ransom.shade Зашифрованые файлы с расширением .xtbl winlocker

[vfx1]

В феврале на комьютере была обнаружена подозрительная активность, вылечили касперским, Сегодня выяснилось, что фотографии на диске D: зашифрованы и переименованы в .xtbl

 

В файлах readme.txt написано следующее:

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
8529D394BDFF7D0E9664|0
на электронный адрес deshifrator01@gmail.com или deshifrovka@india.com .
Далее вы получите все необходимые инструкции.  
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
8529D394BDFF7D0E9664|0
to e-mail address deshifrator01@gmail.com or deshifrovka@india.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

Запустил FRST, галочка 90 Days Files убрана (шифрованные файлы датированы 2015-02-08). Результаты в аттаче.

 

Помогите пожалуйста!

Addition.txt

FRST.txt

[mike 1]

https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url] - правила.

 

 

Запустил FRST, галочка 90 Days Files убрана (шифрованные файлы датированы 2015-02-08). Результаты в аттаче.

Если надо будет мы сами запросим эти логи. 

[vfx1]

Извиняюсь, добавил CollectionLog

CollectionLog-2015.05.19-20.56.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\Users\TANYA\appdata\local\microsoft\extensions\safebrowser.exe','');
 QuarantineFile('C:\PROGRA~2\Mozilla\ivwmrpi.exe','');
 QuarantineFile('C:\PROGRA~2\Homepager\Homepagerxpers.exe','');
 DeleteFile('C:\PROGRA~2\Homepager\Homepagerxpers.exe','32');
 RegKeyResetSecurity('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3161305079');
 DeleteFile('C:\PROGRA~2\Mozilla\ivwmrpi.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\rlbbboj','32');
 DeleteFile('C:\Windows\system32\Tasks\Safebrowser.bak','32');
 DeleteFile('C:\Users\TANYA\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.

• Перенесите Check_Browsers_LNK.log из папки Автологгера на ClearLNK как показано на рисунке

 

 

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

• Прикрепите этот отчет к своему следующему сообщению.

 

 

 

Сделайте новые логи Автологгером. 

 

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

[vfx1]

Здравствуйте,

 

спасибо за помощь! 

 

Прилагаю ответ newvirus@kaspersky.com

 

 

 

Re: [Protected object detected] Запрос на исследование вредоносного файла [KLAN-2785731647]

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

safebrowser.exe

Получен неизвестный файл, он будет передан в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700  http://www.kaspersky.ruhttp://www.viruslist.ru"

 

Отчет о работе ClearLNK и автологгера приложен к сообщению

Логи FRST в аттаче.

 

 

ClearLNK-21.05.2015_18-39.log

CollectionLog-2015.05.21-19.02.zip

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CloseProcesses:
HKLM\...\Run: [] => [X]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\TANYA\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-09-17]
2014-09-17 13:36 - 2014-09-17 13:36 - 0000000 _____ () C:\Users\TANYA\AppData\Roaming\smw_inst
Task: {14CE63A7-297C-4F3D-B82E-5C0DD2A1DF81} - \kbrowser-updater-utility No Task File <==== ATTENTION
Task: {204A8DA4-5989-4391-BC62-7D29DF5048B2} - \rlbbboj No Task File <==== ATTENTION
Task: {242AC602-E56D-464A-B888-8F54EC433DDD} - \extsetup No Task File <==== ATTENTION
Task: {24869F26-20B3-4C76-BB26-AF829BEC73CE} - \Kinoroom Browser No Task File <==== ATTENTION
Task: {60588220-9055-456D-B7C1-DEF5EDC97908} - \Safebrowser No Task File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

[vfx1]

Спасибо! Fixlog.txt приложен к сообщению.

Fixlog.txt

[mike 1]

Я хочу кое-что проверить, но мне нужен удаленный доступ к компьютеру. Скачайте TeamViewer и напишите мне в ЛС id и пароль которая сгенерировала программа.