Перейти к содержанию

Вирус зашифровал файлы, расширение xtbl

korobok
 Поделиться

Рекомендуемые сообщения

korobok

korobok

Опубликовано
Опубликовано

На рабочем столе вместо фонового рисунка на чёрном фоне красными буквами:
Внимание!
Все важные файлы на всех дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt которые можно найти на любом из дисков.
Ниже тоже самое только на английском языке.
 
Фыйлы с фотографиями, видео и документами зашифровывались в абракадабру с расширением xtbl
Вот пример: ++km35rGHsZkH-E2X4LOx4lBUQHmIu65J9m6oqI1mRM=.89D82902BF4F4E0F1C9C.xtbl
У всех зашифрованных файлов одинаковая последняя часть названия =.89D82902BF4F4E0F1C9C.xtbl
Файлов readme.txt о которых говориться в сообщении я не обнаружил.

CollectionLog-2015.07.01-17.17.zip

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\саня\AppData\Roaming\newSI_507\s_inst.exe','');
QuarantineFile('C:\Users\саня\AppData\Roaming\newSI_506\s_inst.exe','');
DelBHO('{375D77F1-EA02-4D3B-976C-79CAA527F956}');
QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
QuarantineFile('C:\Users\саня\AppData\Local\Yandex\browser.bat','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
DeleteFile('C:\Users\саня\AppData\Local\Yandex\browser.bat','32');
DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Users\саня\AppData\Roaming\newSI_506\s_inst.exe','32');
DeleteFile('C:\Windows\system32\Tasks\newSI_506','64');
DeleteFile('C:\Windows\system32\Tasks\newSI_507','64');
DeleteFile('C:\Users\саня\AppData\Roaming\newSI_507\s_inst.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
    move.gif
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.

 

Сделайте НОВЫЕ логи ПО ПРАВИЛАМ

korobok

korobok

Опубликовано
  • Автор
Опубликовано (изменено)

При выполнении первой части скрипта комп выдал экран смерти с ошибкой 0x0000007e и после включения выдал сообщение "Система восстановлена после ошибки"

Выполнил еще раз первую часть скрипта и комп нормально перезагрузился.

Выполнил вторую часть скрипта и отослал файл.

Получил ответ.

KLAN-2938101153

quarantine.zip

Этот файл повреждён.

 

Повторное выполнение вышеуказанных действий, так же создают файл quarantine.zip который внутри пустой.

 

Да и еще перед тем как сюда обратиться я делал проверку doctor web cureit может с него нужно брать карантин?

ClearLNK-02.07.2015_21-20.log

Изменено пользователем korobok
thyrex

thyrex

Опубликовано
Опубликовано

 

 


Просто не знал, что каждый раз нужно делать новый лог.
Так если в конце сообщения №2 об этом написано было...

 

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
Task: {53EFFF16-2A98-4D04-AAAE-772C2F033120} - \newSI_506 No Task File <==== ATTENTION
Task: {FA6A7A85-A6AF-4C6C-A57B-884968A82BF4} - \newSI_507 No Task File <==== ATTENTION
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
GroupPolicy-x32: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-1506907465-1843776868-1267380130-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File

BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} ->  No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File

Toolbar: HKU\S-1-5-21-1506907465-1843776868-1267380130-1000 -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c2903eb4d099e2112910404cb2632949&text= <==== ATTENTION

FF Plugin-x32: @tools.google.com/Google Update;version=3 -> C:\Program Files (x86)\Google\Update\1.3.26.9\npGoogleUpdate3.dll No File
FF Plugin-x32: @tools.google.com/Google Update;version=9 -> C:\Program Files (x86)\Google\Update\1.3.26.9\npGoogleUpdate3.dll No File

CHR HKU\S-1-5-21-1506907465-1843776868-1267380130-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [bfefdmepaiiimfhbgneijclbnailbghl] - C:\Users\саня\AppData\Local\Google\Chrome\User Data\Extensions_packages\bfefdmepaiiimfhbgneijclbnailbghl.crx [Not Found]
CHR HKU\S-1-5-21-1506907465-1843776868-1267380130-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pepjgkdpkihjnbdaggonbpphlfkbhdli] - C:\Users\саня\AppData\Local\Google\Chrome\User Data\Extensions_packages\pepjgkdpkihjnbdaggonbpphlfkbhdli.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [doadjlnfphkefdhhaaihkmagfobhcbkc] - C:\Program Files (x86)\Аудио и видео скачивание\avdownloader-sk.crx [Not Found]

CHR HKLM-x32\...\Chrome\Extension: [hphehadppenpmajgnkjdcopcfijjegaf] - C:\Program Files (x86)\Jump Flip\hphehadppenpmajgnkjdcopcfijjegaf.crx [Not Found]

CHR HKLM-x32\...\Chrome\Extension: [nkcpopggjcjkiicpenikeogioednjeac] - C:\Users\саня\AppData\Local\Temp\nkcpopggjcjkiicpenikeogioednjeac.crx [Not Found]

S2 gupdate; "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /svc [X]
S3 gupdatem; "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /medsvc [X]

2015-06-29 20:24 - 2015-06-29 20:24 - 02545698 _____ C:\Users\саня\AppData\Roaming\5C6D10B45C6D10B4.bmp
2015-06-28 14:29 - 2015-07-01 14:34 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-06-28 14:29 - 2015-07-01 14:34 - 00000000 __SHD C:\ProgramData\Windows

2015-07-01 14:35 - 2014-10-05 13:31 - 00000000 ____D C:\Users\саня\AppData\Roaming\newSI_507
2015-07-01 14:35 - 2014-10-05 13:31 - 00000000 ____D C:\Users\саня\AppData\Roaming\newSI_506
2015-07-01 14:35 - 2014-04-29 11:18 - 00000000 ____D C:\Users\саня\AppData\Roaming\newSI_9
2015-07-01 14:35 - 2014-04-29 11:18 - 00000000 ____D C:\Users\саня\AppData\Roaming\newSI_2

C:\Users\саня\AppData\Local\Temp\KB40C32177ACD18758.exe
C:\Users\саня\AppData\Local\Temp\KB6F8D5F411CF0E44A.exe
Reboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Djamper
      Файлы зашифрованы Trojan.Encoder.858
      Автор Djamper
      Доброе время суток! У меня произошло шифрование моих файлов в результате действия вируса,
      но это произошло очень давно(в 2015). С начала я не обратил на это внимания, а потом когда я захотел посмотреть фотографии они были уже в формате xtbl.
      CollectionLog-2018.04.02-13.11.zip
    • Андрей Феденёв
      шифровальщик
      Автор Андрей Феденёв
      как расшифровать файлы на компьютере которые сейчас зашифрованы под XTBL файлом или кто их может помочь расшифровать мне. Вот один из зашифрованных файлов.
       

      Сообщение от модератора Mark D. Pearlstone Внимательно читайте правила раздела! Евгений Касперский не помогает вылечиться от вирусов и не оказывает техническую поддержку.
    • th704
      Помогите расшифровать xtbl
      Автор th704
      Здравствуйте.
      Знакомые принесли ноут.
      На нем зашифрованные файлы.
      Теперь они с расширением xtbl.
      Помогите пожалуйста с дешифратором.
      Образец и требования прилагаются в архиве.
      Спасибо.
      xtbl crypted.rar
    • Lina_ko
      KVRT не может удалить троян.
      Автор Lina_ko
      Добрый день, о великие. Прошу вас о помощи. Когда устанавливала пиратскую игру получила что-то наподобие недоделанного винлокера, который после перезапуска компа пропал. Проверила комп KVRT и он нашёл троян. После лечения с перезапуском он нашёл два трояна. После перезапуска с лечением снова, он снова нашёл два трояна. Так-же, при действии по инструкции я пошла отключать встроенный защитник windows и обнаружила что панели нет. Скрин и логи прилагаю. Помогите, кто чем может.

      CollectionLog-2026.01.18-10.05.zip report1.log report2.log
    • Quester1337
      Подозрение на вирус(ратник или стиллер)
      Автор Quester1337
      После скачки файла из интернета с проверенного ресурса было много срабатываний антивируса, однако я разрешил софту работать, вроде бы ничего странного не случалось, теперь я его удалил и хотел бы удостовериться, что его не осталось, т.к. в дз видел процесс повершелл который грузит цп(17-30%). Логи прилагаю.
      CollectionLog-2026.01.16-15.50.zip
×
×
  • Создать...