ransom.shade зашифровка файлов

30 мая, 2015

Зашифровались данные, поменялось расширение на xtbl.

Ваши файлы были зашифрованы.

Чтобы расшифровать их, Вам необходимо отправить код:

A72442E7555684485F80|0

на электронный адрес decode010@gmail.com или decode1110@gmail.com .

Далее вы получите все необходимые инструкции.

Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

All the important files on your computer were encrypted.

To decrypt the files you should send the following code:

A72442E7555684485F80|0

to e-mail address decode010@gmail.com or decode1110@gmail.com .

Then you will receive all necessary instructions.

All the attempts of decryption by yourself will result only in irrevocable loss of your data.

CollectionLog-2015.05.30-15.34.zip

30 мая, 2015

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\Антон\appdata\local\systemdir\setsearchm.exe','');
 QuarantineFile('C:\Users\Антон\appdata\local\system~1\setsea~1.exe','');
 QuarantineFile('C:\Users\Антон\appdata\roaming\ssleas.exe','');
 QuarantineFile('C:\Users\Антон\appdata\roaming\x11\engine.exe','');
 QuarantineFile('C:\Users\Антон\AppData\Local\Microsoft\Windows\system.exe','');
 QuarantineFile('C:\Users\Антон\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('C:\Users\Антон\AppData\Roaming\GetNowUpdater\bin\GetNowUpdater.exe','');
 StopService('iSafeNetFilter');
 StopService('iSafeKrnlR3');
 StopService('iSafeKrnlMon');
 StopService('iSafeKrnlKit');
 StopService('iSafeKrnl');
 DeleteService('iSafeKrnlBoot');
 DeleteService('BAPIDRV');
 DeleteService('iSafeNetFilter');
 DeleteService('iSafeKrnlR3');
 DeleteService('iSafeKrnlMon');
 DeleteService('iSafeKrnlKit');
 DeleteService('iSafeKrnl');
 TerminateProcessByName('c:\program files (x86)\elex-tech\yac\isafetray.exe');
 QuarantineFile('c:\program files (x86)\elex-tech\yac\isafetray.exe','');
 TerminateProcessByName('c:\users\Антон\appdata\roaming\getnowupdater\bin\getnowupdater.exe');
 QuarantineFile('c:\users\Антон\appdata\roaming\getnowupdater\bin\getnowupdater.exe','');
 DeleteFile('c:\users\Антон\appdata\roaming\getnowupdater\bin\getnowupdater.exe','32');
 DeleteFile('c:\program files (x86)\elex-tech\yac\isafetray.exe','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\iSafeNetFilter.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\iSafeKrnlBoot.sys','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GetNowUpdater');
 DeleteFile('C:\Users\Антон\AppData\Roaming\GetNowUpdater\bin\GetNowUpdater.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qoymzrfbls');
 DeleteFile('C:\Users\Антон\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
 DeleteFile('C:\Users\Антон\AppData\Local\Microsoft\Windows\system.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','64');
 DeleteFile('C:\Users\Антон\appdata\roaming\x11\engine.exe','32');
 DeleteFile('C:\Users\Антон\appdata\roaming\ssleas.exe','32');
 DeleteFile('C:\Users\Антон\appdata\local\system~1\setsea~1.exe','32');
 DeleteFile('C:\Users\Антон\appdata\local\systemdir\setsearchm.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

Сделайте новые логи Автологгером.

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.

Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

1 июня, 2015

Re: Запрос на исследование вредоносного файла [KLAN-2822524773]

От кого: newvirus@kaspersky.com Кому:

сегодня, 0:56

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

engine.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.wzo

Это - потенциально опасное ПО. Детектирование файла будет добавлено в следующее обновление.

GetNowUpdater.exe,
isafetray.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

setsea~1.exe,
setsearchm.exe - Trojan.Win32.Agent.idxa
ssleas.exe - Trojan.Win32.Kesels.a

Детектирование файлов будет добавлено в следующее обновление.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"

Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

engine.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.wzo

New potentially risk software was found in this file. It's detection will be included in the next update. Thank you for your help.

GetNowUpdater.exe,
isafetray.exe

A set of unknown files has been received. They will be sent to the Virus Lab.

setsea~1.exe,
setsearchm.exe - Trojan.Win32.Agent.idxa
ssleas.exe - Trojan.Win32.Kesels.a

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"

--------------------------------------------------------------------------------
From:
Sent: 6/1/2015 10:53:38 PM
To: newvirus@kaspersky.com
Subject: Запрос на исследование вредоносного файла

Выполняется запрос хэлпера
--
Антон Аверкиев

сделал всё по инструкции

CollectionLog-2015.06.02-01.43.zip

AdwCleanerR0.txt

Изменено 2 июня, 2015 пользователем mike 1
Почта скрыта

2 июня, 2015

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.

Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.

Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

2 июня, 2015

Почистил

AdwCleanerS0.txt

2 июня, 2015

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

2 июня, 2015

Сделано

Addition.txt

2 июня, 2015

А второй лог вообще-то тоже нужен.

2 июня, 2015

Вроде он

FRST.txt

2 июня, 2015

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-2524501113-1811621658-2721006861-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
HKU\S-1-5-21-2524501113-1811621658-2721006861-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED
HKU\S-1-5-21-2524501113-1811621658-2721006861-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1421070065&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1421070065&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1421070065&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1421070065&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED&q={searchTerms}
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-21-2524501113-1811621658-2721006861-1000 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=dspp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2524501113-1811621658-2721006861-1000 -> 5B28B3B7E20B5EE2A54E20DDA97A6066 URL = http://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-2524501113-1811621658-2721006861-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=dspp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED&q={searchTerms}
Toolbar: HKU\S-1-5-21-2524501113-1811621658-2721006861-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
CHR HKLM\...\Chrome\Extension: [iikflkcanblccfahdhdonehdalibjnif] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iikflkcanblccfahdhdonehdalibjnif] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - http://clients2.google.com/service/update2/crx
R2 iSafeService; C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe [118048 2015-05-06] (Elex do Brasil Participa??es Ltda)
R1 iSafeKrnl; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys [260344 2015-05-06] (Elex do Brasil Participa??es Ltda)
R1 iSafeKrnlKit; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys [108616 2015-05-06] (Elex do Brasil Participa??es Ltda)
R1 iSafeKrnlMon; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys [50944 2015-05-06] (Elex do Brasil Participa??es Ltda)
R1 iSafeKrnlR3; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys [102416 2015-05-06] (Elex do Brasil Participa??es Ltda)
R1 iSafeNetFilter; C:\Windows\System32\DRIVERS\iSafeNetFilter.sys [52392 2015-04-17] (Elex do Brasil Participa??es Ltda)
S3 iSafeKrnlBoot; system32\DRIVERS\iSafeKrnlBoot.sys [X]
2015-06-02 18:03 - 2015-06-02 18:03 - 00000000 ____D () C:\Users\Антон\AppData\Roaming\Elex-tech
2015-06-02 18:03 - 2015-04-17 04:43 - 00052392 _____ (Elex do Brasil Participa??es Ltda) C:\Windows\system32\Drivers\iSafeNetFilter.sys
2015-05-29 22:30 - 2015-05-29 22:30 - 06220854 _____ () C:\Users\Антон\AppData\Roaming\0AFB48FB0AFB48FB.bmp
2015-05-29 12:35 - 2015-05-30 14:50 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2015-05-29 12:35 - 2015-05-30 14:50 - 00000000 __SHD () C:\ProgramData\Windows
2015-05-22 12:59 - 2015-05-22 13:00 - 00000000 ____D () C:\Users\Антон\AppData\Roaming\x11
2015-05-22 12:59 - 2015-05-22 12:59 - 00442896 _____ () C:\Users\Антон\AppData\Roaming\data13.dat
2015-05-06 15:03 - 2015-05-06 15:03 - 00000000 ____D () C:\Program Files (x86)\Elex-tech
2015-06-02 00:33 - 2015-01-02 16:18 - 00000000 ____D () C:\Users\Антон\AppData\Local\SystemDir
C:\Users\Антон\AppData\Local\Temp\2fkqI8ne4uUV.exe
C:\Users\Антон\AppData\Local\Temp\4EH6C8nCxY8i.exe
C:\Users\Антон\AppData\Local\Temp\5agt0JG3IVDc.exe
C:\Users\Антон\AppData\Local\Temp\5oWlfNuqyMB9.exe
C:\Users\Антон\AppData\Local\Temp\73O7bjbLqP9d.exe
C:\Users\Антон\AppData\Local\Temp\7ahyc4zPQ7HI.exe
C:\Users\Антон\AppData\Local\Temp\8TpYyTF5Q4mh.exe
C:\Users\Антон\AppData\Local\Temp\BcXmVZ8UST2J.exe
C:\Users\Антон\AppData\Local\Temp\BingBarSetup-Partner.exe
C:\Users\Антон\AppData\Local\Temp\DciLWpBN0p35.exe
C:\Users\Антон\AppData\Local\Temp\DseShExt-x64.dll
C:\Users\Антон\AppData\Local\Temp\DseShExt-x86.dll
C:\Users\Антон\AppData\Local\Temp\gejpsLc83ypE.exe
C:\Users\Антон\AppData\Local\Temp\LUg5EAACUdF9.exe
C:\Users\Антон\AppData\Local\Temp\mAyT41A5mWkx.exe
C:\Users\Антон\AppData\Local\Temp\netAA61.tmp.exe
C:\Users\Антон\AppData\Local\Temp\netAA62.tmp.exe
C:\Users\Антон\AppData\Local\Temp\netAA63.tmp.exe
C:\Users\Антон\AppData\Local\Temp\nvSCPAPI.dll
C:\Users\Антон\AppData\Local\Temp\nvStInst.exe
C:\Users\Антон\AppData\Local\Temp\o4IncPbW2gz0.exe
C:\Users\Антон\AppData\Local\Temp\ose00000.exe
C:\Users\Антон\AppData\Local\Temp\ose00002.exe
C:\Users\Антон\AppData\Local\Temp\Quarantine.exe
C:\Users\Антон\AppData\Local\Temp\SDShelEx-win32.dll
C:\Users\Антон\AppData\Local\Temp\SDShelEx-x64.dll
C:\Users\Антон\AppData\Local\Temp\sender.exe
C:\Users\Антон\AppData\Local\Temp\Setup-bm.exe
C:\Users\Антон\AppData\Local\Temp\SkypeSetup.exe
C:\Users\Антон\AppData\Local\Temp\sqlite3.dll
C:\Users\Антон\AppData\Local\Temp\suYQIkYldv7Z.exe
C:\Users\Антон\AppData\Local\Temp\TUUUninstallHelper.exe
C:\Users\Антон\AppData\Local\Temp\UqPjb4dbXxo2.exe
C:\Users\Антон\AppData\Local\Temp\vT14q8lhsTdG.exe
C:\Users\Антон\AppData\Local\Temp\y0W6Na8HUFVS.exe
C:\Users\Антон\AppData\Local\Temp\yupdate-exec-bm.exe
C:\Users\Антон\AppData\Local\Temp\_is9FD7.exe
FirewallRules: [{683CEDF2-43B6-41F2-82FA-6B6085D27088}] => (Allow) C:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{C7D0CC2C-40FE-4695-9411-0DFA79A481F7}] => (Allow) C:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{799DF727-2F30-403E-B6CB-F45CDD33B02B}] => (Allow) C:\Program Files (x86)\360\Total Security\LiveUpdate360.exe
FirewallRules: [{B4AA7AE7-FD91-4E99-BB29-2A9CDC9D4934}] => (Allow) C:\Program Files (x86)\360\Total Security\LiveUpdate360.exe

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

3 июня, 2015

.

Fixlog.txt

3 июня, 2015

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению."

3 июня, 2015

.

ComboFix.rar

3 июня, 2015

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.



KillAll::

 

File::

c:\windows\SYSNATIVE\DRIVERS\iSafeNetFilter.sys

c:\windows\system32\DRIVERS\iSafeNetFilter.sys

c:\windows\system32\DRIVERS\iSafeKrnlBoot.sys

c:\windows\SYSNATIVE\DRIVERS\iSafeKrnlBoot.sys

 

Driver::

iSafeNetFilter

iSafeService

iSafeKrnlBoot

iSafeKrnl

iSafeKrnlKit

iSafeKrnlR3

 

Folder::

c:\program files (x86)\Elex-tech

 

Registry::

 

DDS::

uStart Page = hxxp://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED

mDefault_Page_URL = hxxp://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED

mStart Page = hxxp://www.mystartsearch.com/?type=hppp&ts=1421070113&from=sien&uid=ST1000DM003-9YN162_S1DACYEDXXXXS1DACYED



FileLook::

 

DirLook::

 

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

3 июня, 2015

.

ComboFix.txt

ransom.shade зашифровка файлов

Рекомендуемые сообщения

Arantir414

mike 1

Arantir414

mike 1

Arantir414

mike 1

Arantir414

mike 1

Arantir414

mike 1

Arantir414

mike 1

Arantir414

mike 1

Arantir414

Пожалуйста, войдите, чтобы комментировать

Похожий контент

Обзор

Активность

Магазин

Kaspersky Support Forum