Вирус (rekoh4th@secmail.pro)

[boris.kim 0]

Все файлы, Базы 1с и архивы баз 1с зашифрованы в папках к которым был общий доступ.

 

Можно ли восcтановить?

 

Файлы стали иметь вид:  1Cv8.1CD.[rekoh4th@secmail.pro].CRYPT

Критично восстановить хотя бы база 1С 8.3

 

в папке есть текстовый файл пустой:  !!!ПОМОЖЕМ_С_ФАЙЛАМИ_(rekoh4th@secmail.pro).txt

Прикрепил текстовый файл, файлы офиса для примера.

CollectionLog-2019.05.08-07.36.zip

Общая_WINRAR_5_5.rar

Изменено 8 мая, 2019 пользователем boris.kim

[SQ 831]

Здравствуйте,
 

>>> Подозрение на маскировку ключа реестра службы\драйвера "3F70FA52D8"

- Покажите лог TDSSKiller
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
 

 

Можно ли восcтановить?

 

Файлы стали иметь вид:  1Cv8.1CD.[rekoh4th@secmail.pro].CRYPT

Критично восстановить хотя бы база 1С 8.3

 

Похоже на новый вариант шифровальщика 0kilobypt, обычно этот шифровальщик безвозвратно затерает файлы нулями. Скорее всего расшифровки не будет, по крайней мере мне  неизвестны случае удачной расшифровки.

[boris.kim 0]

 лог TDSSKiller

TDSSKiller.3.1.0.28_08.05.2019_13.44.05_log.txt

[SQ 831]

Похоже ложное срабатывание у AVZ.
 

13:44:27.0732 0x1ff4  [ A781E3993212CA00DBE7E014E813110B, 1B8CC5B3A6D98FB67CFE2E92B1D503CD11EF566554A6DA89FB16B2D7AAA856D8 ] 3F70FA52D8      C:\Windows\system32\drivers\3F70FA52D8.sys
13:44:27.0732 0x1ff4  Suspicious file ( NoAccess ): C:\Windows\system32\drivers\3F70FA52D8.sys. md5: A781E3993212CA00DBE7E014E813110B, sha256: 1B8CC5B3A6D98FB67CFE2E92B1D503CD11EF566554A6DA89FB16B2D7AAA856D8
13:44:27.0748 0x1ff4  3F70FA52D8 - detected LockedService.Multi.Generic ( 1 )
13:44:28.0013 0x1ff4  Detect skipped due to KSN trusted
13:44:28.0013 0x1ff4  3F70FA52D8 - ok

- Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
  

 

[boris.kim 0]

Отчеты Farbar Recovery Scan Tool

Addition.txt

FRST.txt

[SQ 831]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  Start::
  CreateRestorePoint:
  File: C:\Program Files (x86)\No-IP\DUC40.exe
  File: C:\Windows\System32\Drivers\3F70FA52D8.sys
  Zip: C:\Windows\System32\Drivers\3F70FA52D8.sys;C:\Users\Шуляк ЕВ\AppData\Local\Temp\tfmmwd5u.dll
  File: C:\Users\Шуляк ЕВ\AppData\Local\Temp\tfmmwd5u.dll
  File: C:\Windows\SysWOW64\haspaddr.dat
  End::

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

На рабочем столе образуется карантин вида <date>.zip загрузите этот архив через данную форму

 

Обратите внимание на следующее событие:

Error: (05/07/2019 07:49:16 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk4\DR4.

[boris.kim 0]

лог-файл (Fixlog.txt)

На рабочем столе образуется карантин вида <date>.zip загрузите этот архив через данную форму

При загрузке файла 09.05.2019_10.30.44 с рабочего стола через форму выдала ошибку что файл уже загружен.

09.05.2019_10.30.44.zip

Fixlog.txt

09.05.2019_10.30.44.zip

[SQ 831]

Карантин пустой, с расшифровкой помочь не сможем, так как файл обнулены.