Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)
Прекращение поддержки email

у меня проблема один в один как у " nov_77 "

Volkov
 Поделиться

Рекомендуемые сообщения

Volkov

Volkov

Опубликовано
Опубликовано (изменено)

@thyrex,
День добрый!
у меня проблема один в один как у " nov_77 ", заражен Пк, был 2 дня назад. Спасибо за внимание


Внимание! Вы нарушили закон! Все Ваши файлы заблокированы! Чтобы разблокировать файлы посетите сайт http://stoppedpiracy.host.skЕсли сайт недоступен пишите на емейл stpiracy@email.su Ваш id ********     Расширение стало *.rOSb1V



9I_6JFU7IBg.jpg


CollectionLog-2015.09.13-16.52.zip


Addition.txt


FRST.txt


Fixlog.txt



			
				


	Изменено  пользователем Volkov
	
	

			
		


		

		
	


	
    



	




					
					
					
				

					

					
					





	
	



					
					
					
				

					

					
					





	
	



					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		thyrex
	

				
				
				
			

		

		

			

				


thyrex
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
				
			
		

	


	

    

	

		
		

			
Несколько зашифрованных файлов выложите одним архивом на rghost.ru и пришлите ссылку на скачивание 


			
		


		

		
			

		
	


	
    



	




					
					
					
				

					

					
					





	
	



					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		thyrex
	

				
				
				
			

		

		

			

				


thyrex
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
				
			
		

	


	

    

	

		
		

			

Выполните скрипт в AVZ


 


begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\ушко\appdata\local\temp\services.exe','');
QuarantineFile('C:\Windows\driver.exe','');
DelCLSID('{63332668-8CE1-445D-A5EE-25929176714E}');
QuarantineFile('C:\Users\ушко\AppData\Roaming\daemon.exe','');
DeleteService('TSSysKit');
DeleteService('TSSKX64');
DeleteService('TSDefenseBt');
DeleteService('TSCPM');
DeleteService('TFsFlt');
DeleteService('QQSysMonX64');
DeleteService('QMUdisk');
SetServiceStart('TAOAccelerator', 4);
DeleteService('TAOAccelerator');
SetServiceStart('TAOKernelDriver', 4);
DeleteService('TAOKernelDriver');
DeleteService('QQPCRTP');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QQPCRtp.exe','32');
DeleteFile('C:\Windows\System32\Drivers\TAOKernel64.sys','32');
DeleteFile('C:\Windows\system32\Drivers\TAOAccelerator64.sys','32');
DeleteFile('C:\Windows\system32\Drivers\TAOKernel64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\TSSysKit64.sys','32');
DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\TsDefenseBT64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\tscpm64.sys','32');
DeleteFile('C:\Windows\system32\Drivers\TFsFltX64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QQSysMonX64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QMUdisk64.sys','32');
DeleteFile('C:\Users\ушко\AppData\Roaming\daemon.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Daemon');
DeleteFile('C:\Windows\system32\Tasks\Soft installer','64');
DeleteFile('C:\Windows\system32\Tasks\SpyHunter4Startup','64');
DeleteFile('C:\Windows\driver.exe','32');
DeleteFile('C:\Users\ушко\appdata\local\temp\services.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.
 


Выполните скрипт в AVZ


 


begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)


 


Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи



			
		


		
			

				
					
						

	
	
		

			
				
				

					
						

	
	
    
		
		
			
				
				
  • 
					
						
					
							
								Спасибо (+1)
							
							
								1
							
					
						
					
				
    • 
			
		
	


					
				

			
			
			
		

	


					
				
				
    
					
						
						
						
						
												
					
					
  • 
						
					
    • 
				




			

		

		
			

		
	


	
    



	




					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		Volkov
	

				
			

		

		

			

				


Volkov
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
						
  • Автор
    • 
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
				
			
		

	


	

    

	

		
		

			



 

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com


Полученный ответ сообщите здесь (с указанием номера KLAN)


 


Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи




 


Re: [KLAN-3134647729]


"Hello,


 


This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.


 


services.exe


 


An unknown file has been received. It will be sent to the Virus Lab.


 


driver.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.xtp


 


New potentially risk software was found in this file. It's detection will be included in the next update. Thank you for your help.


 


Best Regards, Kaspersky Lab" 


 


Создавать Новую тему или продолжить здесь?


 


 



			
		


		

		
	


	
    



	




					
					
					
				

					

					
					





	
	



					
					
					
				

					

					
					





	
	



					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		thyrex
	

				
				
				
			

		

		

			

				


thyrex
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
				
			
		

	


	

    

	

		
		

			

Логи прикрепляют к сообщению, а не выкладывают на обменник.


 


+ Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.


 




  • 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.






1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.


2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".


B92LqRQ.png


3. Нажмите кнопку Scan.


4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.


5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.



			
		


		
			

				
					
						

	
	
		

			
				
				

					
						

	
	
    
		
		
			
				
				
  • 
					
						
					
							
								Спасибо (+1)
							
							
								1
							
					
						
					
				
    • 
			
		
	


					
				

			
			
			
		

	


					
				
				
    
					
						
						
						
						
												
					
					
  • 
						
					
    • 
				




			

		

		
			

		
	


	
    



	




					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		Volkov
	

				
			

		

		

			

				


Volkov
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
						
  • Автор
    • 
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
					(изменено)
				
				
			
		

	


	

    

	

		
		

			


@thyrex, 
 




 


Логи прикрепляют к сообщению, а не выкладывают на обменник.


 


 




Понял, прошу прощения.
Спасибо Вам за терпение и помощь!

Addition.txt





			
				


	Изменено  пользователем Volkov
	
	

			
		


		

		
	


	
    



	




					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		thyrex
	

				
				
				
			

		

		

			

				


thyrex
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
				
			
		

	


	

    

	

		
		

			

1. Откройте Блокнот и скопируйте в него приведенный ниже текст


 


CreateRestorePoint:
BootExecute: autocheck autochk * sh4native Sh4Removal
GroupPolicy: Restriction - Chrome <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://do-search.com/?type=hp&ts=1429613802&from=cor&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://do-search.com/web/?type=ds&ts=1429613802&from=cor&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://do-search.com/?type=hp&ts=1429613802&from=cor&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://do-search.com/web/?type=ds&ts=1429613802&from=cor&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707&q={searchTerms}
HKU\S-1-5-21-206918112-3388628650-1384182774-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://spacesearch.ru/?ri=1&rsid=430d16f7ada3c333169a8bcf0615d9b7&q={searchTerms}
HKU\S-1-5-21-206918112-3388628650-1384182774-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://spacesearch.ru/?ri=1&rsid=430d16f7ada3c333169a8bcf0615d9b7&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://do-search.com/web/?type=ds&ts=1429613802&from=cor&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://do-search.com/web/?type=ds&ts=1429613802&from=cor&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707&q={searchTerms}
SearchScopes: HKU\S-1-5-21-206918112-3388628650-1384182774-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://spacesearch.ru/?ri=1&rsid=430d16f7ada3c333169a8bcf0615d9b7&q={searchTerms}
SearchScopes: HKU\S-1-5-21-206918112-3388628650-1384182774-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://spacesearch.ru/?ri=1&rsid=430d16f7ada3c333169a8bcf0615d9b7&q=
BHO: No Name -> {10921475-03CE-4E04-90CE-E2E7EF20C814} ->  No File
DefaultPrefix-x32: => http://spacesearch.ru/?ri=1&rsid=430d16f7ada3c333169a8bcf0615d9b7&q= <==== ATTENTION
FF Plugin-x32: @qq.com/QQPCMgr -> C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\npQMExtensionsMozilla.dll [No File]
StartMenuInternet: (HKLM) Opera - C:\Program Files (x86)\Opera\Opera.exe http://www.istartsurf.com/?type=sc&ts=1442009621&z=b425247dbd02cfdb5b709b6gfzaz5o2ece6t4z8qet&from=cornl&uid=WDCXWD20EARX-00PASB0_WD-WCAZA845070750707
2015-09-12 14:31 - 2015-06-13 00:57 - 00000720 _____ C:\Windows\system32\Drivers\etc\hp.bak
2015-09-12 01:42 - 2015-03-09 21:10 - 00000000 ____D C:\Users\ушко\AppData\Roaming\eTranslator
2014-12-28 13:15 - 2010-11-20 16:24 - 0000204 _____ () C:\Program Files\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2014-12-28 13:15 - 2010-11-20 16:24 - 0000204 _____ () C:\Program Files (x86)\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2014-12-28 13:15 - 2010-11-20 16:24 - 0000204 _____ () C:\Users\ушко\AppData\Local\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2014-12-28 13:15 - 2010-11-20 16:24 - 0000204 _____ () C:\ProgramData\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Task: {08275474-9F85-41A8-AC1A-561DF4541F9B} - \Soft installer -> No File <==== ATTENTION
Task: {3DD11CC6-1F85-41F8-B7C0-2E1A2C4EF9F4} - \SpyHunter4Startup -> No File <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\QQPCRTP => ""="service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\QQPCRTP => ""="service"
Reboot:



2. Нажмите Файл – Сохранить как


3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool


4. Укажите Тип файла – Все файлы (*.*)


5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить


6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!




  • Обратите внимание, что компьютер будет перезагружен.
    






			
		


		
			

				
					
						

	
	
		

			
				
				

					
						

	
	
    
		
		
			
				
				
  • 
					
						
					
							
								Спасибо (+1)
							
							
								1
							
					
						
					
				
    • 
			
		
	


					
				

			
			
			
		

	


					
				
				
    
					
						
						
						
						
												
					
					
  • 
						
					
    • 
				




			

		

		
			

		
	


	
    



	




					
					
					
				

					

					
					





	
	



					
					
					
				

					

					
					





	
	



	

	

	

		

			

				

	
		thyrex
	

				
				
				
			

		

		

			

				


thyrex
			

			

				Опубликовано 
				
			

		

	

	
	

		




	

		

			

				
    
					
					
					
					
					
				

			

			
    
				
  • 
					
					
      
						
						
                        
						
						
						
							
								
							
							
							
							
							
							
						
					
    
				
    • 
				
			

		


		

		   
		   Опубликовано 
		   
			
			
				
				
			
		

	


	

    

	

		
		

			
Информация о расшифровке отправлена в личные сообщения


			
		


		

		
			

		
	


	
    



	




					
					
					
				

					

					
					





	
	



					
					
					
				
			
			




		



	


	
		

			


	
	

		

	
	
	
	
	
		
	

			
				
				



	
	
		

			
Пожалуйста, войдите, чтобы комментировать

			
Вы сможете оставить комментарий после входа в

			

			

			Войти
		

	


			
		

	

	
		

			

				
					


    
          Поделиться
    

    

				
				
                

                


				
			

		

	







	

		
			
				Перейти к списку тем
			
		
	

	




						


	

		
    
			
				
					
					
  • 


    Похожий контент
    

    
	
      
	
		
    • 
			
      
				

	
		Сергей Михайловский
	

			
      
			
      
				
      Вирус зашифровал Мои файлы
      
				Автор 


Сергей Михайловский
      
				
					
      
						Такая вот проблемма, ко мне в компьютер попал какой то шифровщик, через время все файлы формата тхт, doc. jpeg. jpj. avi вообщем все на которых могла быть какая то информация не открывались, изменился на всех файлах формат на A7V3ac, и возле каждого файла появился такой вот документ текстовый;
      
"Внимание! Все Ваши файлы зашифрованы!
      
Чтобы восстановить свои файлы посетите сайт http://plc.2fh.coЕсли сайт недоступен пишите на plc12@inbox.com Ваш id d7135649 
У вас есть 6 попыток ввода кода. При превышении этого 
лимита все данные необратимо испортятся."
Никакой антивирус не берет эту хрень пользовался какими то дешифраторами, но они только копий понаделывали которые так же не открываются. Прошу помочь, буду благодарен.
CollectionLog-2015.10.01-13.30.zip
      

					
      
				
			
      
		
      • 
	
		
    • 
			
      
				

	
		Дмитрий Кашуба
	

			
      
			
      
				
      Расширение .sfl776
      
				Автор 


Дмитрий Кашуба
      
				
					
      
						Зашифровались файлы и добавилось расширение sfl776
      
 
      
Прошу помочь, если кто может )
      
 
      
Лог прилагаю. 
      
 
      
Ссылка на зашифрованные файлы: https://yadi.sk/d/LUbJxhFYjPH6n
      
 
      
Благодарю!
      
CollectionLog-2015.09.28-22.29.zip
      

					
      
				
			
      
		
      • 
	
		
    • 
			
      
				

	
		Ultimuver
	

			
      
			
      
				
      Вирус - зашифровал файлы с расширением *.Sfl776
      
				Автор 


Ultimuver
      
				
					
      
						Здравствуйте! У коллеги вирус зашифровал большой объем информации на переносном жестком диске, а внутренний она уже успела отформатировать. Посоветуйте что теперь с этим делать? Для анализа имеется зашифрованные файлы, оригинал одного из зашифрованных файлов, текстовое сообщение вымогателей и архивный фаил, с которого по словам человека все началось.
      
 
      
Зашифрованный фаил в формате mp3
      
Оригинальный фаил в формате mp3
      
Текстовый фаил созданный вирусом
      
 
      
Личный анализ показал, что данный вирус(шифратор) довольно хитро устроен. Он шифрует лишь половину файла, а остальную часть оставляет не измененной. zip и rar архивы открываются, но информация в них повреждена! Вот один из примеров:
      
 
      
Зашифрованный архивный фаил
      
 
      
Заранее благодарю!
      
 
      

      

Строгое предупреждение от модератора Mark D. Pearlstone

Вредоносные файлы на форум прикреплять не нужно. Ссылка удалена.


					
      
				
			
      
		
      • 
	
		
    • 
			
      
				

	
		Артемий Гареев
	

			
      
			
      
				
      Шифровальщик http://stoppedpiracy.host.sk
      
				Автор 


Артемий Гареев
      
				
					
      
						Лог AutoLogger + зараженные файлы https://dropmefiles.com/qf4mR пароль wRdxOg
      

      Farbar Recovery Scan Tool
      
CollectionLog-2015.09.22-23.07.zip
      
Addition.txt
      
FRST.txt
      

					
      
				
			
      
		
      • 
	
		
    • 
			
      
				

	
		АртемВ
	

			
      
			
      
				
      Файлы зашифрованы с расширением  .7Kf9uY
      
				Автор 


АртемВ
      
				
					
      
						Доброго времени суток. Прошу помощи....
      
 
      
У меня точно же такая ситуация.... принесли ноут (родственники), на диске D все файлы с расширением txt, doc, rtf, zip, rar, pdf, pps, jpg, bmp, gif, htm, wav, mp3..... зашифрованы с расширением  .7Kf9uY, в каждой папочке текстовый файл с содержанием:
      


 
      

Увидев переписку в данной теме, появилась надежда на восстановление... Поделитесь утилитой.
      
Парочку зашифрованных файлов прилагаю.
      
 
      
0.zip
      

					
      
				
			
      
		
      • 
	
	
    

    

    • 
				
			
		

	


					

					




					

				

			

			
		

		
			
			



	

		×
		


    
	





			
				

					
				

			

			

			

			
		

	






	

		×
		

			
    
				
  • Создать...
    •