Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)
Прекращение поддержки email

На синем экране ноутбука следующая надпись: Ваши файлы украдены! Оригинальные файлы остались у вас, но были зашифрованы...

Илья2007
 Поделиться

Рекомендуемые сообщения

Илья2007

Илья2007

Опубликовано
Опубликовано

Сегодня, в процессе работы, появилось такое сообщение на экране ноутбука. Ничего особенного не делал, файлы, которые открывал из электронки, были связаны с работой (PDF файлы). Подтормаживать ноутбук стал еще пару дней назад, мне это показалось странным. Сегодня, перед появлением этого экрана, несколько раз появлялись маленькие окна с сообщениями об ошибках. Помогите, пожалуйста, решить данную проблему, ну или укажите путь, в каком направлении надо действовать.

IMG_20251031_153232.jpg

safety

safety

Опубликовано
Опубликовано (изменено)

Добавьте несколько зашифрованных файлов + записку о выкупе, в архиве, без пароля.

+

Добавьте логи FRST из зашифрованной системы.

 

Цитата

Ничего особенного не делал, файлы, которые открывал из электронки, были связаны с работой (PDF файлы).

Если было электронное сообщение в почте, после открытия которого файлы были зашифрованы,

сохраните данное сообщение в формате EML, файл заархивируйте с паролем virus, архив добавьте в ваше сообщение.

Следует добавить, что шифрование pay2key происходит не сразу после открытия вредоносного вложения, а через некоторое время.

Изменено пользователем safety
Илья2007

Илья2007

Опубликовано
  • Автор
Опубликовано

Скорее всего данное электронное сообщение безобидно с точки зрения наличия в нем вируса-шифровальщика. Если вы говорите, что шифрование происходит не сразу, как я уже говорил ранее, я заметил странности в работе ноутбука за пару дней до этой ситуации. Компьютер временами подтормаживал и появлялись маленькие окна с ошибками. К сожалению, все эти вещи я игнорировал

Addition.txt FRST.txt Файлы+записка.rar

 

Еще сегодня при включении ноутбука появились окна с  следующим сообщением

IMG_20251101_150307_resized_20251101_040224198.rar

safety

safety

Опубликовано
Опубликовано (изменено)

Если систему сканировали KVRT, Cureit или другим антивирусом, добавьте логи сканирования, в архиве,без пароля.

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы 

Start::
HKLM\...\Run: [browser.exe] => C:\temp\HowToRestoreFiles.txt [4422 2025-10-31] () [Файл не подписан] <==== ВНИМАНИЕ
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticetext] All your files have been stolen! You still have the original files, but they have been encrypted.
IFEO\agntsvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\AutodeskDesktopApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\axlbridge.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\bedbh.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\benetns.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\bengien.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\beserver.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\CompatTelRunner.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\CoreSync.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Creative Cloud.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\dbeng50.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\dbsnmp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\encsvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\EnterpriseClient.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\EOSNOTIFY.EXE: [Debugger] *
IFEO\fbguard.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fbserver.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fdhost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fdlauncher.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\httpd.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\InstallAgent.exe: [Debugger] *
IFEO\isqlplussvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\java.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\logoff.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\msaccess.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\MsDtSrvr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\msftesql.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mspub.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\MusNotification.exe: [Debugger] *
IFEO\MUSNOTIFICATIONUX.EXE: [Debugger] *
IFEO\mydesktopqos.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mydesktopservice.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mysqld-nt.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mysqld-opt.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mysqld.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\node.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\ocautoupds.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\ocomm.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\ocssd.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\oracle.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\perfmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\pvlsvr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\python.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBDBMgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBDBMgrN.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBIDPService.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\qbupdate.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBW32.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBW64.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Raccine.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\RaccineElevatedCfg.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\RaccineSettings.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Raccine_x86.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\RAgui.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\raw_agent_svc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\remsh.exe: [Debugger] *
IFEO\SearchApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchIndexer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchProtocolHost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\shutdown.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SIHClient.exe: [Debugger] *
IFEO\SimplyConnectionManager.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqbcoreservice.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sql.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlagent.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlbrowser.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlmangr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlservr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlwriter.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Ssms.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Sysmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Sysmon64.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskkill.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tasklist.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskmgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tbirdconfig.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\TeamViewer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\TeamViewer_Service.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tomcat6.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tv_w32.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tv_x64.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\UpdateAssistant.exe: [Debugger] *
IFEO\UPFC.EXE: [Debugger] *
IFEO\UsoClient.exe: [Debugger] *
IFEO\VeeamDeploymentSvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\vsnapvss.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\vxmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\WaaSMedic.exe: [Debugger] *
IFEO\WaasMedicAgent.exe: [Debugger] *
IFEO\wdswfsafe.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Windows10Upgrade.exe: [Debugger] *
IFEO\WINDOWS10UPGRADERAPP.EXE: [Debugger] *
IFEO\wpython.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsa_service.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsqmcons.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wxServer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wxServerView.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\xfssvccon.exe: [Debugger] C:\Windows\System32\Systray.exe
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Exception.vbs [2025-10-27] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\IsCompleted.vbs [2025-10-29] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Item1.vbs [2025-10-27] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Method.vbs [2025-10-27] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Target.vbs [2025-10-30] () [Файл не подписан]
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\BraveSoftware\Brave: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Vivaldi: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-2490272230-221041594-1239164930-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
2025-10-31 13:58 - 2025-10-31 14:55 - 000000000 ____D C:\temp
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь.

Изменено пользователем safety
safety

safety

Опубликовано
Опубликовано

Скрипт в FRST выполнили?

 

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь.

 

Илья2007

Илья2007

Опубликовано
  • Автор
Опубликовано

Скрипт пока не выполнил, необходимы пояснения...

правильно понимаю, мне нужно скопировать информацию из предпоследнего вашего сообщения (все строки от слова start до слова end) в буфер обмена, а затем вставить в FRST? Не получается запустить FRST на ноутбуке. Пишет, что невозможно запустить данное приложение на вашем ПК. Запускаю из папки Загрузки

safety

safety

Опубликовано
Опубликовано (изменено)

Просто копируйте строки (от Start:: до End::  ) в буфер обмена, FRST загрузит скрипт из буфера.

Пробуйте переименовать FRST в любое другое имя, иди сделать запуск из корневой папки, например C:\TEMP_FRST

Изменено пользователем safety
Илья2007

Илья2007

Опубликовано
  • Автор
Опубликовано

Пробовал запустить и так и так (менял несколько раз имена, приложение не запускалось. Скопировал файл из загрузок, вставлял его в диск С:\ FRST, тоже не вышло

IMG_20251105_172359.rar

Sandor

Sandor

Опубликовано
Опубликовано

@Илья2007 - а собирали логи FRST.txt и Addition.txt вы на этом же компьютере или на другом?

Илья2007

Илья2007

Опубликовано
  • Автор
Опубликовано

Сейчас с вами переписываюсь с другого компа. Проблема на ноутбуке. Но были сообщения, которые отправлял с поврежденного ноутбука.

Логи FRST.txt и Addition.txt собрал. Они в сообщении, которое отправил вам в субботу.

 

Sandor

Sandor

Опубликовано
Опубликовано

Я к тому спрашиваю, что при получении этих логов вы же каким-то образом запускали файл FRST.exe (или FRST64.exe).

Илья2007

Илья2007

Опубликовано
  • Автор
Опубликовано

Да, я тоже удивлен. Самое интересное он тогда запускался, а сейчас никак не хочет. И я заметил, что в корневой папке появилась новая папка под названием FRST-OlderVersion. 

И похоже на то, что FRST не запускается из-за того, что текущая версия якобы устарела

 

Может удалить FRST с ноута и заново установить?

safety

safety

Опубликовано
Опубликовано (изменено)

Возможно, что скачивание автоматическое новой версии не происходит. 

Может удалить FRST с ноута и заново установить?

Пробуйте и так сделать.

Изменено пользователем safety
Илья2007

Илья2007

Опубликовано
  • Автор
Опубликовано (изменено)

Удалил FRST, при попытке установить заново открывается окно установки. Поначалу вроде идет загрузка, но потом появляется окно с информацией о невозможности загрузки данной программы.

Еще хотел сообщить, что в меню Пуск пропала возможность Выключить компьютер. Есть только кнопка Выход, проваливаясь в нее появляются два варианта: Сменить пользователя и Блокировка

 

Поэтому выключаю ноутбук физически нажимая кнопку включения/выключения

Изменено пользователем Илья2007
Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • ProIQ
      Поймал шифровальщика
      Автор ProIQ
      Добрый день! На компьютере стоял Касперский, но после последней перезагрузки, все файлы оказались зашифрованы и выводится сообщение, что бы я обратился по контактам.
      Файлы стали иметь расширение .elpy-JsRbofzMa_g7z2ERnDNGheZ8fzJVYQVD4UpvcSnDLEc
       
      Помогите пожалуйста!
       
      Текст: "
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted
      Your decryption ID is ****
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us
      1) eMail - volume0@tuta.io
      2) Telegram - @DataSupport911 or https://t.me/DataSupport911
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
      "
    • Tangous
      Снова... Зашифровали файлы и требуют выкуп.
      Автор Tangous
      Помогите пож.
      Проекты САМ и САД. Работа последних лет.
       
      Addition.txt FRST.txt sample_vir.zip
    • Игорь Мартынов
      Нужна помощь с вирусом-шифровальщиком, который добавил к расширению файлов .ywgulm_p2k
      Автор Игорь Мартынов
      Здравствуйте, наш бухгалтер подцепила вирус-шифровальщик pay2key, приложение, которое запустилось: kopiya_1C_doc_d5ef6rewg3ergw5g6rge5. В результате все файлы на компьютере получили расширение .ywgulm_p2k. Требование о выкупе прилагаю. Видел на этом форуме примеры заражения этим же вирусов, люди платили выкуп и получали дешифратор, в том числе выкладывали здесь. Можно ли получить данный дешифратор и попробовать расшифровать свои файлы со своим id.
      HowToRestoreFiles.txt Зашифрованные файлы.rar
    • Татьяна С
      Шифровальщик с расширением .ywgulm_p2k
      Автор Татьяна С
      Добрый день. Так же зашифровались файлы расширением ywgulm_p2k
      К ноутбуку с вирусом был подключен съемный диск. Вирус удалили, но документы остались зашифрованными.
      К сожалению, нет доступа к ноутбуку, на котором произошел сбой, а на другом не читается письмо-выкуп.
      Можно расшифровать документы на съемном диске с другого ноутбука? 
       
      Прикладываю файл, который похож на вирус. Именно с его распаковки начались проблемы
       
      копии платежных документовПАРОЛЬ 123.rar
       
      Сообщение от модератора kmscom Тема перенесена из Шифровальщик с расширением .ywgulm_p2k
       
    • sevzap
      Шифровальщик с расширением .ywgulm_p2k
      Автор sevzap
      Операционная система
      Выпуск    Windows 10 Pro
      Версия    22H2
      Сборка ОС    19045.6456

      Суть проблемы:
      Здравствуйте, 
      Столкнулись с шифровальщиком, который зашифровал все файлы кроме системных с расширением .ywgulm_p2k
      На форуме не увидели статью какую либо по поводу этого шифровальщика,
      может быть сталкивались и может быть уже существует дешифратор? 
      Файлы примера есть, сделали архивы, если нужно приложить их, возможно один из них шифровальщик, по крайней мере это единственное что было на него похожее. 
      Также со вчерашнего дня периодически сами по себе устанавливались приложения со скриншота 3, даже если их удалять, возможно взаимосвязано.
      Скриншот 4 предположительный шифровальщик. 

      Пароли от архивов:
      Файлы_с_компьютера - 2@Sa1241
      Зашифрованный_файл__Письмо - sfqweQ
      возможно_шифровальщик_.ptmp888BC3 -  1!@ASDXzaw




       
      Addition.txt FRST.txt
      Файлы_с_компьютера.7z
×
×
  • Создать...