Перейти к содержанию

заражен шифровальщиком VAULT

Volcanodns
 Поделиться

Рекомендуемые сообщения

Volcanodns

Volcanodns

Опубликовано
Опубликовано

Здравствуйте, заразился компьютер и зашифровались данные помогите пожалуйста

 

В архиве файлы с папки темп и несколько файлов зашифрованных, праоль на архив 123

Files.rar

mike 1

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{896D4FCB-521E-4FB9-B91B-6644E45AB1E9}.exe','');
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{724118D5-9874-42EE-8893-E8C13739FE96}.exe','');
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{695DADFA-0826-4DBB-9799-E8B0AFBEA999}.exe','');
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898}.exe','');
 QuarantineFile('C:\Users\buh\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\extsetup.exe','');
 QuarantineFile('C:\Users\buh\AppData\Roaming\bacd8dc453cf5b5c.hta','');
 QuarantineFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
 QuarantineFile('C:\Users\buh\AppData\Local\Kometa\Application\kometa.exe','');
 QuarantineFile('C:\Program Files\Betcat\WBDesktop.Updater.exe','');
 StopService('WebCake Desktop Updater');
 DeleteService('WebCake Desktop Updater');
 TerminateProcessByName('c:\users\buh\appdata\roaming\betcat\webcakedesktop.exe');
 QuarantineFile('c:\users\buh\appdata\roaming\betcat\webcakedesktop.exe','');
 TerminateProcessByName('c:\program files\betcat\wbdesktop.updater.exe');
 QuarantineFile('c:\program files\betcat\wbdesktop.updater.exe','');
 DeleteFile('c:\program files\betcat\wbdesktop.updater.exe','32');
 DeleteFile('c:\users\buh\appdata\roaming\betcat\webcakedesktop.exe','32');
 DeleteFile('C:\Program Files\Betcat\WBDesktop.Updater.exe','32');
 DeleteFile('C:\Users\buh\AppData\Local\Kometa\Application\kometa.exe','32');
 DeleteFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser');
 DeleteFile('C:\Users\buh\AppData\Roaming\bacd8dc453cf5b5c.hta','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','bbfd3255');
 DeleteFile('C:\Windows\Tasks\DigitalSite.job','32');
 DeleteFile('C:\Windows\system32\Tasks\extsetup','32');
 DeleteFile('C:\Windows\system32\Tasks\Kinoroom Browser','32');
 DeleteFile('C:\Windows\system32\Tasks\KRB Updater Utility','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\extsetup','32');
 DeleteFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\KRBUUS\KRB Updater Utility Service','32');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','32');
 DeleteFile('C:\Users\buh\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Safebrowser','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898}.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898}','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{695DADFA-0826-4DBB-9799-E8B0AFBEA999}.exe','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{724118D5-9874-42EE-8893-E8C13739FE96}.exe','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{896D4FCB-521E-4FB9-B91B-6644E45AB1E9}.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{896D4FCB-521E-4FB9-B91B-6644E45AB1E9}','32');
 DeleteFile('C:\Windows\system32\Tasks\{724118D5-9874-42EE-8893-E8C13739FE96}','32');
 DeleteFile('C:\Windows\system32\Tasks\{695DADFA-0826-4DBB-9799-E8B0AFBEA999}','32');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)
 
 
Сделайте новые логи Автологгером. 
 
 
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.

 

mike 1

mike 1

Опубликовано
Опубликовано

По какой причине?

Volcanodns

Volcanodns

Опубликовано
  • Автор
Опубликовано
  • CollectionLog-2015.06.03-00.14.zip

    Загрузка не удалась. Пожалуйста сообщите об этом администрации форума.

 

mike 1

mike 1

Опубликовано
Опубликовано

Загрузите на rghost, а здесь напишите ссылку на загрузку. 

Volcanodns

Volcanodns

Опубликовано
  • Автор
Опубликовано

http://rghost.ru/7c8vv4XqD  - ссылка на логи

 

 

Запрос на исследование вредоносного файла [KLAN-2825013453]

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

bacd8dc453cf5b5c.hta - Trojan-Ransom.BAT.Scatter.ar

Детектирование файла будет добавлено в следующее обновление.

extsetup.exe,
kometa.exe,
safebrowser.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

WBDesktop.Updater.exe

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed. 

bacd8dc453cf5b5c.hta - Trojan-Ransom.BAT.Scatter.ar

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

extsetup.exe,
kometa.exe,
safebrowser.exe

A set of unknown files has been received. They will be sent to the Virus Lab.

WBDesktop.Updater.exe

No malicious code was found in this file.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"

mike 1

mike 1

Опубликовано
Опубликовано

Эти файлы восстановите из карантина AdwCleaner.

Файл Удалено : C:\Users\buh\AppData\Local\Temp\CONFIRMATION.KEY
Файл Удалено : C:\Users\buh\AppData\Local\Temp\VAULT.KEY
Файл Удалено : C:\Users\buh\AppData\Roaming\CONFIRMATION.KEY
Файл Удалено : C:\Users\buh\AppData\Roaming\VAULT.KEY
Файл Удалено : C:\Users\buh\Desktop\VAULT.KEY
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

3munStB.png
mike 1

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-3388047225-1968883485-1981344065-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-3388047225-1968883485-1981344065-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://sindex.biz/?company=5
SearchScopes: HKU\S-1-5-21-3388047225-1968883485-1981344065-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
FF DefaultSearchEngine: GoSearch
FF SelectedSearchEngine: GoSearch
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-05-15]
OPR Extension: (No Name) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\baohinapilmkigilbbbcccncoljkdpnd [2015-04-15]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-04-09]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\denjcdefjebbmlihdoojnebochnkgcin [2015-05-13]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\dmglolhoplikcoamfgjgammjbgchgjdd [2015-05-07]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-04-21]
2015-04-02 16:58 - 2015-04-04 08:56 - 00000258 __RSH () C:\Users\buh\ntuser.pol
2015-04-02 16:55 - 2015-04-02 17:02 - 00000000 ____D () C:\Users\buh\AppData\Roaming\VK Downloader
2015-04-02 16:25 - 2015-04-02 16:25 - 00000000 ____D () C:\Users\buh\AppData\Local\Вoйти в Интeрнет
2015-04-02 16:22 - 2015-04-04 09:56 - 00000008 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-04-02 16:22 - 2015-04-04 09:56 - 00000008 __RSH () C:\ProgramData\ntuser.pol
2015-04-02 16:18 - 2015-04-02 16:18 - 00000000 ____D () C:\Users\buh\AppData\Local\Поиcк в Интeрнете
C:\Users\buh\AppData\Local\Temp\1YYSGtp5j2vi.exe
C:\Users\buh\AppData\Local\Temp\2MxnlWFXhODq.exe
C:\Users\buh\AppData\Local\Temp\3f1O0E5gOfI2.exe
C:\Users\buh\AppData\Local\Temp\6Y26ACE8cqBR.exe
C:\Users\buh\AppData\Local\Temp\8T7aVCzNCncB.exe
C:\Users\buh\AppData\Local\Temp\a3uFNXHtmLTJ.exe
C:\Users\buh\AppData\Local\Temp\AqBhsfRRaaIl.exe
C:\Users\buh\AppData\Local\Temp\df6qE1arYRAZ.exe
C:\Users\buh\AppData\Local\Temp\KMqQ98CdoHll.exe
C:\Users\buh\AppData\Local\Temp\M3FW2N9kxBqV.exe
C:\Users\buh\AppData\Local\Temp\MC7ArLHvkGkm.exe
C:\Users\buh\AppData\Local\Temp\pq4dbPx4EA6U.exe
C:\Users\buh\AppData\Local\Temp\PyY03iat4ypj.exe
C:\Users\buh\AppData\Local\Temp\TRIoE8kSJ7V2.exe
C:\Users\buh\AppData\Local\Temp\VwZdtqavY8zW.exe
C:\Users\buh\AppData\Local\Temp\W5ui8dFZymfF.exe
C:\Users\buh\AppData\Local\Temp\zjU7w5m5GbC7.exe
Task: {570A754E-4DE3-4515-BEA3-0DBD50D48AB4} - \{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898} No Task File <==== ATTENTION
Task: {88B2110A-374E-4452-AF69-D1C4A78D76E7} - \{896D4FCB-521E-4FB9-B91B-6644E45AB1E9} No Task File <==== ATTENTION
Task: {A41E34A5-6AC8-4412-823B-70733FECC597} - \Microsoft\Windows\KRBUUS\KRB Updater Utility Service No Task File <==== ATTENTION
Task: {A4AD621F-D2DD-4D34-AE48-172473A4FFA2} - \Safebrowser No Task File <==== ATTENTION
Task: {A93B0A39-E806-4B07-AD4D-D39C92EB4489} - \extsetup No Task File <==== ATTENTION
Task: {BDC18AB1-68B9-46F8-BD10-28620035D2EF} - \{724118D5-9874-42EE-8893-E8C13739FE96} No Task File <==== ATTENTION
Task: {CD2FF804-E088-4727-978B-E60C55BDCA8A} - \Kinoroom Browser No Task File <==== ATTENTION
Task: {D845C54E-71BB-4D23-A282-F680A3877C39} - \Microsoft\Windows\extsetup No Task File <==== ATTENTION
Task: {E7CF8EC1-A74C-47AD-B622-D5B842B3CC26} - \{695DADFA-0826-4DBB-9799-E8B0AFBEA999} No Task File <==== ATTENTION
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Kinoroom Browser.lnk]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^KRB Updater Utility.lnk]
FirewallRules: [{D09FF5AA-A2D6-480B-91C9-5D265FCEF72A}] => (Allow) C:\Users\buh\AppData\Local\Kometa\Application\kometa.exe
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
 
 
mike 1

mike 1

Опубликовано
Опубликовано

Логи в порядке. С расшифровкой не поможем.

Volcanodns

Volcanodns

Опубликовано
  • Автор
Опубликовано

а кто поможет? ) и зачем тогда надо было так мучить ? 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • dmitri11
      Vault шифровальщик
      Автор dmitri11
      Добрый день, проблема: вирус зашифровал файлы-фотографии jpeg. Большая просьба помочь расшифровать, вознаграждение гарантирую.
       

      Сообщение от модератора Mark D. Pearlstone Внимательно читайте правила разделов. Евгений Касперский не помогает вылечиться от вирусов и не оказывает помощь по продуктам.
    • jelis
      вирус вымогатель restoredz4xpmuqr.onion
      Автор jelis
      здравствуйте
      прошу помощи в удалении вируса шифровальщика и расшифровки защифрованных файлов
       
      требования вируса 
      Ваши рабочие документы и базы данных были зашифрованы и переименованы в формат .vаult Для их восстановления необходимо получить уникальный ключ ПРОЦЕДУРА ПОЛУЧЕНИЯ КЛЮЧА: КРАТКО 1. Зайдите на наш веб-ресурс 2. Гарантированно получите Ваш ключ 3. Восстановите файлы в прежний вид ДЕТАЛЬНО Шаг 1: Скачайте Tor браузер с официального сайта: https://www.torproject.org Шаг 2: Используя Tor браузер посетите сайт: http://restoredz4xpmuqr.onion Шаг 3: Найдите Ваш уникальный VAULT.KEY на компьютере - это Ваш ключ к личной клиент-панели. Не потеряйте его Авторизируйтесь на сайте используя ключ VAULT.KEY Перейдите в раздел FAQ и ознакомьтесь с дальнейшей процедурой STEP 4: После получения ключа, Вы можете восстановить файлы используя наше ПО с открытым исходным кодом или же безопасно использовать своё ДОПОЛНИТЕЛЬНО a) Вы не сможете восстановить файлы без уникального ключа (который безопасно хранится на нашем сервере) Если Вы не можете найти Ваш VAULT.KEY, поищите во временной папке c) Ваша стоимость восстановления не окончательная Дата блокировки: 25.03.2015 ( 9:08) на сайте https://www.nomoreransom.org/ru/index.html по адресу сайта вымогателя нашел утилиту которая вроде как должна расшифровать файлы но при запуске они выдает ошибки
       
       
      логи сканирования
      CollectionLog-2019.10.27-00.32.zip
    • Jonys
      Вирус Vault
      Автор Jonys
      Здравствуйте, случилась беда откуда не ждали. Жена открыла письмо и почти все файлы на компьютере закодировались с расширением .vault.
      Помогите пожалуйста спасти данные, прикладываю логи 
       
       CollectionLog-2018.01.31-11.24.zip

    • kvv
      Открыл архив из эл. почты, теперь все документы и медиа файлы зашифрованы Vault
      Автор kvv
      Здравствуйте!
      Открыл архив из электронной почты ( этой файлик вложил во вложение с именем "Заявка1...."),
      После чего подозрительно заработал винт, и теперь все документы и медиа файлы зашифрованы
      VAUL вирусом
      Просканировал утилитой AutoLogger ( Отчет во вложении)
      Помогите пожалуйста расшифровать файлы.
      Константин
       
      ВНИМАНИЕ в ФАЙЛЕ Заявка(1)_Информ. по доставке.zip   ВИРУС!!!! Не Качайте его без дела!
       
      пример зашифрованного файла во вложении. Засунул его в архив, так как не всталялся.."Вы не можете загружать файлы подобного типа"[/size]
      CollectionLog-2016.12.13-12.11.zip


      СЕТКА.jpg.rar
    • depresnak
      Зашифровало файлы в формате VAULT
      Автор depresnak
      Здравствуйте. Зашифровало  файлы в формате VAULT, Помогите расшифровать
       
      CollectionLog-2016.12.06-16.38.zip
×
×
  • Создать...