаления которых были разработаны новые бесплатные утилиты.

Alcatraz

В отличие от большинства видов шифрователей, программа Alcatraz не имеет заданного списка расширений файлов, на которые она нацелена. Иными словами, программа шифрует все, что может. Чтобы предотвратить нанесение ущерба операционной системе, Alcatraz Locker шифрует только файлы в каталоге %PROFILES% (обычно C:\Users).

Вымогатель шифрует файлы, используя встроенные функции Windows (API-интерфейс шифрования):

В тексте сообщения с требованием выкупа утверждается, что программа использует шифрование AES-256 с 128-битовым паролем. Анализ данного вредоносного ПО показал, что это не так (применяется 128-байтовый, а не 128-битовый пароль). Однако вирус использует 160-битовый хэш (SHA1) в качестве исходного ключа для 256-битового шифрования AES. В API-интерфейсе шифрования, который используется программой, это реализуется довольно интересным образом:

Получившийся объединенный хэш используется в качестве исходного ключа для AES256.

После выполнения шифрования AES-256 программа-вымогатель также кодирует уже зашифрованный файл с помощью позиционной системы счисления с основанием 64 (BASE64), в результате чего зашифрованный файл приводится к типичной модели:

CrySiS

Программа CrySiS (известная также как JohnyCryptor и Virus-Encode) известна с сентября 2015 года. Использует сильные алгоритмы шифрования AES и RSA. Также особенность заключается в том, что она содержит список файловых расширений, которые не подвергаются блокировке.

Хотя идентификационный номер и адрес электронной почты меняются довольно часто, есть только три различных имени расширений, которые, используются до сих пор:

В результате имена зашифрованных файлов могут выглядеть так:

Каждый подобный элемент содержит все данные, которые необходимы для его расшифровки. Файлы размером менее 262 144 байта зашифровываются полностью, а в окончании находится код, содержащий зашифрованный ключ AES вместе с остальными данными, такими как исходное имя файла, что позволяет выполнить полную расшифровку. Стоит отметить, что файлы, размер которых превышает 262 144 байта, шифруются лишь частично, однако и в этом случае использовать их не удастся. Такой способ работы вымогателя приводит к тому, что крупные файлы после шифрования еще больше увеличиваются в размере.

После блокировки этих файлов программа-вымогатель отображает сообщение, расположенное ниже, которое описывает способ возвращения доступа к зашифрованным данным. Это сообщение также содержится в файле под названием «Decryption instructions.txt», «Decryptions instructions.txt» или «README.txt» на рабочем столе зараженного ПК.

Вот пара примеров сообщений программы CrySiS с требованием выкупа:

Globe

Данная программа, существующая примерно с августа 2016 года, написана на языке Delphi и обычно упакована UPX. Некоторые варианты также упакованы при помощи установщика Nullsoft:

В распакованном бинарном виде программа представляет собой глобальный интерфейс «настройки», в которой автор вымогателя может вносить некоторые изменения в ее характеристики:

Так как злоумышленники могут изменять программу, мы столкнулись со множеством различных вариантов создания зашифрованных файлов с разнообразными расширениями.

Примечательно, что программа-вымогатель имеет режим отладки, который может быть включен при помощи следующей настройки реестра:

Вирус блокирует файлы при помощи алгоритмов RC4 или BlowFish. Когда программа-вымогатель настроена на шифрование имен файлов, она выполняет его при помощи того же алгоритма, который использовался в отношении самого файла. Затем название шифруется при помощи собственной реализации кодирования Base64.

Вот несколько примеров созданных расширений, которые могут быть расшифрованы при помощи утилиты Avast:

Как правило, данная программа-вымогатель создает файлы с именем «Read Me Please.hta» или «How to restore files.hta», которое отображается после входа пользователя в систему.

Не платите вымогателям! Используйте дешифратор для файлов Globe.

NoobCrypt

NoobCrypt, который я открыл летом 2016 года, написан на языке C# и использует алгоритм шифрования AES256. Программа имеет запоминающийся графический интерфейс, который отображается после блокировки доступа к файлам.

Данный экран с требованием выкупа — странная смесь сообщений. К примеру, он требует выплатить определенную сумму в долларах Новой Зеландии (NZD), но средства предлагает перевести на адрес в системе Bitcoin. В то же время текст с гордостью заявляет, что программа «создана в Румынии». Странное сочетание.

Название «NoobCrypt» было выбрано мной на основе обнаруженных в коде сообщений и ключа для расшифровки:

Чтобы расшифровать файлы, программа NoobCrypt предлагает «код разблокировки», который необходимо купить. В Twitter мной были опубликованы бесплатные ключи для удаления всех известных версий программы NoobCrypt (примеры: 1, 2, 3). Однако определять, какой из них следует использовать, приходилось вручную. Благодаря нашему инструменту для дешифровки вам уже не придется гадать, какой код нужно применить.

Автор даже подготовил демонстрационное видео, демонстрирующее функции, которые представлены как новые, в том числе использование «шифрования военного уровня» и «невозможность обнаружения антивирусами (кроме AVG)», что является обманом: многие антивирусы способны обнаружить эту программу.

Как видно на снимке внизу, автор даже упоминает мое имя на экране с инструкциями по выплате денег и за что-то меня благодарит. Возможно, за то, что я дал этому набору некачественного кода соответствующее название (теперь оно используется официально).

Сегодня мы представляем инструмент для дешифровки NoobCrypt, подходящий для всех его известных версий. Процесс разблокировки теперь выглядит намного проще, чем подбор нужного кода. Теперь вам не нужно платить деньги за предоставление ключа. И тем более полагаться на расшифровку своих файлов программе-вымогателю.

Ознакомьтесь с описанием программы NoobCrypt и инструментом для дешифровки на нашем сайте.

Как не стать жертвой программы-вымогателя

Прежде всего убедитесь, что на всех ваших устройствах установлен антивирус, например Avast (даже смартфоны могут быть заражены программой-вымогателем). Антивирус сможет заблокировать программы-вымогатели еще до того, как они причинят ущерб.

Следующая составляющая собственной безопасности — рациональность и предусмотрительность. Распространители программ-вымогателей часто используют методы социальной инженерии, чтобы обманом заставлять людей скачивать вредоносное ПО. Будьте осторожны при открытии ссылок и подозрительных вложений в почте, а также при скачивании материалов из Интернета. Убедитесь в надежности отправителя сообщения, скачивайте программное обеспечение только с доверенных сайтов.

Необходимо также выполнять регулярное и правильное резервное копирование своих данных. Храните резервные копии данных удаленно, иначе они могут также быть заблокированы вредоносным ПО.

Если вам не повезло и вы стали жертвой программ-вымогателей, попробуйте наши инструменты для дешифровки и проверьте, сможем ли мы помочь вам вернуть свои файлы!

Выражаю благодарность своим коллегам, Ладиславу Зезуле (Ladislav Zezula ) и Петру Щепански (Piotr Szczepanski), за подготовку дешифраторов, а также Яромиру Горейши (aromír Hořejší) за его анализ программы Alcatraz Locker.

Источник

Как расшифровать файлы, зашифрованные вымогателем Shade

У нас хорошие новости: теперь мы помогаем жертвам вымогателя-шифровальщика Shade получить свои файлы обратно — без уплаты выкупа!

В прошлом году совместно с полицией Нидерландов мы запустили сайт NoRansom, позволивший жертвам шифровальщика CoinVault бесплатно восстановить свои файлы. Позже мы добавили на этот сайт еще несколько инструментов, которые помогают заполучить обратно файлы, пострадавшие от действий других шифровальщиков — TeslaCrypt, CryptXXX и так далее.

Сегодня мы делаем еще один большой шаг в глобальной борьбе с шифровальщиками: в сотрудничестве с полицией Нидерландов, Европолом и Intel Security мы создали ресурс NoMoreRansom.org, на котором планируем собрать максимально полную коллекцию инструментов для восстановления файлов, зашифрованных вымогателями.

И начинаем мы с того, что к набору ранее существовавших утилит добавляем новое «лекарство» — оно поможет пользователям, пострадавшим от шифровальщика Shade.

Шифровальщик-вымогатель Shade

Shade — семейство вымогателей, появившееся в начале 2015 года. Троянец попадает на компьютеры пользователей двумя путями: либо как вложение в спам-рассылках, либо с использованием эксплойт-пака. Второй вариант является более опасным, потому что пользователю не надо открывать какие-либо файлы — достаточно зайти на зараженный сайт.

После попадания на компьютер жертвы троянец запрашивает с командного сервера ключ для шифрования файлов либо, если сервер недоступен, использует один из заранее подготовленных ключей. То есть даже отсутствие подключения к Интернету не помешает этому шифровальщику, если он уже попал в систему.

Что дополнительно неприятно, на этом деятельность троянца не заканчивается: уже запросив выкуп, Shade продолжает работать — он загружает на компьютер пользователя еще несколько вредоносных программ.

Расшифровать файлы, зашифрованные Shade, — теперь бесплатно

Если вы стали жертвой вымогателя Shade, теперь вам не придется платить за свои файлы выкуп — у нас есть лекарство. Вот что вам следует сделать:

2. Прокрутите страницу вниз, там вы найдете две кнопки для скачивания инструментов дешифровки. Вы можете выбрать декриптор Intel Security или «Лаборатории Касперского» — как вам больше нравится. Дальнейшие инструкции мы приводим для нашего инструмента.

3. Разархивируйте загруженный файл ShadeDecryptor.zip.

4. Запустите ShadeDecryptor.exe и в появившемся диалоге Контроля учетных записей Windows введите пароль администратора и нажмите «Да».

5. В окне запустившегося Kaspersky ShadeDecryptor кликните Change Parameters.

6. Выберите в открывшемся окне те диски, на которых утилите следует искать файлы для восстановления.

7. В этом же окне можно выбрать опцию «Удалять зашифрованные файлы после расшифровки» («Delete crypted files after decryption»). Мы НЕ советуем делать это, пока вы не будете на 100% уверены, что файлы нормально восстанавливаются.

8. Нажмите ОК, чтобы вернуться к основному экрану. Здесь нажмите Start scan.

9. В окне «Specify the path to one of encrypted files» выберите один из зашифрованных вымогателем файлов и нажмите Open.

10. Если утилита не сможет автоматически определить идентификатор жертвы, укажите путь к созданному шифровальщиком файлу readme.txt, содержащему требование выкупа и этот идентификатор.

После этого ShadeDecryptor начнет расшифровку ваших файлов. Чтобы защититься от шифровальщиков в дальнейшем, мы рекомендуем использовать надежное защитное решение, например Kaspersky Internet Security. Дополнительные советы по защите от вымогателей можно найти в этом материале.

Источник

Дешифровщики файлов (дешифраторы, декриптеры)

Как расшифровать файлы? Где скачать дешифраторы? Как восстановить мои файлы после шифрования?
Бесплатная расшифровка файлов. Бесплатные программы для расшифровки файлов после шифрования.
Актуальная информация о программах для дешифровки файлов. Подробные инструкции со скриншотами.
Ссылки на информацию по найденным шифровальщикам-вымогателям. Авторский блог, статьи и перевод.

четверг, 7 апреля 2016 г.

Дешифровщики

Дешифровщики файлов

Translation into English

139 комментариев:

Спасибо. Еще будет информация? В смысле добавляться?

Да, будет, материала накопилось много и нужна помощь. Если готовы помочь, напишите мне в чат, подскажу что надо сделать. Это несложно, но не успеваю.

ОК. Написал свои контакты.

0xc030@protonmail.ch
0xc030@tuta.io
aes-ni@scryptmail.com
SORRY! Your files are encrypted.
File contents are encrypted with random key (AES-256 bit; ECB mode).
Random key is encrypted with RSA public key (2048 bit).
Чем расшифровать?

Обратитесь по адресу https://virusinfo.info/forumdisplay.php?f=194 к thyrex.

Здравствуйте.Помогите дешифровать файлы с расширением LanRan

Обратитесь на форум по ссылке.
https://www.bleepingcomputer.com/forums/f/239/ransomware-help-tech-support/
Создайте тему с названием вымогателя.
Изучите «Первые шаги». http://id-ransomware.blogspot.ru/2017/03/first-steps-victim.html
Без их соблюдения вряд ли удастся что-то дешифровать. Тем более у нас ранее был только тестовый образец LanRan-а.

День добрый, помогите дешифровать *.crypted000007

Пока все. У меня тоже был случай, когда люди пострадали. Файлы сохранили, через полгода появился декриптер. Все дешифровали утилитой от ЛК.

Ребята очень прошу, если у кого есть способ решения, дайте знать: wagonsoli@gmail.com

Кто найдет панацею, прошу очень ПОМОЧЬ МНЕ
grigorian@ex.ua

Вообще есть конторы, которые за деньги дешифруют crypted000007. От 5000 руб стоит. Мне даже один файл расшифровали для пробы. Значит есть решение. Неужели тот же Касперский не победил этого шифровальщика?

ОК. Ответил вам по email.

По GlobeImposter есть отдельная тема https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html

С этим крипто-вымогателем ситуация на сегодняшний день такова: нет возможности дешифровать файлы без уплаты выкупа. Расширений много разных с 3х-4х-5х знаками и пр.. Не успеваем добавлять сюда: https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html
Тема поддержки: https://www.bleepingcomputer.com/forums/t/644166/globeimposter-crypt-pscrypt-ext-back-fileshtml-ransomware-support/
Файлы можно отправлять туда.

Тоже отметился это шифратор. По почте прилетел.
Девочка и открыла.
Почистил теневую копию бекапа.
Придется ждать дешифратор

GlobeImposter 2.0 имеет сейчас много итераций. Используется широко, потому что недешифруем пока. И в ближайшее время вряд ли будет. Собирайте зашифрованные файлы в папку «Зашифрованное» вместе с записками (обязательно!) и сохраняйте. Систему придется переустановить и в дальнейшем придерживаться рекомендаций, описанных в статье «10 способов защиты от шифровальщиков-вымогателей»
http://id-ransomware.blogspot.ru/2016/11/sposoby-zashhity-ot-shifrovalshhikov-vymogatelej.html
Нельзя экономить на защите!

У меня есть помимо HPLaserJetService.exe (вирус) и файл c именем <1f777390-0b42-11e3-80ad-806e6f6e6963>и содержимым состоящим из ID (512 символов) и ключа (256 символов). Может эта информация поможет в создании дешифратора?

ОК. Ответил на email.

Здравствуйте! Ничего не слышно про Ishtar Ransomware(((((?

Ответил Вам на email. Новостей нет.

День добрый, а про такой crypted000007 есть новости

Нет пока. Все ждут. См. мои комментарии от 8 мая и 4 августа.

Файлы были зашифрованы троянской программой Trojan-Ransom.Win32.Cryakl. Зашифрованные файлы имеют разные расширения: stu, uvw, yyz, efg, ccd, cde, abc, jjk, ijk, nop, mmn, qqr, vxy, zza, aaa, jkl и т.д. В каждой зашифрованной папке располагается README.txt файл с сообщением «files encrypted write you country to komar@tuta.io»
Возможна ли расшифровка?

Пробуйте по инструкции инструмент Rannoh Decryptor
https://noransom.kaspersky.com/ru/

Trojan encoder 11539 v3 слышно что нибудь?

Видимо, вы имеете ввиду Fake Globe (GlobeImposter 2.0).
Описание: https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html
Много модификаций. На него нет дешифровщика.
Файлы нужно собрать, возможно что-то появится в будущем.

Возможно, это Fake Globe (GlobeImposter-2). В обновлении от 7 августа было такое расширение заш-файлов. Ссылка: https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html
Для этого семейства пока нет никакого дешифровщика. Рекомендуем сделать бэкап зашифрованных файлов.

Наше описание здесь: https://id-ransomware.blogspot.ru/2017/08/arena-ransomware.html
Дешифровщика пока нет. Рекомендуем сделать бэкап зашифрованных файлов.

Вероятно это Cryakl
Пробуйте по инструкции инструмент Rannoh Decryptor
https://noransom.kaspersky.com/ru/

Теперь есть дешифровщик для Cryakl Fairytail
https://decryptors.blogspot.ru/2018/03/cryakl-decoder-fairytail.html

Добрый день.
С crypted000007 ничего не прояснилось?

После второго взлома с шифрованием crypted000007 негодяй запросил очень большую сумму, обратился к первому негодяю, к которому до этого обращался, он дал адекватную стоимость, походу существует по crypted000007 какая-то общая база. все получилось расшифровать как в первом так и во втором случае. Комп в ожидании расшифровки находился около года (биткоин дорогой был).

Здравствуйте. Люди добрые помогите. Поймал вирус. Всё файлы на компьютере зашифрованы. Имеют расширение «. Fairytail» rahon не помогает. Что делать не знаю ((((((

Теперь есть дешифровщик для Cryakl Fairytail
https://decryptors.blogspot.ru/2018/03/cryakl-decoder-fairytail.html

Здравствуйте. Попал на компьютер вирус:
email-lybot@keemail.me.ver-CL 1.4.0.0.id-3367407718-21.12.2017 17@11@497255988.fname-Октябрь.xlsx.fairytail.
Rannoh Decryptor не помогает. Люди добрые помогите спасти данные. (((((

Выше был уже коммент с таким же шифровальщиком. Лучших новостей нет.

Я могу помочь. Извините, я говорю только по-английски и написал это с помощью Google Translate. Я расшифровал мои собственные файлы, затронутые этой версией ransomware, и я работаю над инструментом дешифрования. Если вы хотите отправить мне несколько файлов, я был бы более чем счастлив попробовать. Мне нужен один незашифрованный файл, тот же файл после его зашифрования и один или два других зашифрованных файла.

HI. I really need to decrypt my files. Can you help me? How can I communicate with you? Tell me your email

James Gourley
Куда отправить? У меня есть зашифрованные и расшифрованные

Кликните на профиль James Gourley, далее см. про профилю.
И помните, у нас нет достоверной информации по нему.

Извините, я не был уведомлен об ответах здесь. См. Статью, которую я опубликовал здесь. Он написан на английском языке, но, надеюсь, Google Translate поможет.

Thank you, I translated and added new article with instructions and links to your decoder. // Спасибо. Я добавил инструкцию для русскоязычных пользователей в свой второй блог https://decryptors.blogspot.ru/2018/03/cryakl-decoder-fairytail.html

Теперь есть дешифровщик для Cryakl Fairytail
https://decryptors.blogspot.ru/2018/03/cryakl-decoder-fairytail.html

При наличии лицензий на антивирусы Доктор Веб или Касперский можно обратиться на их форумы поддержки. Там также есть возможность частной (платно в разумных пределах) расшифровки.

Здравствуйте. Попал на компьютер вирус rapid, никто не сталкивался

Описание: https://id-ransomware.blogspot.ru/2018/01/rapid-ransomware.html
Для россиян сами вымогатели дешифруют бесплатно.

Здравствуйте. Поймал шифровальщик: decrypthelp@qq.com. Есть о него чего-нибудь? Или это совсем что-то свежее. Переписывался с гадами, просят 0,3 биткоина. 150 касиков, мать их.

На основании этой почты decrypthelp@qq.com можно сказать, что это один из вариантов Dharma ransomware. Публичного дешифровщика пока нет.
Полное описание с обновлениями см. на нашем основном сайте: https://id-ransomware.blogspot.ru/2016/11/dharma-ransomware.html
Итерация с этой почтой была выявлена 5 января 2018. См. внизу статьи под =2018=

Вероятно, это InfiniteTear Ransomware. Его описание есть на основном сайте поссылке http://id-ransomware.blogspot.ru/2017/08/thelast-ransomware.html
Дешифровщика пока нет. Сделайте бэкап зашифрованных сайтов и обязательно сохраните оригинальный файл записки о выкупе. Хотя бы один.

Если у вас имеется исполняемый файл вредоноса, то забросьте его на https://www.sendspace.com/ и дайте нам ссылку. Мы проанализируем его, если это уже известный образец, то как и сказал раньше, пока нет дешифровщика. Если какой-то другой, то мы узнаем.

подскажите для такого есть дешифратор Trojan.Encoder.11539.
просят связаться по почте crypto.supportt@aol.com

Это GlobeImposter-2. Нет публичных дешифровщиков. Увы.
https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html

Какое расширение у файлов этой версии шифровальщика?

Это GlobeImposter. Описание и обновления на нашем главном сайте:
https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html

Без просмотра записок и анализа файлов точно не скажешь.
Возможно, что это тоже GlobeImposter. Такое расширение у зашифрованных файлов добавлялось в 2017 и 2018 годах. Описание и обновления на нашем главном сайте:
https://id-ransomware.blogspot.ru/2016/12/fake-globe-ransomware.html

Готов предоставить файлы для анализа. Готов заплатить(в разумных пределах)

С этим лучше сюда: https://legal.drweb.ru/encoder/
Хоть какой-то шанс.

Добрый день! Есть ли новости про crypted000007?
Dr-shifro.ru/Шифр-CRYPTED000007 просит 40 тыс.за расшифровку.

ANyone happened to bump with *.bip ransomwaer extension?

This is Dharma Ransomware. There are no public decryptors.
https://id-ransomware.blogspot.com/2016/11/dharma-ransomware.html

По PSCrypt есть какая-то инфа? Недельку назад принесли ПК и флешку с ним. В интернете инфа только за 2017 год.

Некоторые версии Scarab можно дешифровать и без куста реестра. Можно подать запрос на бесплатную дешифровку файлов (png, jpg, doc, pdf) в Dr.Web, ESET (английский сайт). Если получится, они предложат купить пакет восстановлений с AV-продукт на 1-2 года. У ESET только лицензия на продукт.

Никакая он не загадка. Вся информация представлена здесь
https://id-ransomware.blogspot.com/2016/06/troldesh-ransomware-email.html

Инфа о самом зловреде есть, а вот насчет дешифратора нет

Загадка что нет решения)

Файлы зашифрованы, в названия файлов добавлен текст id-C09C8F75.[decrypthelp@qq.com].java

Есть какое-то решение для расшифровки?

Файлы зашифрованы Dharma https://id-ransomware.blogspot.com/2016/11/dharma-ransomware.html
Публичного дешифровщика для данного варианта пока нет.

Здравствуйте, помогите дешифровать файлы «Шназвание файла.xls.id-38BA783E.[unblock@badfail.info].ETH
есть ли варианты?

Это Dharma, один из новых вариантов. Для него пока нет никаких способов дешифрвоки, кроме тех, что имеются у вымогателей.
Общее описание: http://id-ransomware.blogspot.com/2016/11/dharma-ransomware.html

О Dharma Ransomware https://id-ransomware.blogspot.com/2016/11/dharma-ransomware.html

Всем привет!
Я тоже недавно подхватил от злоумышленника трояна-шифровальшика который зашифровал мои файлы с расширением crypted000007.
Прошу Вас сообщить когда появиться программа для расшифровки файлов.

Это Troldesh/Shade
https://id-ransomware.blogspot.com/2016/06/troldesh-ransomware-email.html
Что-то давно Аверы не могут ничего сделать с шифрованием.

Он описан еще в феврале в нашей статье Cr1ptT0r Ransomware
https://id-ransomware.blogspot.com/2019/02/cr1ptt0r-ransomware.html
Нет бесплатного публичного дешифровщика.
Создать запрос на пробную бесплатную расшифровку можете попробовать в DrWeb https://legal.drweb.ru/encoder/
О результатах сообщите.

Платный есть у вымогателей.

Здравствуйте! у Главбух за шифровался вирусом DOUBLEOFFSET 3nity@tuta.io весь комп и windows теперь не грузится( помогите расшифровкой файлов?

Это Cryakl Ransomware. Иногда можно расшифровать.
Обратитесь за помощью по ссылке на форум https://forum.kasperskyclub.ru/index.php?showforum=26
Возможно, вам может помочь консультант thyrex

Когда выходит новый вариант, всегда кажется невозможным. Потом, по истечение времени исследования образцов и методов распространения, находится способ. Вам нужно проанализировать ситуацию, выяснить слабое звено в защите (если она есть), которое могло быть атаковано. Его нужно защитить лучше в любом случае. Мои рекомендации https://id-ransomware.blogspot.com/p/ransomware.html

Подскажите что это за шифровальщик 28.02.19.pdf.id-12893189.bitcoin1foxmail.com.harma

.id-XXXXXXXX.[bitcoin1@foxmail.com].harma
Dharma Ransomware, см. в конце статьи этот вариант
https://id-ransomware.blogspot.com/2016/11/dharma-ransomware.html

Добрый день. Зашифрованы файлы имеют расширение «.Lazarus»
Полное название файла: «Инструкция по установке для Потребителя.docx.[ID=9rQRZEcSX7][Mail=Dataadecrypt@Cock.li].Lazarus»

Судя по информации которую удалось найти в инете это одна из модифткаций Zeropadypt NextGen. Есть ли способы расшифровки? В арсенале есть шифрованные файлы и их не шифрованные оригиналы.

Источник