Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Зашифрованы все файлы

goa156
 Поделиться

Рекомендуемые сообщения

goa156

goa156

Опубликовано
Опубликовано

Добрый день!

На компе появилась проблема - ЧЕРНЫЙ рабочий стол и надпись КРАСНЫМИ буквами:
"ВНИМАНИЕ! Все важные файлы на всех дисках вашего компьютера были зашифрованы." + то же на английском.
 
Файлы зашифрованы с расширением .xtbl и на рабочем столе 10 файлов readme в которых написано:
Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
47DC6A957CF6AD2A026C|0
на электронный адрес decode010@gmail.com или decode1110@gmail.com .
Далее вы получите все необходимые инструкции. 
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
47DC6A957CF6AD2A026C|0
to e-mail address decode010@gmail.com or decode1110@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

Очень прошу Вашей помощи!

На зараженном компьютере мной проделано:
1. Проверка с помощью Kaspersky Virus Removal Tool 15.0.19.0 ( + второй раз после обязательной перезагрузки).
(Касперский удалил 1 раз - 10 угроз, 2 раз - 1 угрозу, после повторной перезагрузки все было чисто).
2. Провел диагностику компьютера с помощью утилиты AVZ, согласно Инструкции.


Прикрепленные файлы:KL_syscure.zip

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files\VLC Player GPU+\UsageLog.exe','');
DeleteService('iSafeKrnlBoot');
SetServiceStart('webinstrNewH', 4);
DeleteService('webinstrNewH');
SetServiceStart('iSafeNetFilter', 4);
DeleteService('iSafeNetFilter');
SetServiceStart('iSafeKrnlR3', 4);
DeleteService('iSafeKrnlR3');
SetServiceStart('iSafeKrnlMon', 4);
DeleteService('iSafeKrnlMon');
SetServiceStart('iSafeKrnlKit', 4);
DeleteService('iSafeKrnlKit');
SetServiceStart('iSafeKrnl', 4);
DeleteService('iSafeKrnl');
SetServiceStart('WindowsMangerProtect', 4);
DeleteService('WindowsMangerProtect');
QuarantineFile('C:\windows\system32\Drivers\webinstrNewH.sys','');
QuarantineFile('c:\program files\winzipper\winzipersvc.exe','');
TerminateProcessByName('c:\program files\zaxar\zaxarloader.exe');
QuarantineFile('c:\program files\zaxar\zaxarloader.exe','');
TerminateProcessByName('c:\program files\zaxar\zaxargamebrowser.exe');
QuarantineFile('c:\program files\zaxar\zaxargamebrowser.exe','');
TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
TerminateProcessByName('c:\users\Андрей\appdata\local\kometa\kometaup.exe');
QuarantineFile('c:\users\Андрей\appdata\local\kometa\kometaup.exe','');
TerminateProcessByName('c:\program files\elex-tech\yac\isafetray.exe');
DeleteFile('c:\program files\elex-tech\yac\isafetray.exe','32');
DeleteFile('c:\users\Андрей\appdata\local\kometa\kometaup.exe','32');
DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
DeleteFile('c:\program files\zaxar\zaxargamebrowser.exe','32');
DeleteFile('c:\program files\zaxar\zaxarloader.exe','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\curlpp.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iCommon.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iCommu.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iDskDllPatch.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iImportLib.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\ipcproxy.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeAdless.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeBase.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafebs.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeCheckEngine.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeDisp.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeEngineBase.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeEngineDisp.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnlCall.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnlMonCall.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnlShell.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\isafemadwc.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\isafemc.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeMon.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafenpf.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\isafepxy.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\isaferpt.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\isafesopt.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeSrvMon.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\isafeupbiz.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSvc.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSvc2.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPAutoClean.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPDesk.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPFeedback.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPFloaty.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPMsgCenter.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPNodisturb.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPProtect.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPPush.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPStartupAssist.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iTPVirus.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\libcurl.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\LIBEAY32.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\ouilibx.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\sqlite3.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\SSLEAY32.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\AntiRK.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\filau.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\filcmn.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\filvss.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\fupd.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\lsf.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\tsc.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\twsdk.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\tws\twsupd.dll','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnl.sys','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnlKit.sys','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnlMon.sys','32');
DeleteFile('C:\Program Files\Elex-tech\YAC\iSafeKrnlR3.sys','32');
DeleteFile('C:\windows\system32\DRIVERS\iSafeNetFilter.sys','32');
DeleteFile('C:\windows\system32\Drivers\webinstrNewH.sys','32');
DeleteFile('C:\Program Files\VLC Player GPU+\UsageLog.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\UsageLoader','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\UsageTemp','command');
DeleteFile('C:\Users\A4F7~1\AppData\Local\Temp\UsageTemp.exe','32');
DeleteFile('C:\Users\Андрей\AppData\Local\ConvertAd\ConvertAd.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ConvertAd','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup');
DeleteFile('C:\Users\Андрей\AppData\Local\MediaGet2\mediaget.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MediaGet2','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eTranslator Update','command');
DeleteFile('C:\Users\Андрей\AppData\Roaming\eTranslator\eTranslator.exe','32');
DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\windows\system32\Tasks\APSnotifierPP2','32');
DeleteFile('C:\windows\system32\Tasks\APSnotifierPP1','32');
DeleteFile('C:\windows\system32\Tasks\APSnotifierPP3','32');
DeleteFile('C:\windows\system32\Tasks\LaunchSignup','32');
DeleteFile('C:\Program Files\elex-tech\yac\curlpp.dll','32');
DeleteFile('C:\Program Files\elex-tech\yac\ipcproxy.dll','32');
DeleteFile('C:\Program Files\elex-tech\yac\isafechlp.dll','32');
DeleteFile('C:\Program Files\elex-tech\yac\libcurl.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

goa156

goa156

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.  

bcqr00005.dat,
bcqr00006.dat,
kometaup.exe,
UsageLog.exe,
webinstrNewH.sys,
winzipersvc.exe,
zaxargamebrowser.exe,
zaxarloader.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

protectwindowsmanager.exe

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского

 

Уважаемй thyrex, что мне дальше делать? Заранее спасибо!
 

thyrex

thyrex

Опубликовано
Опубликовано

Не вижу новых логов

 

 

 


protectwindowsmanager.exe
опять явное Adware не детектится
thyrex

thyrex

Опубликовано
Опубликовано

Зачем нам это, если я прошу сделать новые логи с помощью Autologger?

Roman_Five

Roman_Five

Опубликовано
Опубликовано

о да!
такой "красоты" я не видел.

выберите всё найденное в MBAM и отправьте в карантин.
новый лог приложите.

thyrex

thyrex

Опубликовано
Опубликовано

С расшифровкой не поможем

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Shicu
      Ваши файлы были зашифрованы.
      Автор Shicu
      Здравствуйте!
      Прошу помощи.Все файлы зашифровались в белиберду с расширением.xtbl, что делать, я не знаю что случилось, меня дома не было, приехал и вот такие дела, можно ли это как-то победить?
      PS скрины этого вируса прилагаются



      CollectionLog-2015.07.11-00.31.zip
    • sm3r4
      зашифрованы xtbl
      Автор sm3r4
      прикрепил!


      Сообщение от модератора Roman_Five не надо писать в чужую тему. Addition.txt
      FRST.txt
    • Валера Арнаут
      Документы и фото зашифрованы на расширение .xtbl
      Автор Валера Арнаут
      Вот с таким я столкнулся
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 5F2D846811928F32EF13|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 5F2D846811928F32EF13|0 to e-mail address decode010@gmail.com or decode1110@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.   Помогите
    • Lusine Zaqaryan
      Буду очень рад если поможете с расшифровкой файлов
      Автор Lusine Zaqaryan
      Помогите пожалуйста.
      Нужна помощь с расшифровкой 
      README1.txt
      README2.txt
      README3.txt
      README4.txt
      README5.txt
      README6.txt
      README7.txt
    • Руфим Мингалеев
      Зашифровались все файлы в формат .xblt
      Автор Руфим Мингалеев
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      72AB0D14D2F2C2B1945C|0
      на электронный адрес files1147@gmail.com или post100023@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      72AB0D14D2F2C2B1945C|0
      to e-mail address files1147@gmail.com or post100023@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
       
       
       
       
      Что можно сделать?
      arhiv.zip
×
×
  • Создать...