Страницы: 1
Помощь в расшифровке Cryakl CL 1.2.0.0 (Trojan.Encoder.567, .cbf, vegclass@aol.com), Помощь в расшифровке Cryakl CL 1.2.0.0 (Trojan.Encoder.567, .cbf, vegclass@aol.com)
 
#1
0
03.11.2026 22:35:28

Здравствуйте!

Прошу помощи в расшифровке файлов, пострадавших от старого вируса-шифровальщика.

Недавно удалось восстановить работоспособность старого компьютера с Windows XP Professional SP3. На жёстком диске обнаружилось большое количество зашифрованных файлов, преимущественно фотографий.

Информация о заражении:

  • Семейство: предположительно Cryakl.

  • Версия: CL 1.2.0.0.

  • Обнаружение Dr.Web: Trojan.Encoder.567.

  • Расширение зашифрованных файлов: .cbf.

  • Контактный адрес из имени файлов: vegclass@aol.com.

  • Предположительная дата заражения: 02.01.2016.

  • Исходные файлы: фотографии JPEG.

Пример имени зашифрованного файла:

email-vegclass@aol.com.ver-CL 1.2.0.0.id-ELSYEKQVBHMSZEKQVBINTZFKQWBHOTZFKQWC-02.01.2016 23@32@193867184.randomname-AHMTZFLRWDINTZFKQWBHNTYEKPVAHL.SYD.cbf

Что уже предпринималось:

  1. Dr.Web CureIt! обнаружил три экземпляра резюме.exe, определённых как Trojan.Encoder.567. Угрозы были обезврежены.

  2. Повторная проверка диска C: не обнаружила новых угроз.

  3. Пробовал Kaspersky RakhniDecryptor — программа сообщила, что не удалось подобрать пароль.

  4. Пробовал RannohDecryptor — результата нет.

  5. Изучал ESET CrysisDecryptor, но он предназначен для другого семейства шифровальщиков.

  6. Самостоятельно исследовал структуру файлов .cbf и пытался восстановить уцелевшие JPEG-данные с помощью Python.

Что удалось восстановить:

В одной из папок сохранился файл Thumbs.db, из которого получилось извлечь миниатюры всех 87 фотографий. Также удалось частично декодировать отдельные JPEG-фрагменты из зашифрованных файлов, однако изображения получаются с разрывами, смещениями и искажёнными цветами.

Полноценного восстановления оригиналов добиться пока не удалось.

Прошу специалистов подсказать:

  • Существуют ли ключи или актуальные дешифраторы для Cryakl CL 1.2.0.0 с адресом vegclass@aol.com?

  • Можно ли восстановить ключ или данные по служебной информации внутри .cbf?

  • Известны ли ошибки в алгоритме этой модификации, позволяющие восстановить файлы без приватного ключа?

  • Возможно ли провести анализ нескольких образцов и определить перспективы расшифровки?

Оригинальные зашифрованные файлы сохранены без изменений. Готов предоставить образцы .cbf, техническую информацию и результаты анализа. При необходимости могу предоставить файл оригинального формата или журналы антивируса, если они сохранились.

Фотографии имеют большую личную ценность, поэтому хотелось бы максимально восстановить именно оригинальные данные, а не изображения, дорисованные нейросетью.

Заранее благодарю за любую помощь и рекомендации!
 
#2
0
06.11.2026 12:42:52

Приносим извинения за длительное ожидание ответа!

Мы понимаем, насколько неприятна ситуация с шифрованием файлов, и постараемся помочь вам разобраться в произошедшем.

Мы можем передать зашифрованные файлы в вирусную лабораторию для анализа и проверки возможности восстановления данных, в том числе поиска подходящего ключа расшифровки. К сожалению, гарантировать успешную расшифровку файлов мы не можем.

Для проведения анализа просим вас предоставить образцы зашифрованных файлов и диагностические журналы.

1. Сбор журналов PRO32

  1. Скачайте утилиту для сбора диагностической информации по ссылке:

    https://static.pro32.com/download/utilities/K7DTL.exe

  2. Запустите утилиту и дождитесь завершения сбора журналов.

  3. Сохраните полученный архив с диагностической информацией.

Для анализа возможной причины шифрования, вы можете собрать журналы UVS и FRST.1. Сбор журналов с помощью uVS

  1. Скачайте архив с программой uVS по ссылке:

    https://chklst.ru/data/uVS%20latest/uvs_latest.zip

  2. Найдите скачанный архив в папке «Загрузки» и выберите «Извлечь всё».

  3. Обратите внимание: имя распакованной папки необходимо оставить без изменений — uvs_latest.

  4. Откройте распакованную папку и запустите файл Start.exe от имени администратора.

  5. В стартовом окне программы выберите «Запустить под текущим пользователем» (если ваша учётная запись обладает правами администратора).

  6. В главном окне программы перейдите в меню «Файл» → «Сохранить полный образ автозапуска».

  7. Дождитесь завершения сбора информации.

После завершения процедуры будет создан файл с именем вида Имя_компьютера_дата_время.txt, который автоматически добавится в архив формата 7z или RAR.

Сохраните полученный архив для отправки нам.

2. Сбор журналов с помощью FRST

  1. Скачайте утилиту Farbar Recovery Scan Tool (FRST) по ссылке:

    https://disk.yandex.ru/d/gS-mGnkvWwkwEA

  2. Выберите версию программы, соответствующую разрядности вашей операционной системы (32 или 64 бита).

  3. Запустите утилиту от имени администратора.

  4. Если Windows отобразит предупреждение о запуске программы, убедитесь, что файл получен из указанного источника, и подтвердите запуск.

  5. В открывшемся окне нажмите кнопку «Scan» («Сканировать»).

  6. Дождитесь завершения проверки.

После окончания сканирования в папке, из которой запускалась программа, появятся два файла:

  • FRST.txt

  • Addition.txt

Пожалуйста, сохраните оба файла.

4. Отправка материалов на анализ

Просим вас направить на адрес электронной почты support@pro32.com следующие материалы:

  • Несколько образцов зашифрованных файлов, по возможности разных форматов.

  • Архив с диагностическими журналами, собранными утилитой K7DTL.

Для анализа возможной причины шифрования

  • Архив с полным образом автозапуска, созданный программой uVS.

  • Файлы FRST.txt и Addition.txt.

Благодарим вас за терпение и сотрудничество!
 
Страницы: 1