Перейти к содержанию

Вирус шифратор (.xtbl)

Кирилл Панченко
 Share

Рекомендуемые сообщения

Кирилл Панченко Новичок

Кирилл Панченко

Опубликовано
Опубликовано (изменено)

Вчера вечером, в одночасье, все файлы стали зашифрованы. все теперь с расширением.xtbl Заметив шифрование запустил утилиту Doctor web. два вируса были удалены. заставка вражеская убрана, однако файлы не вернулись. Утилиты Касперского для расшифровывания в свободном доступе к сожалению не помогли. Прошу помочь.

CollectionLog-2015.07.09-11.39.zip

Изменено пользователем Кирилл Панченко
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 DeleteService('BAPIDRV');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
 DeleteFile('C:\Windows\system32\Tasks\Advanced System Protector_startup','64');
 DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)
 
 
Сделайте новые логи Автологгером. 
 

 

  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты
Кирилл Панченко Новичок

Кирилл Панченко

Опубликовано
  • Автор
Опубликовано

Пришел ответ

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

quarantine.zip

Этот файл повреждён.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"

 

До этого мне приходил такой ответ (отправлял просто файлы)

 

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

0nmhtvoQTiSfqoXJ0+AEWxk8cm2qEUYs8fOxetb3rmI=.73F6E58C2E9C4932C4A1.xtbl,
1n1Ry5uKtXaD3TQq-Zn6-kju-dtUmXMTyvNE6UwJ-d8=.73F6E58C2E9C4932C4A1.xtbl,
iwO9MfwuqNJ04bTb7BbpfmMZv90n1ttMeVLcXACDEzX5Ha+A0YkPCpAh5rqjxlQMdUdIPkp8PM7aExY-y74iPQ==.73F6E58C2E9C4932C4A1.xtbl,
narod_attachment_links.html,
XoristDecryptor.2.3.45.0_09.07.2015_02.14.14_log.txt

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"

 

AdwCleanerR0.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

И что за мусор вы отправили в вирусную лабораторию? Просили кажется архив quarantine.zip отправить, нет все равно отправляют всякую ерунду в вирусную лабораторию.

 

 

 Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано (изменено)

Перечитайте еще раз 6 сообщение. Лог AdwCleaner после очистки где?

Изменено пользователем mike 1
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
  • 2 weeks later...
Кирилл Панченко Новичок

Кирилл Панченко

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

Уезжал, не мог ответить, извините. Прикрепляю файлы

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:



HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION

Toolbar: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File

Toolbar: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File

DPF: HKLM-x32 {093500E9-F79F-4C52-A9B5-D8C7E4B3023E} file:///C:/Users/C523~1/AppData/Local/Temp/o3d6BAD.tmp.cab

DPF: HKLM-x32 {810B649C-CEAE-4AC9-BF26-81341B49E913} file:///C:/Users/C523~1/AppData/Local/Temp/o3dBF19.tmp.cab

FF Extension: No Name - C:\Users\Кирилл\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\vb@yandex.ru [not found]

FF Extension: No Name - C:\Users\Кирилл\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{29b136c9-938d-4d3d-8df8-d649d9b74d02}.xpi [not found]

FF Extension: No Name - C:\Users\Кирилл\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\yasearch@yandex.ru [not found]

FF Extension: No Name - C:\Program Files (x86)\Mozilla Firefox\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd} [not found]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2013-07-30]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2013-07-30]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2013-07-30]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2013-07-30]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-03-22]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\lifbcibllhkdhoafpjfnlhfpfgnpldfl [2013-07-30]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2013-11-17]

CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2013-07-30]

CHR HKLM\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho

CHR HKLM-x32\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho

2015-07-08 16:48 - 2015-07-09 12:11 - 00000000 __SHD C:\Users\Все пользователи\Windows

2015-07-08 16:48 - 2015-07-09 12:11 - 00000000 __SHD C:\ProgramData\Windows

2015-07-08 16:48 - 2015-07-09 12:11 - 00000000 ____D C:\Program Files (x86)\Napnut

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\4game.com -> hxxps://4game.com

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alipay.com -> hxxps://alipay.com

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alipay.com -> hxxp://alipay.com

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alisoft.com -> hxxps://alisoft.com

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alisoft.com -> hxxp://alisoft.com

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\taobao.com -> hxxps://taobao.com

IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\taobao.com -> hxxp://taobao.com



Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
Кирилл Панченко Новичок

Кирилл Панченко

Опубликовано
  • Автор
Опубликовано (изменено)

Fixlog.txt

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:

HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
DPF: HKLM-x32 {093500E9-F79F-4C52-A9B5-D8C7E4B3023E} file:///C:/Users/C523~1/AppData/Local/Temp/o3d6BAD.tmp.cab
DPF: HKLM-x32 {810B649C-CEAE-4AC9-BF26-81341B49E913} file:///C:/Users/C523~1/AppData/Local/Temp/o3dBF19.tmp.cab
FF Extension: No Name - C:\Users\Кирилл\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\vb@yandex.ru [not found]
FF Extension: No Name - C:\Users\Кирилл\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{29b136c9-938d-4d3d-8df8-d649d9b74d02}.xpi [not found]
FF Extension: No Name - C:\Users\Кирилл\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\yasearch@yandex.ru [not found]
FF Extension: No Name - C:\Program Files (x86)\Mozilla Firefox\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd} [not found]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2013-07-30]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2013-07-30]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2013-07-30]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2013-07-30]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-03-22]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\lifbcibllhkdhoafpjfnlhfpfgnpldfl [2013-07-30]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2013-11-17]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2013-07-30]
CHR HKLM\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho
CHR HKLM-x32\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho
2015-07-08 16:48 - 2015-07-09 12:11 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-07-08 16:48 - 2015-07-09 12:11 - 00000000 __SHD C:\ProgramData\Windows
2015-07-08 16:48 - 2015-07-09 12:11 - 00000000 ____D C:\Program Files (x86)\Napnut
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\4game.com -> hxxps://4game.com
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alipay.com -> hxxps://alipay.com
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alipay.com -> hxxp://alipay.com
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alisoft.com -> hxxps://alisoft.com
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\alisoft.com -> hxxp://alisoft.com
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\taobao.com -> hxxps://taobao.com
IE trusted site: HKU\S-1-5-21-1614338540-3587339377-3006305029-1000\...\taobao.com -> hxxp://taobao.com

Reboot:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

 

 готово Fixlog.txt

Изменено пользователем Кирилл Панченко
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Логи в порядке. На форуме с расшифровкой не поможем.

 

По расшифровке:

 

При наличии коммерческой лицензии на любой из продуктов Антивируса Касперского обратитесь за помощью в техническую поддержку Лаборатории Касперского через личный кабинет. Напишу сразу, что результат не гарантирован.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • kiddr
      Вирус-шифровальщик.xtbl, decodefile001@gmail.com или decodefile002@gmail.com
      От kiddr
      Добрый день! Получил по почте письмо от "Бухгалтерии" с прикрепленным архивом (акт передачи и какой то длинный номер), после скачки и извлечения запустил файл. В следствии чего в течении 15 минут на компьютере были зашифрованы все картинки и текстовые файлы-Word в формат .xtbl, а на рабочем столе появилась заставка с координатами вымогателя и сообщение о том что файлы, описанные выше, зашифрованы, плюс текстовый файл формата .txt со следующим текстом:   "Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 1E05A087200D94333D18|0 на электронный адрес decodefile001@gmail.com или decodefile002@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации."   All the important files on your computer were encrypted. To decrypt the files you should send the following code: 1E05A087200D94333D18|0 to e-mail address decodefile001@gmail.com or decodefile002@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.   Еще последствия: в реестре появились ветки с белебердовым именем, которых до этого не существовало. Файл boot.ini отсутствовал, но вместо него был boot.ini.backup, в котором добавлена еще одна строчка связанная с диском "С", но при этом загрузка Windows происходит в обычном режиме за исключением того что при загрузке Доса показана та самая "допонительная" строчка из boot.ini.backup. Возможность загрузки и восстановления, выбора операционки затенена, плюс выдает ошибку о том что не может найти файл boot.ini, зато может создать новый.    Прикрепляю файлы логов, отчет антивируса и ветку реестра.  
      Так же у меня имеется сам вирус-шифровальщик, при необходимости могу прикрепить "эту программу"
      CollectionLog-2015.09.25-10.15.zip
      cureit.rar
      Подозрительная вещь.Ветка того самого Вируса (Самурай-имя фотографий кота).rar
    • SergeyAO
      Вирус зашифровал файлы .xtbl
      От SergeyAO
      Приветсвую всех.
      Нужна помощь, вчера вирус зашифровал все файлы в основном документы office, на 4 дисках.
      Человеку пришло на почту письмо с документом по работе, но неизвестно от кого, открыли документ пустая страница ничего нет, и через некоторое время на экране сообщение, ваши файлы зашифрованы отправьте код на почту.
       
      Файл был "Здравствуйте.docx" KAV никак не отреагировал, на другой машине где были ограничены права пользователя док не открылся, KAV увидел в "здравствуйте.docx/word/embeddings/oleObject1.bin/C:/Users/836D~1/AppData/Local/Temp/PEWER POINT PRESENTATION.exe".
       
      Kaspersky Virus Removal Tool нашел Trojan-Ransom.Win32.Shade.ur.
      Утилита TDSSKiller для борьбы с руткитами ничего не обнаружил.
       
      Очень много информации, и важных документов, жду помощи, спасибо.
      CollectionLog-2015.09.22-11.30.zip
    • Ak3s
      Вирус зашифровал файлы в .XTBL
      От Ak3s
      Вирус зашифровал 40 GB фотографий. Не знаю что делать...
      Вы - единственная надежда.
      Помогите пожалуйста...
      CollectionLog-2015.07.26-11.44.zip
    • baron_171
      Фотки зашифровались в формат .xtbl
      От baron_171
      Такая проблема: на ком попал вирус, зашифровал все важные для меня фотографии(очень много)...
      Что делать, незнаю..прошу помощи
       
      CollectionLog-2015.07.26-12.15.zip
    • Дмитрий Назаров
      Вирус шифровальщик файлов в .xtbl
      От Дмитрий Назаров
      Добрый день! Прошу помощи в лечении (дешифрации) файлов от вируса шифровальщика.   Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 6A748682D3920B87DFA5|0 на электронный адрес post8881@gmail.com или post24932@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.    
      CollectionLog-2015.07.21-13.34.zip
×
×
  • Создать...