Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

вирус зашифровал все файлы в формат XTBL

Ilyarb
 Поделиться

Рекомендуемые сообщения

Ilyarb

Ilyarb

Опубликовано
Опубликовано

Здравствуйте!

Подобных тем тут много, я за помощью со своей проблемой: поймал вирус, теперь на экране черная заставка и надпись "Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы. Подробности вы можете узнать в файлах README.txt, которые можно найти на любом из дисков".

Что делать теперь, как дешифровать файлы?

 

Спасибо за помощь.

CollectionLog-2015.06.18-19.57.zip

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Администратор\AppData\Roaming\oursurfing\UninstallManager.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','');
QuarantineFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\utility.exe','');
DelBHO('{cf07d83b-d1b0-4642-b955-e7eb9b9cf5b3}');
DelBHO('{51D26BB4-4D2C-4AE4-9873-5FF41B6DED1F}');
QuarantineFile('C:\Program Files\Edu App\EduAppbho.dll','');
QuarantineFile('C:\Program Files\XTab\SupTab.dll','');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','');
QuarantineFile('C:\Program Files\gmsd_ru_254\gmsd_ru_254.exe','');
QuarantineFile('C:\Program Files\Zaxar\timetasks.exe','');
QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
QuarantineFile('C:\Program Files\Zaxar\ZaxarGameBrowser.exe','');
QuarantineFile('C:\Program Files\Kinoroom Browser\krbrowser.exe','');
QuarantineFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','');
QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
DeleteService('TS888');
DeleteService('QMUdisk');
DeleteService('innfd_1_10_0_14');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\9026C0B0-1432487617-11DE-BBDA-812205190024\nsp9FD0.tmpfs','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\9026C0B0-1432487617-11DE-BBDA-812205190024\jnsfCBC6.tmp','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\9026C0B0-1432487617-11DE-BBDA-812205190024\hnskE189.tmp','');
DeleteService('kebuxyhu');
DeleteService('jyzyqumy');
DeleteService('gyrovono');
DeleteFile('C:\Users\Администратор\AppData\Roaming\9026C0B0-1432487617-11DE-BBDA-812205190024\hnskE189.tmp','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\9026C0B0-1432487617-11DE-BBDA-812205190024\jnsfCBC6.tmp','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\9026C0B0-1432487617-11DE-BBDA-812205190024\nsp9FD0.tmpfs','32');
DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.9.16349.225\QMUdisk.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.9.16349.225\TS888.sys','32');
DeleteFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_2E97E79495C2EE918393804007FA94E4');
DeleteFile('C:\Program Files\Kinoroom Browser\krbrowser.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windesk Winsearch');
DeleteFile('C:\Program Files\Zaxar\ZaxarGameBrowser.exe','32');
DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
DeleteFile('C:\Program Files\Zaxar\timetasks.exe','32');
DeleteFile('C:\Program Files\gmsd_ru_254\gmsd_ru_254.exe','32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','KRB Updater Utility');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_254');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Timestasks');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarGameBrowser');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\Program Files\XTab\SupTab.dll','32');
DeleteFile('C:\Program Files\Edu App\EduAppbho.dll','32');
DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Windows\Tasks\Crossbrowse.job','32');
DeleteFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\utility.exe','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
DeleteFile('C:\Windows\system32\Tasks\Crossbrowse','32');
DeleteFile('C:\Windows\system32\Tasks\extsetup','32');
DeleteFile('C:\Windows\system32\Tasks\KRB Updater Utility','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','32');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','32');
DeleteFile('C:\Windows\system32\Tasks\{74427B9B-7939-4B66-A639-2D9341314463}','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\oursurfing\UninstallManager.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
     
    move.gif
     
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.

 

Сделайте новые логи по правилам

Ilyarb

Ilyarb

Опубликовано
  • Автор
Опубликовано

Здравствуйте, сделал все как вы сказали, результаты прилагаю:

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

extsetup.exe,
krbupdater-utility.exe,
safebrowser.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

extsetup.exe,
krbupdater-utility.exe,
safebrowser.exe

A set of unknown files has been received. They will be sent to the Virus Lab.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"

 

KLAN-2884283324

 

ClearLNK-20.06.2015_01-21.log

CollectionLog-2015.06.20-02.00.zip

thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
HKLM\...\Run: [gmsd_ru_250] => [X]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.oursurfing.com/?type=hp&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oursurfing.com/web/?type=ds&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.oursurfing.com/?type=hp&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.oursurfing.com/web/?type=ds&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&q={searchTerms}
HKU\S-1-5-21-3640790549-646794856-1421481807-500\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oursurfing.com/web/?type=dspp&ts=1432488352&z=478797c557e231628442217g0zec3ofzfbdb5ccw4g&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&q={searchTerms}
HKU\S-1-5-21-3640790549-646794856-1421481807-500\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.ru/cnt/10445?gp=blackbear2
HKU\S-1-5-21-3640790549-646794856-1421481807-500\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://www.msn.com/ru-ru/?ocid=iehp
HKU\S-1-5-21-3640790549-646794856-1421481807-500\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.oursurfing.com/web/?type=dspp&ts=1432488352&z=478797c557e231628442217g0zec3ofzfbdb5ccw4g&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&q={searchTerms}
HKU\S-1-5-21-3640790549-646794856-1421481807-500\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.oursurfing.com/?type=hp&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.oursurfing.com/web/?type=ds&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.oursurfing.com/web/?type=ds&ts=1432492486&z=70eafc5a73dbf502ba4c122gbzbc5o7z5t3o7z2b0q&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3640790549-646794856-1421481807-500 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.oursurfing.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884&ts=1432492500&type=default&q={searchTerms}
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files\IObit\IObit Uninstaller\UninstallExplorer32.dll No File
Handler: ms-help - {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll No File
Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.oursurfing.com/?type=sc&ts=1432488340&z=1359608a02a04d86855c326gazfc5ocz8b3bdcfcdt&from=cmi&uid=WDCXWD2500AAJS-60M0A0_WD-WMAV2L00288402884
CHR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Local\Google\Chrome\User Data\Default\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-06-16]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-06-19]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\denjcdefjebbmlihdoojnebochnkgcin [2015-05-27]
2015-06-10 23:03 - 2015-06-10 23:03 - 04320054 _____ C:\Users\Администратор\AppData\Roaming\5DD790C15DD790C1.bmp
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README9.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README8.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README7.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README6.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README5.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README4.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README3.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README2.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README10.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Администратор\Desktop\README1.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README9.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README8.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README7.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README6.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README5.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README4.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README3.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README2.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README10.txt
2015-06-10 23:03 - 2015-06-10 23:03 - 00000901 _____ C:\Users\Public\Desktop\README1.txt
2015-06-10 14:33 - 2015-06-17 21:27 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-06-10 14:33 - 2015-06-17 21:27 - 00000000 __SHD C:\ProgramData\Windows
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README9.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README8.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README7.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README6.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README5.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README4.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README3.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README2.txt
2015-06-10 14:33 - 2015-06-10 14:33 - 00000901 _____ C:\README10.txt
2015-05-27 22:22 - 2015-05-27 22:22 - 00000000 ____D C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Обнови Софт
2015-05-27 22:22 - 2015-05-27 22:22 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Обнови Софт
2015-05-25 23:12 - 2015-05-25 23:12 - 00000000 ____D C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\AnyProtect PC Backup
2015-05-25 23:10 - 2015-05-25 23:10 - 00613255 _____ (CMI Limited) C:\Users\Администратор\AppData\Local\nsiB3A7.tmp
2015-05-24 21:51 - 2015-06-17 20:33 - 00000000 ____D C:\Users\Администратор\AppData\Local\Kometa
2015-05-24 21:48 - 2015-05-24 21:48 - 00000000 ____D C:\Users\Администратор\AppData\Local\Вoйти в Интeрнет
2015-05-24 21:46 - 2015-06-19 16:58 - 00000000 ____D C:\Users\Все пользователи\KRB Updater Utility
2015-05-24 21:46 - 2015-06-19 16:58 - 00000000 ____D C:\ProgramData\KRB Updater Utility
2015-05-24 21:46 - 2015-05-24 21:46 - 00001922 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Kinoroom Browser.lnk
2015-05-24 21:45 - 2015-05-25 22:34 - 00000000 ____D C:\Program Files\Kinoroom Browser
2015-05-24 21:44 - 2015-05-24 21:44 - 00000000 ____D C:\Users\Администратор\AppData\Local\Поиcк в Интeрнете
2015-05-24 21:42 - 2015-05-24 21:42 - 00613255 _____ (CMI Limited) C:\Users\Администратор\AppData\Local\nsu3570.tmp
2015-05-24 20:52 - 2015-05-24 20:52 - 00613255 _____ (CMI Limited) C:\Users\Администратор\AppData\Local\nsp9676.tmp
2015-05-24 20:52 - 2015-05-24 20:52 - 00000000 __SHD C:\Users\Администратор\AppData\Roaming\AnyProtectEx
2015-05-24 20:52 - 2015-05-24 20:52 - 00000000 ____D C:\Users\Администратор\AppData\Local\Windesk_Winsearch
2015-05-24 20:52 - 2015-05-24 20:52 - 00000000 ____D C:\Users\Администратор\AppData\Local\globalUpdate
2015-05-24 20:51 - 2015-05-24 20:51 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Crossbrowse
2015-05-24 20:50 - 2015-05-24 20:50 - 00000000 ____D C:\Users\Администратор\SupTab
2015-05-24 20:39 - 2015-05-24 20:39 - 00030392 _____ (Tencent) C:\Windows\system32\Drivers\TS888.sys
2015-05-24 20:26 - 2015-05-24 20:26 - 00000000 ____D C:\Users\Все пользователи\IHProtectUpDate
2015-05-24 20:26 - 2015-05-24 20:26 - 00000000 ____D C:\ProgramData\IHProtectUpDate
2015-05-24 20:25 - 2015-05-24 20:25 - 00000000 ____D C:\Users\Все пользователи\TXQMPC
2015-05-24 20:25 - 2015-05-24 20:25 - 00000000 ____D C:\ProgramData\TXQMPC
2015-05-24 20:16 - 2015-05-24 20:15 - 00067896 _____ (????) C:\Windows\system32\TSSK.sys
2015-05-24 20:15 - 2015-06-10 22:59 - 00000000 ____D C:\Users\Администратор\AppData\Local\cache
2015-05-24 20:15 - 2015-05-24 20:27 - 00000000 ____D C:\Users\Администратор\AppData\Roaming\Tencent
2015-05-24 20:15 - 2015-05-24 20:25 - 00000000 ____D C:\Users\Все пользователи\Tencent
2015-05-24 20:15 - 2015-05-24 20:25 - 00000000 ____D C:\ProgramData\Tencent
2015-05-24 20:15 - 2015-05-24 20:15 - 00000000 ____D C:\Program Files\Tencent
C:\Users\Администратор\AppData\Local\Temp\475.exe
C:\Users\Администратор\AppData\Local\Temp\cOnH8g2UCEl3.exe
C:\Users\Администратор\AppData\Local\Temp\FnHaJMYSk4vA.exe
C:\Users\Администратор\AppData\Local\Temp\g5OQM3zeywSI.exe
C:\Users\Администратор\AppData\Local\Temp\gedMLmej77vk.exe
C:\Users\Администратор\AppData\Local\Temp\HYxoEBqH0lxQ.exe
C:\Users\Администратор\AppData\Local\Temp\libeay32.dll
C:\Users\Администратор\AppData\Local\Temp\MailRuUpdater.exe
C:\Users\Администратор\AppData\Local\Temp\qqpcmgr_v10.9.16349.225_71967_Silence.exe
C:\Users\Администратор\AppData\Local\Temp\ssleay32.dll
C:\Users\Администратор\AppData\Local\Temp\Uninstall.exe
C:\Users\Администратор\AppData\Local\Temp\WWC8rkLp0T3r.exe
C:\Users\Администратор\AppData\Local\Temp\YeENgFJ1ceUX.exe
C:\Users\Администратор\AppData\Local\Temp\YUwg7HNKd4io.exe
Task: {0B8EEBF3-1E09-4C6D-B072-190DB9706C9A} - \extsetup No Task File <==== ATTENTION
Task: {167B94D3-3B14-45B6-9CD8-5E8E38F3DBB7} - \Microsoft\Windows\SafeBrowser No Task File <==== ATTENTION
Task: {42E5E02E-E245-48D9-948B-6DA7B38E622B} - \KRB Updater Utility No Task File <==== ATTENTION
Task: {69E1B79D-37A5-425B-8D7E-23AC0DBBC9D3} - \Microsoft\Windows\extsetup No Task File <==== ATTENTION
Task: {AC65C9F0-9923-4010-949D-0E489CEA66F1} - \SmartWeb Upgrade Trigger Task No Task File <==== ATTENTION
Task: {B4531178-2848-4678-B020-C8F20CEA9C78} - \SafeBrowser No Task File <==== ATTENTION
Task: {C353217E-ED06-445F-B4A9-B51CE3EF666B} - \{74427B9B-7939-4B66-A639-2D9341314463} No Task File <==== ATTENTION
Reboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

thyrex

thyrex

Опубликовано
Опубликовано

Мусор почистили.

 

С расшифровкой не поможем.

 

По имеющейся информации техподдержка ЛК оказывает индивидуально помощь в расшифровке обладателям действующей лицензии

Ilyarb

Ilyarb

Опубликовано
  • Автор
Опубликовано

Спасибо!

Поясните пожалуйста, что делать дальше чтоб расшифровали файлы? Если все правильно, то касперский к меня лицензионный. Какие дальнейшие мои шаги?

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Knuckles
      Все важные файлы на всех дисках вашего компьютера были зашифрованы
      Автор Knuckles
      Здравствуйте! Вообщем такая проблема все графические, текстовые документы, а также музыка и др. получили расширение .xtbl
      Еще появились readme документы с таким содержанием:
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 770E180F99B7F0A0BB4B|0 на электронный адрес files1147@gmail.com или post100023@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 770E180F99B7F0A0BB4B|0 to e-mail address files1147@gmail.com or post100023@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.   Как быть? CollectionLog-2015.06.23-21.20.zip
    • миха76
      Поймал вирус-шифровщик
      Автор миха76
      Помогите...
      Логи и файл с угрозой в приложение
      CollectionLog-2015.06.24-22.02.zip
      README9.txt
    • LocoTheSecret
      Шифрованные файлы, xtbl
      Автор LocoTheSecret
      В общем сидел я недавно,  играл себе в террарию с друзьями по сети, как вдруг у меня начал зависать комп, ну подумал я бывает, играл, играл, пришло время закрыть ее и на рабочем столе я увидел файлы REEDME1-10:
       
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      4356082248575D74FA16|0
      на электронный адрес decode010@gmail.com или decode1110@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
      Далее увидел что все файлы реально зашифрованы, чтож, подумал я на то, что с утра тем днем, я готовился к защите диплома и читал рефераты, ну думал там и подцепил, к тому же антивируса не было, ну пришлось сносить весь винчестер, за одно и винду поменял и антивирус установил - КИС. Было это все 2 дня назад
      Ну, на компьютере у меня теперь 3 игры и софт на С диске, та же террария, ага представляете, ну вот сижу я такой ее снова играю с друзьями, а антивирус вырубил, ну вроде все свои, все чистое, ну и комп залагал как тогда, зашел в диспетчер задач, там процесс 9EF1.tmp, я его закрыл, начал проверять ЖД, ну и файлы все зашифровались опять, благо их не очень много, короче запустил каспера, проверочка, пара троянов удалилось, мультигенерик под crss и еще там какой-то, террарию я первом делом проверил, ну саму папку, там нечего не было, уф в общем не знаю я, закидоваю логи, буду признателен, за какую нибудь помощь.
       
      CollectionLog-2015.06.24-20.41.zip
    • Сава
      Файлы зашифрованы
      Автор Сава
      Добрый день, возникла проблема
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 649BCB4DE5CB3267B4B0|286|2|2 на электронный адрес files1147@gmail.com или post100023@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации. (и так же на английском)    Прикрепляю лог проверки.   Заранее благодарю за помощь!   CollectionLog-2015.06.24-19.20.zip
    • Romakasi1988
      Дешифровка файлов
      Автор Romakasi1988
      Расшифровка файлов в формате XTBL
      CollectionLog-2015.06.24-14.35.zip
×
×
  • Создать...