Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Все ваши файлы на всех дисках вашего компьютера были зашифрованы.

Сергей Витальевич

Автор Сергей Витальевич
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Сергей Витальевич

Сергей Витальевич

Опубликовано
Опубликовано

Здравствуте.подскожите,что нужно делать. 

Зашифровались все важные для меня файлы на всех трёх винчестерах компьютера, а именно фото, видео, картинки, видео и прочее..

 

На рабочем столе вместо фонового рисунка на чёрном фоне красными буквами: Внимание !все важные файлы на всех дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt которые можно найти на из дисков

А все файлы зашифровались в белиберду с расширением.xtbl,

В многочисленных текстовиках созданных вирусом пишется вот это:

 

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
AC1414DD234EDCDCD2DA|0
на электронный адрес decoder1112@gmail.com или deshifrovka@india.com .
Далее вы получите все необходимые инструкции.  
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

Я не сильно понимаю в п.к. почитал на форуме,и нашёл эдэнтичную проблему.надеюсь Вы мне поможете.

post-33734-0-83588800-1425051762_thumb.jpg

post-33734-0-14370200-1425051764_thumb.jpg

post-33734-0-60426800-1425051765_thumb.jpg

post-33734-0-91296100-1425051766_thumb.jpg

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано

Если я что-то не так сделал-написал,то извините.я не сижу на форумах-а тут токая беда )).пожалуйста не бросайтесь сухими фразами,и не ругайте сильно.объясните,я попробую понять

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано

и как ё-маё мне прикрепить архив CollectionLog-2015.02.27-18.10 будь он неладен.


я же говорю не шарю особо в п.к.

Mark D. Pearlstone

Mark D. Pearlstone

Опубликовано
Опубликовано

@Сергей Витальевич, справа внизу есть кнопка "Расширенная форма", нажмёте, откроется новое окно, там увидите "Прикрепить файлы"

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано

прикрепил.но не вижу куда загружается((.спасибо Вам за терпение.


в редактировании своей анкеты файл есть,типа отправлен.а в теме не вижу (


кто то даже скачал 3 раза


такое долгое молчание,надеюсь я всё правильно сделал.и ответ будет,какой нибудь ))(

mike 1

mike 1

Опубликовано
Опубликовано

Не вижу архива с логами. Попробуйте загрузить его еще раз.

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано

Не вижу архива с логами. Попробуйте загрузить его еще раз.

Спасибо,попозже буду дома буду въезшать как делать все эти архивы.одной рукой не сильно удобно писать,было бы удобней по скайпу.но.

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано

 

Не вижу архива с логами. Попробуйте загрузить его еще раз.

Спасибо,попозже буду дома буду въезшать как делать все эти архивы.одной рукой не сильно удобно писать,было бы удобней по скайпу.но.

 

 

 

Не вижу архива с логами. Попробуйте загрузить его еще раз.

Спасибо,попозже буду дома буду въезшать как делать все эти архивы.одной рукой не сильно удобно писать,было бы удобней по скайпу.но.

 

 

CollectionLog-2015.02.27-18.10.zip

report1.log

report2.log

CollectionLog-2015.02.27-17.45.zip

1.txt

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\СЕРГЕЙ\applic~1\digitalsites\updateproc\updatetask.exe','');
QuarantineFile('C:\Users\СЕРГЕЙ\appdata\roaming\digitalsites\updateproc\updatetask.exe','');
QuarantineFile('C:\Users\F99B~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\F99B~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
DeleteFile('C:\Users\СЕРГЕЙ\appdata\roaming\digitalsites\updateproc\updatetask.exe','32');
DeleteFile('C:\Users\СЕРГЕЙ\applic~1\digitalsites\updateproc\updatetask.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано

Хотелось бы сразу сказать Вам спасибо за вашу помощь.и терпение(я особо не шарю во всякого рода антивирусных программ и сбора всяких логов) но стараюсь понять.Парни спасибо за вашу работу!


это нужно скопировать и вставить?


и как мне в (аvz) выполнять эти действия (( ?

Сергей Витальевич

Сергей Витальевич

Опубликовано
  • Автор
Опубликовано (изменено)

вкурил таки-как))


в лабалаторию касперского тоже отправил


Re: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0] [KLAN-2553017876]
От кого: newvirus@kaspersky.com Кому: 
 
сегодня, 15:19
 
Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. На запросы от лицензионных пользователей, которые были отправлены из Личного Кабинета https://my.kaspersky.com/ru/support/viruslab, или из CompanyAccount (https://companyaccount.kaspersky.com) будет предоставлен дополнительный ответ от вирусного аналитика.

csrss.exe - Backdoor.Win32.Androm.gjho

Детектирование файла будет добавлено в следующее обновление.

С уважением, Лаборатория Касперского

новые логи (AVZ)

Addition.txt

FRST.txt

CollectionLog-2015.02.28-16.44.zip

report1.log

report2.log

Изменено пользователем mike 1
thyrex

thyrex

Опубликовано
Опубликовано
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1364855901-553570502-3443546232-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aba3a6ff385e615f657456768108e641&text={searchTerms}
HKU\S-1-5-21-1364855901-553570502-3443546232-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.com/ru-ru/?pc=UP97&ocid=UP97DHP
HKU\S-1-5-21-1364855901-553570502-3443546232-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aba3a6ff385e615f657456768108e641&text={searchTerms}
URLSearchHook: [S-1-5-21-1364855901-553570502-3443546232-1000] ATTENTION ==> Default URLSearchHook is missing.
URLSearchHook: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} -  No File
SearchScopes: HKLM -> {3d29c02b-bf3e-4d3b-8a7a-e0e7d0f6dbab} URL = http://search.tb.ask.com/search/GGmain.jhtml?p2=^Z7^xdm032^YYA^ru&si=CJfYu8-2qsMCFYkLcwodjZYAmw&ptb=069A6C70-C8D8-4FE5-8490-0663B6450EE4&psa=&ind=2015012310&st=sb&n=781aa5d6&searchfor={searchTerms}
SearchScopes: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aba3a6ff385e615f657456768108e641&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://search.tb.ask.com/search/GGmain.jhtml?p2=^Z7^xdm032^YYA^ru&si=CJfYu8-2qsMCFYkLcwodjZYAmw&ptb=069A6C70-C8D8-4FE5-8490-0663B6450EE4&psa=&ind=2015012310&st=sb&n=781aa5d6&searchfor={searchTerms}
SearchScopes: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aba3a6ff385e615f657456768108e641&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aba3a6ff385e615f657456768108e641&text=
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File
Toolbar: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-1364855901-553570502-3443546232-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
CHR Extension: (No Name) - C:\Users\СЕРГЕЙ\AppData\Local\Google\Chrome\User Data\Default\Extensions\bepbmhgboaologfdajaanbcjmnhjmhfn [2015-01-23]
CHR Extension: (No Name) - C:\Users\СЕРГЕЙ\AppData\Local\Google\Chrome\User Data\Default\Extensions\cncgohepihcekklokhbhiblhfcmipbdh [2015-01-23]
CHR Extension: (No Name) - C:\Users\СЕРГЕЙ\AppData\Local\Google\Chrome\User Data\Default\Extensions\gehngeifmelphpllncobkmimphfkckne [2015-01-23]
CHR Extension: (No Name) - C:\Users\СЕРГЕЙ\AppData\Local\Google\Chrome\User Data\Default\Extensions\gomekmidlodglbbmalcneegieacbdmki [2015-01-23]
CHR Extension: (No Name) - C:\Users\СЕРГЕЙ\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-01-23]
CHR Extension: (No Name) - C:\Users\СЕРГЕЙ\AppData\Local\Google\Chrome\User Data\Default\Extensions\oadboiipflhobonjjffjbfekfjcgkhco [2015-02-24]
CHR HKLM\...\Chrome\Extension: [bopakagnckmlgajfccecajhnimjiiedh] - http://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - http://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - http://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - http://clients2.google.com/service/update2/crx
OPR Extension: (Универсальный перевод для Chrome) - C:\Users\СЕРГЕЙ\AppData\Roaming\Opera Software\Opera Stable\Extensions\oadboiipflhobonjjffjbfekfjcgkhco [2015-02-24]
2015-02-27 16:46 - 2015-02-27 16:46 - 11037211 _____ () C:\Users\СЕРГЕЙ\Downloads\A5F6.tmp
2015-02-24 19:11 - 2015-02-24 19:12 - 00000098 ____H () C:\iexplore.bat
2015-02-24 19:11 - 2015-02-24 19:12 - 00000008 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-02-24 19:11 - 2015-02-24 19:12 - 00000008 __RSH () C:\ProgramData\ntuser.pol
2015-02-24 19:11 - 2015-02-24 19:11 - 00673048 ____H (Microsoft Corporation) C:\iехplоrе.bаt.exe
2015-02-24 19:11 - 2015-02-24 19:11 - 00000040 _____ () C:\Windows\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
2015-02-24 19:11 - 2015-02-24 19:11 - 00000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
C:\Users\СЕРГЕЙ\AppData\Local\Temp\libeay32.dll
C:\Users\СЕРГЕЙ\AppData\Local\Temp\ssleay32.dll
C:\Users\СЕРГЕЙ\AppData\Local\Temp\tmp3F61.exe
C:\Users\СЕРГЕЙ\AppData\Local\Temp\tmp8D70.exe
Task: {760F3743-55D2-48BE-9840-0547D63CA857} - \Digital Sites No Task File <==== ATTENTION
Task: {D58085FE-7DA0-4E9B-A288-1BA0C22762C4} - No Task path
AlternateDataStreams: C:\iехplоrе.bаt.exe:$CmdTcID
AlternateDataStreams: C:\Windows\system32\ceutil.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\FlashPlayerApp.exe:$CmdTcID
AlternateDataStreams: C:\Windows\system32\msvcr100.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\rapi.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\rapiproxystub.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\rapistub.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\wcescommproxy.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\wmcoinst-070531-0845.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\WpdMtp.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\WpdMtpUS.dll:$CmdTcID
AlternateDataStreams: C:\Windows\system32\Drivers\browserMon.sys:$CmdTcID
AlternateDataStreams: C:\Windows\system32\Drivers\winusb.sys:$CmdTcID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Desktop\dyPaQo7MOmIuKQDT1XP32g2sOxglE3WL7AjrqY330OIY3cCqe1lQeDDRlw96iM6Cx51G2kN0yWnz4EqbQIjRvYXaGhv35tVTJSEDRht-iIvxESjFgb8LtXyfbSLRT870.xtbl:$CmdZnID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Downloads\5zb6gx0c.exe:$CmdTcID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Downloads\5zb6gx0c.exe:$CmdZnID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Downloads\AutoLogger.zip:$CmdZnID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Downloads\cispremium_installer_x86.exe:$CmdZnID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Downloads\luLG155tmvvWZKvtjO5Hox0nZjqr6oiZti2o1fZhOFA=.xtbl:$CmdZnID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Downloads\MultiPackFull.exe:$CmdZnID
AlternateDataStreams: C:\Users\СЕРГЕЙ\Documents\Z3abUUR5G3l+7e5uvhstXSDc4o7kSdPeuL2Zq4c1JyirQG3PzCMMTBhq+AXp9ThR6YsQAvFPWuzFoVL1rM-HfA==.xtbl:$CmdZnID
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

     

     

  • Обратите внимание, что компьютер будет перезагружен.

     

     

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • рарук
      Ваши файлы были зашифрованы. post8881@gmail.com
      Автор рарук
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      FD1FACE47FA84A930EB6|0
      на электронный адрес post8881@gmail.com или post24932@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      FD1FACE47FA84A930EB6|0
      to e-mail address post8881@gmail.com or post24932@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
    • tankopia
      зашифровались файлы в расширение xtbl
      Автор tankopia
      У сестры на компьютере файлы зашифровались  и на рабочем столе черный экран типа такого (вложение 111111) высылаю вам несколько закодрованных файлов и файл readmy
       
      текст файла readmy
       
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      F1F716AE701CE60103D6|0
      на электронный адрес decodefile001@gmail.com или decodefile002@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      F1F716AE701CE60103D6|0
      to e-mail address decodefile001@gmail.com or decodefile002@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
       
      Помогите пожалуйста, сделайте дескриптор. У сестры мног оважных документов пропало(((.
      Очень вас прошу.

      17-10-2015_22-42-28.zip
    • MonsterIsGood
      Вирус зашифровал файлы в формат .xtbl
      Автор MonsterIsGood
      Зашифрованы в основном фотографии и документы doc

      Kaspersky Virus Removal Tool Ничего не обнаружил

      Заранее спасибо!

      Логи:

      CollectionLog-2015.10.18-22.38.zip
    • Наталия Болясова
      Все файлы зашифрованы!формат XTBL
      Автор Наталия Болясова
      На компьютере зашифрованы все файлы. Около 50 Гб. Видео,фото,аудио. "Порядок оформления запроса о помощи" соблюден.
       
      Помогите,пожалуйста,спасти файлы!
    • виктория виктория
      Ваши файлы были зашифрованы
      Автор виктория виктория
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      1514D705323F4A305004|0
      на электронный адрес files100001@gmail.com или files100002@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      1514D705323F4A305004|0
      to e-mail address files100001@gmail.com or files100002@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.                                                                                                                                                                                                                   ЧТО ДЕЛАТЬ?
       
      Сообщение от модератора Mark D. Pearlstone Перенесено из темы
×
×
  • Создать...