ransom.shade Вирус зашифровал все текстовые документы

9 июня, 2015

Все важные документы были зашифрованы, вордовские документы выглядят набором непонятных символов, формат зашифрованных файлов - XTBL Так же есть текстовой документ в котором написано куда написать чтобы мне все расшифровали, деньги вымогают. " Вместо картинки рабочего стола висит картинка с надписью:"ВНИМАНИЕ! Все важные фалы на всех дисках вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах README.txt, которые можно найти на любом из дисков."

CollectionLog-2015.06.09-14.49.zip

Изменено 9 июня, 2015 пользователем Илюха Нехаев

9 июня, 2015

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Program Files (x86)\Picexa\PicexaSvc.exe','');
DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
QuarantineFile('C:\Program Files (x86)\XTab\SupTab.dll','');
QuarantineFile('c:\progra~2\opera\29.0.1795.60\opera_autoupdatesrv.exe','');
QuarantineFile('C:\iexplore.bat','');
TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
TerminateProcessByName('c:\program files (x86)\xtab\protectservice.exe');
QuarantineFile('c:\program files (x86)\xtab\protectservice.exe','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('c:\program files (x86)\xtab\protectservice.exe','32');
DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('c:\program files (x86)\microsoft\desktoplayer.exe','32');
DeleteFile('c:\progra~2\opera\29.0.1795.60\opera_autoupdatesrv.exe','32');
DeleteFile('C:\Program Files (x86)\XTab\SupTab.dll','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.
Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
Прикрепите этот отчет к своему следующему сообщению.

Сделайте новые логи по правилам

9 июня, 2015

Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке.

У меня нету файла Check_Browser_LNK.log в архиве утилиты ClearLNK только ярлык самой утилиты, где взять этот файл?

Письмо на почту отправил, сказали - Получен неизвестный файл, он будет передан в Вирусную Лабораторию.

Изменено 9 июня, 2015 пользователем Илюха Нехаев

9 июня, 2015

У меня нету файла Check_Browser_LNK.log в архиве утилиты ClearLNK

Где в инструкции написано, что он в архиве этой утилиты? Он есть в папке с Autologger

9 июня, 2015

лог clearlnk

ClearLNK-10.06.2015_00-39.log

9 июня, 2015

А это?

Сделайте новые логи по правилам

9 июня, 2015

Дико извиняюсь, вот

CollectionLog-2015.06.10-00.56.zip

9 июня, 2015

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

9 июня, 2015

вот

Addition.txt

FRST.txt

9 июня, 2015

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=dspp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://okoptil.ru/?utm_source=startpage03&utm_content=723d9c7f0c637b28d803a972c8994e8d
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=dspp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1424054335&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = http://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=blackbear16
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1939319942-3040672557-2085141233-1000 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=ed077272e3f099307cc3aa543f34d0ca&text= <==== ATTENTION
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.mystartsearch.com/?type=sc&ts=1424054323&from=cmi&uid=WDCXWD7500BPVT-24HXZT3_WD-WX71A81Y9055Y9055
CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
CHR HKU\S-1-5-21-1939319942-3040672557-2085141233-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
CHR HKLM-x32\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
OPR StartupUrls: "hxxp://okoptil.ru/?utm_source=startpage03&utm_content=723d9c7f0c637b28d803a972c8994e8d"
OPR Extension: (Переводчик для Chrome 2) - C:\Users\SporKriger\AppData\Roaming\Opera Software\Opera Stable\Extensions\djflhoibgkdhkhhcedjiklpkjnoahfmg [2014-12-24]
S1 qrnfd_1_10_0_8; system32\drivers\qrnfd_1_10_0_8.sys [X]
2015-06-09 17:17 - 2015-06-09 17:17 - 00000000 ____D C:\Users\SporKriger\AppData\Local\Вoйти в Интeрнет
2015-06-09 17:12 - 2015-06-09 17:36 - 00000000 ____D C:\Users\SporKriger\AppData\Local\Kometa
2015-06-09 17:09 - 2015-06-10 00:10 - 00000000 ____D C:\Users\SporKriger\AppData\Local\SystemDir
2015-06-09 06:08 - 2015-06-09 06:08 - 03148854 _____ C:\Users\SporKriger\AppData\Roaming\C37E0852C37E0852.bmp
2015-06-09 06:08 - 2015-06-09 06:08 - 00000901 _____ C:\Users\SporKriger\Desktop\README6.txt
C:\Users\SporKriger\AppData\Local\Temp\66hZxcZma5if.exe
C:\Users\SporKriger\AppData\Local\Temp\8kPDXJeUOSDE.exe
C:\Users\SporKriger\AppData\Local\Temp\cN1iARuYS8Yn.exe
C:\Users\SporKriger\AppData\Local\Temp\FSHd9zoXek8O.exe
C:\Users\SporKriger\AppData\Local\Temp\S7YohPB5kqFS.exe
C:\Users\SporKriger\AppData\Local\Temp\setsearchm.exe
C:\Users\SporKriger\AppData\Local\Temp\startpm.exe
Reboot:

Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

9 июня, 2015

вот

Fixlog.txt

9 июня, 2015

С расшифровкой не поможем.

Как вариант, http://virusinfo.info/showthread.php?t=156188 (создавать тему на Вирусинфо не нужно)

9 июня, 2015

ОК спасибо большое, а комп больше не заражен этим трояном? такое может повториться?

9 июня, 2015

Шифроваться больше ничего не будет

9 июня, 2015

спасибо огромное

ransom.shade Вирус зашифровал все текстовые документы

Рекомендуемые сообщения

Илюха Нехаев

thyrex

Илюха Нехаев

thyrex

Илюха Нехаев

thyrex

Илюха Нехаев

thyrex

Илюха Нехаев

thyrex

Илюха Нехаев

thyrex

Илюха Нехаев

thyrex

Илюха Нехаев

Пожалуйста, войдите, чтобы комментировать

Похожий контент

Обзор

Активность

Магазин

Kaspersky Support Forum