ransom.shade Зашифрованы все файлы

[Danil^_^]

Компьютер был заражен вирусом шифровальщиком, зараженные (зашифрованные) файлы имеют расширение "XTBL" (.xtbl)., Прошу помощи в расшифровки данных файлов.

 

CollectionLog-2015.02.28-22.30.zip

[thyrex]

Простите, но в архиве не хватает остальных логов

[Danil^_^]

делал по инструкции, почему не получается, у меня Win x64, все время в архиве только два файла   

[thyrex]

А в Вашем архиве он вообще один. Так что явно не все по инструкции

[Danil^_^]

Ваши файлы были зашифрованы.

Чтобы расшифровать их, Вам необходимо отправить код:

B952EF657DBD7B96AEA1|0

на электронный адрес deshifrator01@gmail.com или deshifrovka@india.com .

Далее вы получите все необходимые инструкции.  

Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

 

 

 

  вылезает ошибка сборщика логов

CollectionLog-2015.03.04-00.02.zip

[миднайт]

В AVZ выполните скрипт:
 

begin
ClearQuarantine;
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\svchost.com','');
 QuarantineFile('C:\Users\Даня\AppData\Local\PriceMeter\pricemeterw.exe','');
 QuarantineFile('C:\Users\Даня\AppData\Local\PriceMeter\TEMP\pricemeter.exe','');
 QuarantineFile('C:\Users\Даня\AppData\Local\PriceMeter\pricemeterd.exe','');
 QuarantineFile('C:\Program Files (x86)\PriceMeterLiveUpdate\Update\PriceMeterLiveUpdate.exe','');
 QuarantineFile('D:\Steam\steam.exe','');
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 QuarantineFile('C:\ProgramData\IePluginS','');
 QuarantineFile('C:\PROGRA~2\SupTab\SEARCH~2.DLL','');
 QuarantineFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','');
 DeleteFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','32');
 DeleteFile('C:\PROGRA~2\SupTab\SEARCH~2.DLL','32');
 DeleteFile('C:\ProgramData\IePluginS','32');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\Program Files (x86)\PriceMeterLiveUpdate\Update\PriceMeterLiveUpdate.exe','32');
 DeleteFile('C:\Windows\Tasks\PriceMeterLiveUpdateUpdateTaskMachineUA.job','64');
 DeleteFile('C:\Windows\Tasks\PriceMeterLiveUpdateUpdateTaskMachineCore.job','64');
 DeleteFile('C:\Users\Даня\AppData\Local\PriceMeter\pricemeterd.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\pricemeterdownloader','64');
 DeleteFile('C:\Windows\system32\Tasks\PriceMeterLiveUpdateUpdateTaskMachineCore','64');
 DeleteFile('C:\Windows\system32\Tasks\PriceMeterLiveUpdateUpdateTaskMachineUA','64');
 DeleteFile('C:\Users\Даня\AppData\Local\PriceMeter\TEMP\pricemeter.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\pricemetertask','64');
 DeleteFile('C:\Users\Даня\AppData\Local\PriceMeter\pricemeterw.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\pricemeterwatcher','64');
 DeleteFile('C:\Windows\svchost.com','32');
 DeleteFile('C:\Windows\system32\Tasks\{F13D2A49-D2AF-40EB-A3E2-378E4E273DD9}','64');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните скрипт в AVZ:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хелпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 

Удалите ярлык firefox, снова его создайте.

Просканируйте систему на предмет файловых вирусов, вариант с LiveCD предпочтительнее http://virusinfo.info/showthread.php?t=15927

Повторите логи.

Изменено 2 марта, 2015 пользователем миднайт