Зашифрованы файлы .vault

[GLADvanger 0]

Добрый день!

 

Коллеге пришло письмо, которое он долго открывал, потом ему "помог" второй коллега на своём компе.

 

В иитоге файлы зашифровались расширением .vault , смена расширения не помогает.

 

На рабочем столе есть файл vault.hta и vault.key

 

• Kaspersky Virus Removal Tool 2015; Ничего не нашёл

VirusTotal выдает следующее:

Антивирус Результат Дата обновления ESET-NOD32 Win32/Filecoder.FH 20160930 Ikarus Trojan.Win32.Filecoder 20160930 Tencent Win32.Trojan.Filecoder.Lohr 20160930

Файл логов в приложении.

 

Спасибо!

 

CollectionLog-2016.09.30-13.11.zip

[Sandor 1 253]

Здравствуйте!

 

На момент заражения эта настройка была включена?

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[GLADvanger 0]

Настройка скорее всего включена не была.

 

файлы в приложении.

Addition.txt

FRST.txt

Shortcut.txt

[Sandor 1 253]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
2016-09-26 11:36 - 2016-09-26 11:36 - 00262950 _____ C:\Users\SAMSUNG\AppData\Roaming\CONFIRMATION.KEY
2016-09-26 11:36 - 2016-09-26 11:36 - 00005004 ____N C:\Users\SAMSUNG\Desktop\VAULT.hta
2016-09-26 11:36 - 2016-09-26 11:36 - 00005004 _____ C:\Users\SAMSUNG\AppData\Roaming\VAULT.hta
2016-09-26 11:36 - 2016-09-26 11:36 - 00001611 _____ C:\Users\SAMSUNG\Desktop\VAULT.KEY
2016-09-26 11:36 - 2016-09-26 11:36 - 00001611 _____ C:\Users\SAMSUNG\AppData\Roaming\VAULT.KEY
C:\Users\SAMSUNG\AppData\Local\Temp\d78498f8914.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[GLADvanger 0]

Файл в приложении

Fixlog.txt

[mike 1 1 093]

На момент заражения эта настройка была включена?

2016-09-26 12:23 - 2016-09-26 12:23 - 00000956 _____ C:\Users\SAMSUNG\Desktop\Установить Kaspersky Anti-Virus версии 17.0.0.611.lnk
2016-09-26 12:21 - 2016-09-26 12:21 - 02598944 _____ (Лаборатория Касперского) C:\Users\SAMSUNG\Downloads\kav17.0.0.611ru_10893.exe
2016-09-26 12:21 - 2016-09-26 12:21 - 00000000 ____D C:\Users\Все пользователи\Kaspersky Lab Setup Files
2016-09-26 12:21 - 2016-09-26 12:21 - 00000000 ____D C:\ProgramData\Kaspersky Lab Setup Files
-----------------------------------------------------------------------------------------------------
2016-09-26 11:36 - 2016-09-26 11:36 - 00001611 _____ C:\Users\SAMSUNG\Desktop\VAULT.KEY
2016-09-26 11:36 - 2016-09-26 11:36 - 00001611 _____ C:\Users\SAMSUNG\AppData\Roaming\VAULT.KEY

Они антивирус установили после заражения компьютера.

[Sandor 1 253]

Следы вымогателя очищены, с расшифровкой помочь не сможем.

[GLADvanger 0]

Спасибо за уделенное время!

[Assetor 0]

Добрый день. Сегодня пришло письмо от поставщика с Актом сверки в формате zip архив. При открытии выдавал ошибку, после этого зашифровались файлы всех возможных расшерений документов и фотографий. В имени добавилось (.VAULT). Помогите с расшифровкой файлов

 

Desktop.rar

ClearLNK-05.10.2016_10-45.log

[Sandor 1 253]

@Assetor, здравствуйте!

 

Создайте свою отдельную тему и выполните Порядок оформления запроса о помощи

[Сергей Бганцов 0]

Здравствуйте. такая же проблема, подхватили vault, получили письмо в рассылке, там js файл, запустился и вся 5 летняя работа, теперь зашифрована

[Sandor 1 253]

@Сергей Бганцов, здравствуйте!

Вам те же рекомендации: создайте свою тему, прочтите и выполните Порядок оформления запроса о помощи

[Semin73 0]

зашифровались файлы вирусом vault проделал:

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

  

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• прикрепляю отчет
• из всей информации очень нужен один файл его тоже прикрепляю
• стоит анти вирус 6.0 версия

зашифровались файлы вирусом vault проделал:

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

  

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• прикрепляю отчет
• из всей информации очень нужен один файл его тоже прикрепляю
• стоит анти вирус 6.0 версия

ClearLNK-07.10.2016_13-31.log

Касса.xls.rar

[Sandor 1 253]

@Semin73, здравствуйте!

 

Не нужно писать в чужой ветке. Создайте свою, прочтите и выполните Порядок оформления запроса о помощи