filya75 0 Опубликовано 26 мая, 2018 Share Опубликовано 26 мая, 2018 Здравствуйте! Как и у предыдущих пользователей через rdp запустился вирус шифратор. Есть ли возможность расшифровать файлы? tutanova.zip CollectionLog-2018.05.26-22.59.zip Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 26 мая, 2018 Share Опубликовано 26 мая, 2018 (изменено) Здравствуйте!Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.Выполните скрипт в АВЗ (Файл - Выполнить скрипт): begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); ClearQuarantineEx(true); QuarantineFile('C:\Users\2714-1\Desktop\Документы.lnk', ''); QuarantineFile('C:\Users\Administrator\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OFM0Z24F\ads[1].js', ''); QuarantineFile('C:\Users\ot-1\Desktop\Документы.lnk', ''); DeleteFile('C:\Users\Administrator\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OFM0Z24F\ads[1].js', '32'); CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); ExecuteSysClean; RebootWindows(true); end. После выполнения скрипта компьютер перезагрузится.- Файл quarantine.zip из папки AVZ пришлите на почту , укажите в письме ссылку на тему, в которой просили прислать файлы. "Пофиксите" в HijackThis: O4 - MSConfig\startupreg: Adobe Reader Speed Launcher [command] = C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe (file missing) (HKLM) (2014/02/22) O22 - Task: (disabled) GoogleUpdateTaskUserS-1-5-21-1413479190-2418524925-3626140162-1184Core - C:\Users\TEMP\AppData\Local\Google\Update\GoogleUpdate.exe /c (file missing) O22 - Task: (disabled) GoogleUpdateTaskUserS-1-5-21-1413479190-2418524925-3626140162-1184UA - C:\Users\TEMP\AppData\Local\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (file missing) O23 - Service S2: aspnet_host Service - (aspnet_host) - C:\Windows\smss.exe (file missing) O26 - IFEO: HKLM\..\osk.exe: [Debugger] = C:\windows\oask.exe (file missing) Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Изменено 26 мая, 2018 пользователем regist Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 26 мая, 2018 Автор Share Опубликовано 26 мая, 2018 Новые логи CollectionLog-2018.05.27-02.44.zip Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 27 мая, 2018 Share Опубликовано 27 мая, 2018 Где карантин? Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 27 мая, 2018 Автор Share Опубликовано 27 мая, 2018 Где карантин? Вчера отправил по электронке + зазипованный шифровальщик. Карантин выкладываю. Строгое предупреждение от модератора Mark D. Pearlstone Вас не просили выкладывать карантин на форум. Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 27 мая, 2018 Share Опубликовано 27 мая, 2018 Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.Нажмите кнопку Scan.После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению. Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 27 мая, 2018 Автор Share Опубликовано 27 мая, 2018 Прикрепляю frst.zip Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 27 мая, 2018 Share Опубликовано 27 мая, 2018 Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код: Start:: CreateRestorePoint: VirusTotal: C:\Users\ek\Documents\smsssA.exe Startup: C:\Users\ek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.hta [2018-05-25] () CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION 2018-05-25 11:08 - 2018-05-25 10:35 - 172740504 _____ C:\Users\Public\s3w4uejx.exe 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\Public\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\Public\Documents\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\Documents\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Roaming\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\LocalLow\README.hta 2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Local\Temp\README.hta 2018-05-25 07:14 - 2018-05-25 07:14 - 000009026 _____ C:\ProgramData\README.hta 2018-05-25 06:54 - 2018-05-25 06:54 - 000009026 _____ C:\Users\ek\Desktop\README.hta Reboot: End:: и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.Компьютер будет перезагружен автоматически. Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 28 мая, 2018 Автор Share Опубликовано 28 мая, 2018 Доброе утро! Прикрепляю fixlog Fixlog.zip Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 28 мая, 2018 Share Опубликовано 28 мая, 2018 Здравствуйте!Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.Выполните скрипт в АВЗ (Файл - Выполнить скрипт): begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); ClearQuarantineEx(true); QuarantineFile('C:\Users\ek\Documents\smsssA.exe', ''); DeleteFile('C:\Users\ek\Documents\smsssA.exe'); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); ExecuteSysClean; end. После выполнения скрипта компьютер перезагрузится. - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.comПолученный ответ сообщите здесь (с указанием номера KLAN) Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 28 мая, 2018 Автор Share Опубликовано 28 мая, 2018 [KLAN-8135941587] Thank you for contacting Kaspersky Lab The files have been scanned in automatic mode.No information about the specified files can be found in the antivirus databases:smsssA.exeWe will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.This is an automatically generated message. Please do not reply to it.Anti-Virus Lab, Kaspersky Lab HQ Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 29 мая, 2018 Share Опубликовано 29 мая, 2018 @filya75, проверьте ЛС. Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 29 мая, 2018 Автор Share Опубликовано 29 мая, 2018 Добрый вечер! Практически ничего не расшифровал Decrypted 795 files Skipped 19687 files Цитата Ссылка на сообщение Поделиться на другие сайты
regist 617 Опубликовано 29 мая, 2018 Share Опубликовано 29 мая, 2018 Папку C:\FRST\Quarantine - заархивируйте и скиньте мне в ЛС. А также пример файла, который не смогло рассшифровать. + все файлы README.hta которые найдёте, включая с других пострадавших машин в сети пришлите. Цитата Ссылка на сообщение Поделиться на другие сайты
filya75 0 Опубликовано 30 мая, 2018 Автор Share Опубликовано 30 мая, 2018 Отправил Цитата Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения
Присоединяйтесь к обсуждению
Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.