Перейти к содержанию

Все фотографии и другие файлы изменили своё расширение

Михаил Соловьёв

Автор Михаил Соловьёв
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
Опубликовано

Здравствуйте. Проблема точно такая же. Все фотографии и другие файлы изменили своё расширение. Подскажите, что нужно сделать что бы вам отправить логи, и я всё сделаю. Надеюсь только на вас

 

Сообщение от модератора Mark D. Pearlstone
Перемещено из темы
Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

Особенности: я работаю в программе TeamViewer (удаленное управление), с компьютером моего отца. Навыков работы с форумом, и программами он не имеет. Расширение файлов - xtbl. Обои изменились, теперь на рабочем столе, красуется надпись 

 

1. Kaspersky Virus Removal Tool 2011 - данной программой я воспользовался для проверки ПК. Было обнаружено 2 трояна 

2. Содержимое временных папок очистил, воспользовавшись инструкцией.

3. Перед запуском программы post-33853-0-95745700-1425738204_thumb.png и работа программыpost-33853-0-82160300-1425738208_thumb.png. В момент работы, программе потребовалось моё согласие ("I accept"), нажав на неё, программа начала устанавливаться или проверять, но вылезла ошибка (к сожалению я не сделал её скриншот).

4. CollectionLog-2015.03.07-18.27.zip

 

Если я правильно понял, то создавать новую тему мне уже не надо, ибо модератор создал новую тему, куда перенес моё сообщение. 

 

Спасибо заранее Вам.

post-33853-0-58147400-1425737569_thumb.png

post-33853-0-72994000-1425737652_thumb.png

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.

Перенесите Check_Browsers_LNK.log из папки автологгера на ClearLNK как показано на рисунке

move.gif

Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

Прикрепите этот отчет к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

А также

 

 

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

А также

 

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Боюсь, что не смогу выполнить скрипт в AVZ, моему отцу (компьютеру с которым я работаю) нужен интернет. В инструкции написано что надо выключить... Если иного выхода нет, то я буду вынужден его научить сделать скрипт (несколько часов)

Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

Скачал ClearLNK, сохранил и распоковал.
Вот отчёт:

 


Скачал ClearLNK, сохранил и распоковал.
Вот отчёт:

*распаковал


А также

 

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Сделайте новые логи по правилам? Т.е. мне нужно ещё раз запустить AutoLogger?


Прислали на почту, после того, как я отправил запрос на проверку файла команде Касперского.


И вот два файла. Логи Farbar Recovery Scan Tool:

 

 

 

ClearLNK-10.03.2015_08-17.log

post-33853-0-88561300-1425963960_thumb.png

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
     
    CreateRestorePoint:
HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
SearchScopes: HKU\S-1-5-21-425235011-3301523467-1703254800-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = http://webalta.ru/search?q={searchTerms}&from=IE
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\bepbmhgboaologfdajaanbcjmnhjmhfn [2014-08-28]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\dchlnpcodkpfdpacogkljefecpegganj [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\dcnejhigcbpjmkoohckmmlgoonfngkjd [2014-09-24]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jagncdcchgajhfhijbbhecadmaiegcmh [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodbbdjhdd [2014-01-28]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jkockghdbjojnengdjpdfjcjbaolidfp [2014-12-31]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjldcfjmnllhmgjclecdnfampinooman [2014-01-27]
2014-01-26 21:54 - 2014-01-26 21:54 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
2015-02-02 16:09 - 2015-02-02 16:09 - 0005039 _____ () C:\ProgramData\wmzddnmb.cix
Reboot:
  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
  • 2 недели спустя...
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

пофиксите в Hijackthis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R3 - Default URLSearchHook is missing
O2 - BHO: BhoApp Class - {0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} - C:\Program Files (x86)\Ticno\Tabs\TicnoTabsBho111217.dll
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

новый лог приложите.

 


http://forum.kasperskyclub.ru/index.php?showtopic=7607&do=findComment&comment=78496

Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

Посмотрел как сделать скрипт. Напротив всех не смог поставить галочки, только 2 нашёл


Скидываю вам - список - тех, что смог найти. И документ.

post-33853-0-11702800-1427362335_thumb.png

post-33853-0-11453000-1427362343_thumb.png

post-33853-0-89440500-1427362350_thumb.png

hijackthis.log

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • sanka
      Ваши документы, базы данных и другие файлы были зашифрованы.
      Автор sanka
      Добрый день!
       
      Просьба помочь с расшифровкой.
      Лог FRST, записка вымогателя и примеры зашифрованных файлов во вложении
      FRST.zip примеры и записка вымогателя.zip
    • Fantamax
      Шифровальщик - вымогатор поменял расширение файлов на i54m390g5b4
      Автор Fantamax
      Добрый день. Сегодня в 6 утра вирус поменял расширение у многих файлов и зашифровал. 
      Похожая тема была, но у меня есть бекапы некоторых файлов, можно ли расшифровать (файл бекапа тоже прикрепил в архив):
       
      Addition.txt FRST.txt files.rar
    • serj_serj
      Вирус или вредоносное ПО повредило все файлы MS Office (docx, xlsx и возможно другие)
      Автор serj_serj
      Добрый день!
      Столкнулся с каким-то вредоносным ПО скорее всего, которое повредило все мои файлы с расширением .docx и .xlsx. При попытке открытия файлов MS Office выдаёт сообщение "приложением word в документе обнаружено содержимое которое не удалось прочитать ошибка. Доверяете ли вы источнику? " Если я нажимаю "Да" - файлы не открываются, выводится сообщение об ошибке открытия либо то, что файл повреждён.

      Сканировал Kaspersky Virus Removal Tool, обнаружены:
      1. MEM:Trojan.Win32.SEPEH.gen
      System Memory
      Троянская программа
      2. HEUR:HackTool.Win32.KMSAuto.gen
      C:\Windows\AAct_Tools\AAct.exe

      Пока никаких действий не принимал. Каких-либо действий по вымогательству (если это шифровальщик) не было.
      Логи прикрепляю.
      Получится ли восстановить данные из повреждённых файлов? 
      CollectionLog-2025.03.27-21.39.zip
      ещё для примера прикладываю архив с повреждёнными файлами
      повреждённые файлы.rar
    • rancol347
      Появляются рекламные вирусы по мнению КВРТ в файлах расширений для хрома и называются bg.js. Хром не использую
      Автор rancol347
      Иногда проверяю компьютер КВРТ и он выдал 2 рекламных вируса/расширения. После лечения с перезагрузкой всё вроде нормально, но если через 2-3 дня проверить снова появляется 1-2 расширения (not-a-virus:HEUR:AdWare.js.extredirect.gen и ещё какой-то, но по названию самый обычный адварь). И могу ли запустить автологгер вместе с защитником виндовс? (я не понял как выгрузить) и компьютер теоретически должен выдержать.
    • KL FC Bot
      Удаляем метаданные из фотографий, видео и других файлов: зачем и как | Блог Касперского
      Автор KL FC Bot
      Практически ежедневно мы делимся фотографиями, видео и документами, отправляем голосовые сообщения, письма по электронной почте, но практически никогда не задумываемся, что при этом передаем гораздо больше данных, чем предполагаем. Дело в том, что каждый файл содержит метаданные — служебную информацию о самом файле, в которой можно найти множество интересного и вовсе не предназначенного для чужих глаз: например, время и место съемки фото, историю редактирования документа, информацию о вашем устройстве, ваш IP-адрес, геолокацию и многое другое. И все это вместе с безобидным селфи или презентацией попадает в руки адресата, выкладывается в соцсети или публикуется на сайтах.
      Сегодня поговорим о пользе и вреде метаданных и расскажем о способах их удаления.
      Что такое метаданные и зачем они нужны
      Если говорить простым языком, то метаданные — это дополнительная информация о содержимом файла, добавляемая приложениями, создающими или обрабатывающими эти файлы, операционными системами или самими пользователями. В большинстве случаев метаданные создаются и обновляются автоматически: например, для файлов это могут быть такие атрибуты, как дата его создания, дата последнего изменения, тип, владелец и так далее. А когда мы делаем фотографию своим смартфоном или камерой, то в файл, помимо самого изображения, записываются дата и место съемки, параметры экспозиции, модель смартфона и другая информация, предусмотренная форматом EXIF. Набор этих данных может различаться в зависимости от модели и настроек камеры или смартфона.
      Некоторые метаданные находятся «на виду», и их легко отредактировать. Так, в аудиофайлах содержатся специальные теги, рассказывающие о содержимом: об авторе, исполнителе, альбоме, названии композиции, жанре, и их легко изменить практически в любом плеере.
       
      View the full article
×
×
  • Создать...