Перейти к содержанию

Зашифрован файл .kukaracha [Unlock92 Ransomware]


Рекомендуемые сообщения

Вирус создал кучу файлов с раширением <имя файла>.<расширение файла>.kukaracha В автозагрузке появилась новая задача keycode с адресом C:\Users\User\AppData\microsoft\windows\start menu\programs\startup. Папка вместе с файлом была удалена.

Прикрепляю файлы появившиеся рядом с зашифрованными файлами и зашифрованный файл

 

virus.rar

Ссылка на сообщение
Поделиться на другие сайты

Ну вот и все. Пришло время сделать резервную копию для ваших новых файлов.

 

https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

Ссылка на сообщение
Поделиться на другие сайты

Вот создал отчеты, посмотрите пожалуйста. Есть ли возможность восстановить?

Addition.txt

AdwCleanerS0.txt

FRST.txt

CollectionLog-2016.12.02-21.04.zip

Ссылка на сообщение
Поделиться на другие сайты

Никаких.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
    CloseProcesses:
    HKLM-x32\...\RunOnce: [{2BA5BB1A-8D89-4822-AC9E-505DFFC1FDB5}] => cmd.exe /C start /D "C:\Users\User\AppData\Local\Temp" /B {2BA5BB1A-8D89-4822-AC9E-505DFFC1FDB5}.cmd
    GroupPolicy: Restriction <======= ATTENTION
    GroupPolicy\User: Restriction <======= ATTENTION
    GroupPolicyScripts-x32: Restriction <======= ATTENTION
    CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
    CHR HKU\S-1-5-21-1483086494-1364428964-2930737664-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
    HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
    HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
    HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
    HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
    HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
    HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
    HKU\S-1-5-21-1483086494-1364428964-2930737664-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
    StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?type=sc&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
    FF Extension: (Домашняя страница Mail.Ru) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-12-02]
    FF Extension: (SuperMegaBest.com) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\jid1-n5ARdBzHkUEdAA@jetpack.xpi [2014-05-05] [not signed]
    FF Extension: (Site Navigation) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{e4a8a97b-f2ed-450b-b12d-ee082ba24782}.xpi [2014-09-09] [not signed]
    CHR Extension: (Ads Killer) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\jjckigopagkhaikodedjnmbccfpnmiea [2016-12-02]
    CHR Extension: (News Tab) - C:\Users\User\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\jolakggdcbngpflcjfaencffnenhlddl [2016-12-02]
    CHR Extension: (No Name) - C:\Users\User\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\mfgdmpfihlmdekaclngibpjhdebndhdj [2016-12-02]
    CHR Extension: (Домашняя страница – Mail.Ru) - C:\Users\User\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\pldbienodkpgkccocelidinmciedjdok [2016-12-02]
    OPR Extension: (SuperMegaBest - find best prices) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2016-12-02]
    OPR Extension: (News Tab) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\jolakggdcbngpflcjfaencffnenhlddl [2016-12-02]
    OPR Extension: (No Name) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfgdmpfihlmdekaclngibpjhdebndhdj [2016-12-02]
    S1 {a3f28269-ad17-41a8-b032-3e0313ef8979}w64; system32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}w64.sys [X]
    2016-12-02 11:40 - 2016-12-02 11:40 - 00002823 _____ C:\Windows\Tasks\keycode.tta
    2016-12-02 11:40 - 2016-12-02 11:40 - 00002823 _____ C:\Windows\System32\Tasks\keycode.tta
    Task: {1DB639AD-AFDB-44AA-99B9-6EFBAB4AF179} - \Microsoft\Windows\KRBUUS\KRB Updater Utility Service -> No File <==== ATTENTION
    Task: {235E9FFA-0562-4094-8E93-4AF2F082D868} - \{7119EB0A-17FD-46EC-96B9-54D73E363745} -> No File <==== ATTENTION
    Task: {607ACB26-FD16-4ED1-9E99-8C90FC41E29F} - \{BD943A0C-2140-4B80-BAEE-9F2DE9CC18E7} -> No File <==== ATTENTION
    Task: {6B62678A-2A4F-403D-AECB-D47352926C09} - \{6E7D792A-299B-46A5-82EC-0455382B131C} -> No File <==== ATTENTION
    Task: {9154A24F-0EF3-4A85-A7B2-7399356EEE96} - System32\Tasks\{22DB71B5-11A3-41E9-9511-1BBB3489088B} => C:\Program Files (x86)\Common Files\AppDownloads\{22DB71B5-11A3-41E9-9511-1BBB3489088B}.exe <==== ATTENTION
    Task: {93E14995-8F27-4A81-8D51-A1E87F5F0B45} - \KRB Updater Utility -> No File <==== ATTENTION
    Task: {9CC2CC21-EE07-469A-8206-ECC75829F551} - \{E2A0BAA3-DAFD-4CB7-90C5-A46937D7BC3E} -> No File <==== ATTENTION
    Task: {ABDDC31E-2809-4BB5-9E92-0778B504CB1B} - \{7809B227-D04B-4409-B09A-5582C5D37B60} -> No File <==== ATTENTION
    Task: {EFEFBCB8-5E66-4787-9F0B-F77F4D0F164E} - \{BDE90F28-0EBF-4F47-BCCD-9790F7BDAE5E} -> No File <==== ATTENTION
    Task: {FE17B6EF-9141-46D3-987C-9CB0C6F2E87E} - \{4A87A418-667A-4827-893C-7E370AD7CBD8} -> No File <==== ATTENTION
    MSCONFIG\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^KRB Updater Utility.lnk => C:\Windows\pss\KRB Updater Utility.lnk.CommonStartup
    MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^--------ПРОЧТИ МЕНЯ--------.txt => C:\Windows\pss\--------ПРОЧТИ МЕНЯ--------.txt.Startup
    MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^AppDownloads.lnk => C:\Windows\pss\AppDownloads.lnk.Startup
    MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^keycode.tta => C:\Windows\pss\keycode.tta.Startup
    FirewallRules: [{2BDFD585-B482-4649-90B3-A1C391676A95}] => C:\Program Files\UBar\ubar.exe
    
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на сообщение
Поделиться на другие сайты

В файл все сохранил, при запуске FRST выскакивает ошибка Failed to update(1)

Изменено пользователем AleksandrTomsk
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • grimm705x
      От grimm705x
      Добрый день!
      Ситуация типичная, сотрудница получила письмо на почту mail.ru, естественно, открыла его. После чего к расширению всех файлов прибавилось ".kukaracha."
      Каперский отреагировал поздно и обнаружил:
      10 файлов Trojan.Win32.Agentb.adkr
      39 файлов not-a-virus:HEUR:AdWare.Script.Generic
      2 файла UDS:DangerousObject.Multi.Generic
      1 файл not-a-virus:HEUR:AdWare.Win32.ELEX.gen
      Далее, прошелся по Вашему порядку оформления запроса о помощи
      Скачал Kaspersky Virus Removal Tool 2015
      Отключил касперского free
      Запустил KVRT2015 и выполнил проверку. Результат таков: 
      not-a-virus:HEUR:RiskTool.Win32.Generic Файл: C:\Users\User\AdobeChecker.exe Легальная программа, которая может быть использована злоумышленником для нанесения вреда компьютеру или данным пользователя     MD5:  155FCE01FA0C8477B20C1CD5A2763D87     SHA256:  9C5BF431DB30BF3B53E1C94F84E5FF04ED1C15E06009EF8BD4818FB58936795E Следующим шагом собрал логи. Вот и всё. Помогите, пожалуйста. CollectionLog-2016.12.24-15.22.zip залил на хостинг. Здесь ошибку IO при загрузке выдаёт   report1.log
      report2.log
    • Дмитрий Тахтараков
      От Дмитрий Тахтараков
      Данный вирус посетил один из компьютеров( 
       
       
      текст сообщения: 
      Ваши файлы зашифрованы с использованием криптостойкого алгоритма RSA-2048.  Если хотите их вернуть отправьте один из зашифрованных файлов и файл keycode.tta на e-mail: unlock92@india.com  Если вы не получили ответа в течение суток то скачайте с сайта www.torproject.con браузер  TOR и с его помощью зайдите на сайт: http://ezulxxtwqos5g736.onion-  там будет указан действующий почтовый ящик.  Попытки самостоятельного восстановления файлов могут безвозвратно их испортить!   CollectionLog-2016.12.21-17.42.zip
×
×
  • Создать...