ransom.shade зашифрованы xtbl

[sm3r4]

прикрепил!

Сообщение от модератора Roman_Five

не надо писать в чужую тему.

Addition.txt

FRST.txt

[Roman_Five]

внимательно прочитайте и аккуратно выполните указания в теме Порядок оформления запроса о помощи

[sm3r4]

Ваши файлы были зашифрованы.

Чтобы расшифровать их, Вам необходимо отправить код:

BE9EB0A483B23538B5FF|233|2|15

на электронный адрес post8881@gmail.com или post24932@gmail.com .

Далее вы получите все необходимые инструкции.  

Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

 

 

All the important files on your computer were encrypted.

To decrypt the files you should send the following code:

BE9EB0A483B23538B5FF|233|2|15

to e-mail address post8881@gmail.com or post24932@gmail.com .

Then you will receive all necessary instructions.

All the attempts of decryption by yourself will result only in irrevocable loss of your data.

CollectionLog-2015.07.01-22.59.zip

[thyrex]

В архиве не хватает большинства логов. Переделывайте

[sm3r4]

прикрепил

CollectionLog-2015.07.02-01.10.zip

[thyrex]

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Вадим\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','');
QuarantineFile('C:\Users\Вадим\appdata\local\smartweb\swhk.dll','');
QuarantineFile('C:\Users\Вадим\AppData\Local\Temp\nsr49CD.tmp\D1989.dll','');
QuarantineFile('C:\Users\Вадим\AppData\Local\Temp\nsjE10F.tmp\D1989.dll','');
QuarantineFile('C:\Users\Вадим\AppData\Local\Yandex\YandexBrowser\User Data\Default\Cache\f_003543','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-3.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-11.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-10.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','');
QuarantineFile('C:\Users\Вадим\AppData\Roaming\eTranslator\eTranslator.exe','');
TerminateProcessByName('c:\users\Вадим\appdata\local\smartweb\smartwebhelper.exe');
QuarantineFile('c:\users\Вадим\appdata\local\smartweb\smartwebhelper.exe','');
TerminateProcessByName('c:\users\Вадим\appdata\local\mediaget2\mediaget.exe');
TerminateProcessByName('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe');
TerminateProcessByName('c:\users\Вадим\appdata\local\smartweb\smartwebapp.exe');
TerminateProcessByName('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe');
QuarantineFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','');
TerminateProcessByName('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe');
QuarantineFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','');
DeleteFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','32');
DeleteFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','32');
DeleteFile('c:\users\Вадим\appdata\local\smartweb\smartwebapp.exe','32');
DeleteFile('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe','32');
DeleteFile('c:\users\Вадим\appdata\local\mediaget2\mediaget.exe','32');
DeleteFile('c:\users\Вадим\appdata\local\smartweb\smartwebhelper.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windesk Winsearch');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SmartWeb');
DeleteFile('C:\Users\Вадим\AppData\Roaming\eTranslator\eTranslator.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-10.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-11.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-3.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-5.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-7.exe','32');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-7.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-6.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-5_user.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-5.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-3.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-11.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-10_user.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.job','64');
DeleteFile('C:\WINDOWS\Tasks\EBjPYBvIDD5g.job','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-11','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-3','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-5','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\LaunchSignup','64');
DeleteFile('C:\WINDOWS\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\Users\Вадим\AppData\Roaming\mystartsearch\UninstallManager.exe','32');
DeleteFile('C:\Users\Вадим\AppData\Roaming\istartsurf\UninstallManager.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\{9B199DA1-3C35-47AD-9138-EDD329D4C362}','64');
DeleteFile('C:\WINDOWS\system32\Tasks\{DE5BE4DC-A4D4-496C-839B-704ECC83806F}','64');
DeleteFile('C:\Users\Вадим\AppData\Local\Yandex\YandexBrowser\User Data\Default\Cache\f_003543','32');
DeleteFile('C:\Users\Вадим\AppData\Local\Temp\nsjE10F.tmp\D1989.dll','32');
DeleteFile('C:\Users\Вадим\AppData\Local\Temp\nsr49CD.tmp\D1989.dll','32');
DeleteFile('C:\Users\Вадим\appdata\local\smartweb\swhk.dll','32');
DeleteFile('C:\Users\Вадим\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте НОВЫЕ логи ПО ПРАВИЛАМ

[sm3r4]

KLAN-2935456582

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

b19de1f9-0e08-4924-9143-76e3740fd50c-10.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-11.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-3.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-5.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-7.exe - not-a-virus:WebToolbar.Win32.CrossRider.amqa

Это - потенциально опасное ПО. Детектирование файлов будет добавлено в следующее обновление.

D1989.dll,
D1989_0.dll

Вредоносный код в файлах не обнаружен.

eTranslator.exe,
f_003543,
mediahit.update.process.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

smartwebhelper.exe,
swhk.dll - not-a-virus:AdWare.Win32.PriceGong.a

[mike 1]

Сделайте НОВЫЕ логи ПО ПРАВИЛАМ

[sm3r4]

прикрепил

CollectionLog-2015.07.02-18.17.zip

[thyrex]

Сделайте лог полного сканирования МВАМ

[sm3r4]

вот что получилось 

проверка.xml

[thyrex]

Нужен текстовый лог, а не xml-файл 

[sm3r4]

такой?

 

проверка1.txt

[Roman_Five]

выберите всё найденное в и отправьте в карантин. новый лог приложите

[sm3r4]

подскажите как это сделать