Перейти к содержанию
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

Вирус зашифровал все текстовые документы

Илюха Нехаев
 Поделиться

Рекомендуемые сообщения

Илюха Нехаев Новичок

Илюха Нехаев

Опубликовано
Опубликовано (изменено)

Все важные документы были зашифрованы, вордовские документы  выглядят набором непонятных символов, формат зашифрованных файлов - XTBL  Так же есть текстовой документ в котором написано куда написать чтобы мне все расшифровали, деньги вымогают. " Вместо картинки рабочего стола висит картинка с надписью:"ВНИМАНИЕ! Все важные фалы на всех дисках вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах README.txt, которые можно найти на любом из дисков."

CollectionLog-2015.06.09-14.49.zip

Изменено пользователем Илюха Нехаев
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Program Files (x86)\Picexa\PicexaSvc.exe','');
DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
QuarantineFile('C:\Program Files (x86)\XTab\SupTab.dll','');
QuarantineFile('c:\progra~2\opera\29.0.1795.60\opera_autoupdatesrv.exe','');
QuarantineFile('C:\iexplore.bat','');
TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
TerminateProcessByName('c:\program files (x86)\xtab\protectservice.exe');
QuarantineFile('c:\program files (x86)\xtab\protectservice.exe','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('c:\program files (x86)\xtab\protectservice.exe','32');
DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('c:\program files (x86)\microsoft\desktoplayer.exe','32');
DeleteFile('c:\progra~2\opera\29.0.1795.60\opera_autoupdatesrv.exe','32');
DeleteFile('C:\Program Files (x86)\XTab\SupTab.dll','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
    move.gif
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.

 

Сделайте новые логи по правилам

Ссылка на комментарий
Поделиться на другие сайты
Илюха Нехаев Новичок

Илюха Нехаев

Опубликовано
  • Автор
Опубликовано (изменено)

Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке.

 

У меня нету файла Check_Browser_LNK.log в архиве утилиты ClearLNK только ярлык самой утилиты, где взять этот файл?

Письмо на почту отправил, сказали - Получен неизвестный файл, он будет передан в Вирусную Лабораторию.

Изменено пользователем Илюха Нехаев
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

 

 


У меня нету файла Check_Browser_LNK.log в архиве утилиты ClearLNK
Где в инструкции написано, что он в архиве этой утилиты? Он есть в папке с Autologger
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

B92LqRQ.png

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=dspp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://okoptil.ru/?utm_source=startpage03&utm_content=723d9c7f0c637b28d803a972c8994e8d
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=dspp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = http://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=blackbear16
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=ed077272e3f099307cc3aa543f34d0ca&text= <==== ATTENTION
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.mystartsearch.com/?type=sc&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
CHR HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
CHR HKLM-x32\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
OPR StartupUrls: "hxxp://okoptil.ru/?utm_source=startpage03&utm_content=723d9c7f0c637b28d803a972c8994e8d"
OPR Extension: (Переводчик для Chrome 2) - C:\Users\SporKriger\AppData\Roaming\Opera Software\Opera Stable\Extensions\djflhoibgkdhkhhcedjiklpkjnoahfmg [2014-12-24]
S1 qrnfd_1_10_0_8; system32\drivers\qrnfd_1_10_0_8.sys [X]
2015-06-09 17:17 - 2015-06-09 17:17 - 00000000 ____D C:\Users\SporKriger\AppData\Local\Вoйти в Интeрнет
2015-06-09 17:12 - 2015-06-09 17:36 - 00000000 ____D C:\Users\SporKriger\AppData\Local\Kometa
2015-06-09 17:09 - 2015-06-10 00:10 - 00000000 ____D C:\Users\SporKriger\AppData\Local\SystemDir
2015-06-09 06:08 - 2015-06-09 06:08 - 03148854 _____ C:\Users\SporKriger\AppData\Roaming\C37E0852C37E0852.bmp
2015-06-09 06:08 - 2015-06-09 06:08 - 00000901 _____ C:\Users\SporKriger\Desktop\README6.txt
C:\Users\SporKriger\AppData\Local\Temp\66hZxcZma5if.exe
C:\Users\SporKriger\AppData\Local\Temp\8kPDXJeUOSDE.exe
C:\Users\SporKriger\AppData\Local\Temp\cN1iARuYS8Yn.exe
C:\Users\SporKriger\AppData\Local\Temp\FSHd9zoXek8O.exe
C:\Users\SporKriger\AppData\Local\Temp\S7YohPB5kqFS.exe
C:\Users\SporKriger\AppData\Local\Temp\setsearchm.exe
C:\Users\SporKriger\AppData\Local\Temp\startpm.exe
Reboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Елена9999999
      Вирус-шифровальщик. Возможно ли восстановить документы?
      Автор Елена9999999
      Здравствуйте, 
      На компьютер попал вирус. Теперь все файлы с расширением gxGxvJCWI. Везде требования об их выкупе. Можно ли как-то восстановить файлы? 
    • Miks
      Зашифровали документы на предприятие
      Автор Miks
      Зашифрованые файл.happynewyear@cyberfear.rarAddition.txtFRST.txt
      В пятницу 20 декабря заметил что на несколько пк файлы не открываются. Потом уже понял что подцепили шифровщик.
    • Андрей1566
      зашифрованы базы 1С и документы. Требуют денег.
      Автор Андрей1566
      Ночью были перекодированы все бекапы файлов и баз 1С Так же все рабочие базы. Сами системы не пострадали Пожалуйста раскодируйте по возможности. Есть подозрение, что вирус принес гость, подключившийся к офисной сети
      Addition.txt FRST.txt README.txt
    • Valery030425
      Вирус шифровальщик С77L - зашифрованы сервер и несколько ПК
      Автор Valery030425
      В ночь на 02 апреля предположительно через RDP были атакованы и зашифрованы сервер и несколько пользовательских ПК. Выделенный исполняемый файл, зараженные документы и требования в архиве.FRST.txtAddition.txtShortcut.txt А также логи после запуска утилиты FRST
      Pictures (1).zip
    • BeckOs
      Зашифрованы все файлы
      Автор BeckOs
      На компьютере зашифрованы все файлы. Атака была ночью 
      FRST.txt files.7z
×
×
  • Создать...