Вирус зашифровал файлы .xtbl

[SergeyAO]

Приветсвую всех.

Нужна помощь, вчера вирус зашифровал все файлы в основном документы office, на 4 дисках.

Человеку пришло на почту письмо с документом по работе, но неизвестно от кого, открыли документ пустая страница ничего нет, и через некоторое время на экране сообщение, ваши файлы зашифрованы отправьте код на почту.

 

Файл был "Здравствуйте.docx" KAV никак не отреагировал, на другой машине где были ограничены права пользователя док не открылся, KAV увидел в "здравствуйте.docx/word/embeddings/oleObject1.bin/C:/Users/836D~1/AppData/Local/Temp/PEWER POINT PRESENTATION.exe".

 

Kaspersky Virus Removal Tool нашел Trojan-Ransom.Win32.Shade.ur.

Утилита TDSSKiller для борьбы с руткитами ничего не обнаружил.

 

Очень много информации, и важных документов, жду помощи, спасибо.

CollectionLog-2015.09.22-11.30.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[SergeyAO]

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

Отчеты

FRST.txt

Addition.txt

[mike 1]

Деинсталлируйте:

 

Search App by Ask
Shopping App by Ask

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKLM\...\Run: [ApnTBMon] => C:\Program Files\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe [1934744 2015-01-31] (APN)
HKU\S-1-5-21-107623766-188462150-4226987160-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.search.ask.com/?tpid=ORJ-ST-SPE&o=APN11461&pf=V7&trgb=IE&p2=%5EBE7%5EOSJ000%5EYY%5ERU&gct=hp&apn_ptnrs=BE7&apn_dtid=%5EOSJ000%5EYY%5ERU&apn_dbr=ie_8.0.7601.17514&apn_uid=96AEECC7-52C4-46DB-BC67-2D6B4E1222C6&itbv=12.24.1.53&doi=2015-03-03&psv=&pt=tb
URLSearchHook: HKU\S-1-5-21-107623766-188462150-4226987160-1000 - SearchHook Class - {D8278076-BC68-4484-9233-6E7F1628B56C} - C:\Program Files\AskPartnerNetwork\Toolbar\searchhook.dll (APN LLC.)
SearchScopes: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> DefaultScope {D0765D3F-59FD-4096-A66F-74C71EACA5E9} URL = hxxp://www.search.ask.com/web?tpid=ORJ-ST-SPE&o=APN11461&pf=V7&p2=^BE7^OSJ000^YY^RU&gct=sb&itbv=12.24.1.53&apn_uid=96AEECC7-52C4-46DB-BC67-2D6B4E1222C6&apn_ptnrs=BE7&apn_dtid=^OSJ000^YY^RU&apn_dbr=ie_8.0.7601.17514&doi=2015-03-03&trgb=IE&q={searchTerms}&psv=&pt=tb
SearchScopes: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> {D0765D3F-59FD-4096-A66F-74C71EACA5E9} URL = hxxp://www.search.ask.com/web?tpid=ORJ-ST-SPE&o=APN11461&pf=V7&p2=^BE7^OSJ000^YY^RU&gct=sb&itbv=12.24.1.53&apn_uid=96AEECC7-52C4-46DB-BC67-2D6B4E1222C6&apn_ptnrs=BE7&apn_dtid=^OSJ000^YY^RU&apn_dbr=ie_8.0.7601.17514&doi=2015-03-03&trgb=IE&q={searchTerms}&psv=&pt=tb
BHO: Search App by Ask -> {4F524A2D-5350-4500-76A7-7A786E7484D7} -> C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll [2014-10-11] (APN LLC.)
BHO: Shopping App by Ask -> {4F524A2D-5354-2D53-5045-7A786E7484D7} -> C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-ST-SPE\Passport.dll [2015-01-31] (APN LLC.)
Toolbar: HKLM - Search App by Ask - {4F524A2D-5350-4500-76A7-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll [2014-10-11] (APN LLC.)
Toolbar: HKLM - Shopping App by Ask - {4F524A2D-5354-2D53-5045-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-ST-SPE\Passport.dll [2015-01-31] (APN LLC.)
Toolbar: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> Search App by Ask - {4F524A2D-5350-4500-76A7-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll [2014-10-11] (APN LLC.)
Toolbar: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> Shopping App by Ask - {4F524A2D-5354-2D53-5045-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-ST-SPE\Passport.dll [2015-01-31] (APN LLC.)
R2 APNMCP; C:\Program Files\AskPartnerNetwork\Toolbar\apnmcp.exe [177560 2015-01-31] (APN LLC.)
2015-09-21 09:21 - 2015-09-21 09:21 - 03932214 _____ C:\Users\BUH1\AppData\Roaming\C58873A9C58873A9.bmp
2015-09-18 16:02 - 2015-09-22 10:30 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-09-18 16:02 - 2015-09-22 10:30 - 00000000 __SHD C:\ProgramData\Windows

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

 

 

Файл был "Здравствуйте.docx" KAV никак не отреагировал

А должен был? 

[SergeyAO]

 

 

 

Файл был "Здравствуйте.docx" KAV никак не отреагировал

А должен был? 

 

 

Не знаю, если на одной машине куда изначально на почту пришло не открылся документ и система сообщила что нет прав "на этой машине в основном с документами работают", за тем они скинули на общий сервер где он благоплучно существовал около часа, и далее они скинули на другую машину где запустили и произошло заражение. После уже на сервере был просканирован и удален.

 

лог

Fixlog.txt

[mike 1]

Антивирус Касперского 6.0 для Windows Workstations (HKLM\...\{8F023021-A7EB-45D3-9269-D65264C81729}) (Version: 6.0.4.1424 - Лаборатория Касперского)

http://support.kaspersky.ru/support/lifecycle

 

Ну как бы антивирус снят официально с поддержки. Базы к нему уже не выпускаются, а если и выпускаются, то они не тестируются. Безнадежно устаревшее антивирусное ПО не способно бороться против шифровальщиков. Как-то так. 

 

По расшифровке:

 

Лаборатория Касперского оказывает индивидуальную помощь с этим шифровальщиком, поэтому для создания запроса на расшифровку нужна коммерческая лицензия на наш антивирус. Если у вас есть лицензия на наш антивирус, то тогда вам нужно написать письмо на newvirus@kaspersky.com. Структура вашего сообщения должна быть такой:

 

1. Несколько зашифрованных файлов в архиве.

2. Вложение из письма (желательно)

3. Номер вашей коммерческой лицензии (обязательно).

4. Файл Readme.txt

 

 

[SergeyAO]

 

Антивирус Касперского 6.0 для Windows Workstations (HKLM\...\{8F023021-A7EB-45D3-9269-D65264C81729}) (Version: 6.0.4.1424 - Лаборатория Касперского)

http://support.kaspersky.ru/support/lifecycle

 

Ну как бы антивирус снят официально с поддержки. Базы к нему уже не выпускаются, а если и выпускаются, то они не тестируются. Безнадежно устаревшее антивирусное ПО не способно бороться против шифровальщиков. Как-то так. 

 

По расшифровке:

 

Лаборатория Касперского оказывает индивидуальную помощь с этим шифровальщиком, поэтому для создания запроса на расшифровку нужна коммерческая лицензия на наш антивирус. Если у вас есть лицензия на наш антивирус, то тогда вам нужно написать письмо на newvirus@kaspersky.com. Структура вашего сообщения должна быть такой:

 

1. Несколько зашифрованных файлов в архиве.

2. Вложение из письма (желательно)

3. Номер вашей коммерческой лицензии (обязательно).

4. Файл Readme.txt

 

Хорошо, понятно. Спасибо.

Да лицензия есть,

2. Вложение из письма (желательно) это что?

И тему письма какую писать?

[mike 1]

Если шифровальщика поймали через почту, то желательно вложение из такого письма. Если нет, то тогда желательно найти сам шифровальщик.