Перейти к содержимому


Фотография
- - - - -

Прошу помощи одолеть заразу [veracrypt@foxmail.com].adobe

veracrypt@foxmail.com

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 9

#1 OFF   bOOsh789

bOOsh789

    Новичок

  • Новички
  • Cообщений: 8

Отправлено 09 Июнь 2019 - 21:52

Добрый вечер! Прошу помощи в избавлении от шифровальщика veracrypt@foxmail.com!

Заразился компьютер и в его папке с открытым доступов в сети все файлы зашифровались с добавлением в названии после расширения ".id-982677F7.[veracrypt@foxmail.com].adobe". Второй компьютер тоже заразился через папку с открытым доступом, в которой тоже все файлы переименовались и зашифровались.((

Антивирус не находит ничего. Перепробовал несколько LiveCD, нашло какието файлы в системной папке, почистило. Пока распространение не происходит. Но взяв флэшкой несколько файлов на проверку, запорол еще одну машину((

 

Буду признателен за помощ!

А особенно за возможность раскодировать документы. Много файлов .doc .xls полегло.

А про бэкапы подумалось только сейчас.

 

В пристежке информация из AutoLogger.


Вдогонку вопрос: как локализовать эту заразу? В сетке около 10 компов, заразилось два на которых были открыты папки с общим доступом. Дальше этих папок заражение не пошло. Но на каком компьютере всё началось не понятно. Пока провожу профилактику всех компьютеров. Антивирусы, к сожалению работали не на всех((


CollectionLog-2019.06.09-20.40.zip - это файл со 2-го компьютера, который предположительно был заражен первее и является источником.

Прикрепленные файлы


  • 0

#2 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 824

Отправлено 10 Июнь 2019 - 03:01

Здравствуйте,

Пожалуйста создавайте тему для каждого ПК. Так чтобы было 1ПК = 1 тема.

Я рассматриваю лог:  CollectionLog-2019.06.09-20.40.zip Для второго компьютера пожалуйста создайте новую тему.

Обратите внимание на то, что скорее всего мы не сможем вам помочь с расшифровкой данных.

HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O22 - Task: \Microsoft\Windows\EDP\EDP App Launch Task - {35EF4182-F900-4632-B072-8639E4478A61},AppLaunch - (no file)
O22 - Task: \Microsoft\Windows\EDP\EDP Auth Task - {35EF4182-F900-4632-B072-8639E4478A61},ReAuth - (no file)
- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    FRST.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • 0

#3 OFF   bOOsh789

bOOsh789

    Новичок

  • Новички
  • Cообщений: 8

Отправлено 10 Июнь 2019 - 11:23

Фиксы применил. FRST запустил (там не было поля"Driver MD5", отметил остальные). Под конец проверки вылез error:
Line 16335 (File "I:\AutoLogger-test\AutoLogger\FRST64.exe"):
Error: Subscript used on non-accessible variable.

 

Аттач.


  • 0

#4 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 10 Июнь 2019 - 11:26

Кнопку "Загрузить" не нажали.
  • 0
Изображение

#5 OFF   bOOsh789

bOOsh789

    Новичок

  • Новички
  • Cообщений: 8

Отправлено 10 Июнь 2019 - 12:31

Прошу прощения. Аттач.

Прикрепленные файлы

  • Прикрепленный файл  FRST.txt   35,52К   скачиваний 1

  • 0

#6 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 824

Отправлено 10 Июнь 2019 - 12:45

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.
 


  • 0

#7 OFF   bOOsh789

bOOsh789

    Новичок

  • Новички
  • Cообщений: 8

Отправлено 10 Июнь 2019 - 13:49

Done!

Прикрепленные файлы


  • 0

#8 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 10 Июнь 2019 - 13:53

Под конец проверки вылез error:

Продублирую свою просьбу здесь. Удалите старые утилиту FRST и её логи, скачайте FRST64.exe заново и попробуйте собрать отчеты по инструкции из сообщения №2 этой темы.

Сообщение отредактировал Sandor: 10 Июнь 2019 - 13:54

  • 0
Изображение

#9 OFF   bOOsh789

bOOsh789

    Новичок

  • Новички
  • Cообщений: 8

Отправлено 10 Июнь 2019 - 15:22

 

Под конец проверки вылез error:

Продублирую свою просьбу здесь. Удалите старые утилиту FRST и её логи, скачайте FRST64.exe заново и попробуйте собрать отчеты по инструкции из сообщения №2 этой темы.

 

Исправляюсь! Аттач.

Прикрепленные файлы

  • Прикрепленный файл  FRST.txt   189,53К   скачиваний 2
  • Прикрепленный файл  Addition.txt   47,81К   скачиваний 2

  • 0
  • Спасибо x 1
  • Показать

#10 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 824

Отправлено 10 Июнь 2019 - 20:46

Выполните скрипт в uVS:

;uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.17\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.17\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\GOOGLEUPDATEBROKER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.7\PSMACHINE_64.DLL
restart

В логах, только битые ссылки, вредоносного ПО незамечено.
 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    Start::
    CreateRestorePoint:
    CloseProcesses:
    HKLM-x32\...\Run: [] => [X]
    HKU\S-1-5-21-3113058935-619043731-1009693039-1001\...\Run: [AdobeBridge] => [X]
    ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> No File
    ContextMenuHandlers1: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> No File
    ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
    ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> No File
    ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> No File
    ContextMenuHandlers4: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> No File
    ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
    Reboot:
    End::
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

  • 0





Темы с аналогичными тегами: veracrypt@foxmail.com

Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных