Все файлы были зашифрованы

23 сентября, 2015

Здравствуйте!
Прошу помощи. Одна надежда на вас; ни одна утилита с оффициального сайта Касперского не подходит..
Зашифровались все важные для меня файлы на диске С, там очень важная информация doc, для работы необходимая

На рабочем столе вместо фонового рисунка на чёрном фоне красными буквами: Внимание !все важные файлы на всех дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt которые можно найти на из дисков (скрин прилагается)
А все файлы зашифровались в белиберду с расширением.xtbl,
например вот: P4KZRt7EoBBd3CY3I-2LQVM2OL+-M2MAoNoNujqrXEY=.97C2755E910EF2E38D31.xtbl

В многочисленных текстовиках созданных вирусом пишется вот это:

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
97C2755E910EF2E38D31|0
на электронный адрес decode010@gmail.com или decode1110@gmail.com .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
97C2755E910EF2E38D31|0
to e-mail address decode010@gmail.com или decode1110@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

В дополнение к вложениям вот ссылка на файлообменник https://yadi.sk/d/IhQEAOdqjHHBM ; выложил тудазашифрованный файл, тхт созданный вирусом
Очень жду вашей помощи.
Заранее огромное спасибо.

CollectionLog-2015.09.24-01.32.zip

Изменено 23 сентября, 2015 пользователем Владислав Карачурин

23 сентября, 2015

http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

23 сентября, 2015

http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

Готово

23 сентября, 2015

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\а\appdata\roaming\ssleas.exe','');
QuarantineFile('C:\Users\а\appdata\roaming\cppredistx86.exe','');
DeleteFile('C:\Users\а\appdata\roaming\cppredistx86.exe','32');
DeleteFile('C:\Users\а\appdata\roaming\ssleas.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

24 сентября, 2015

Выполните скрипт в AVZ
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\а\appdata\roaming\ssleas.exe','');
QuarantineFile('C:\Users\а\appdata\roaming\cppredistx86.exe','');
DeleteFile('C:\Users\а\appdata\roaming\cppredistx86.exe','32');
DeleteFile('C:\Users\а\appdata\roaming\ssleas.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

CollectionLog-2015.09.24-16.55.zip

Изменено 24 сентября, 2015 пользователем Sandor
Убрал карантин

24 сентября, 2015

Файл C:\quarantine.zip отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

24 сентября, 2015

Файл C:\quarantine.zip отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

ssleas.exe - Trojan.Win32.Kesels.a

Детектирование файла будет добавлено в следующее обновление.

cppredistx86.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.xik

Это - потенциально опасное ПО. Детектирование файла будет добавлено в следующее обновление.

С уважением, Лаборатория Касперского

KLAN-3164312539

24 сентября, 2015

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

25 сентября, 2015

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

Addition.txt

FRST.txt

25 сентября, 2015

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
Winlogon\Notify\ordscba-x32: C:\Users\а\AppData\Local\ordscba.dll [X]
Winlogon\Notify\VESWinlogon-x32: VESWinlogon.dll [X]
CHR HKU\S-1-5-21-2429196310-2519038820-2074371357-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.rambler.ru/?utm_source=r44&utm_medium=distribution&utm_content=e08&utm_campaign=3w36
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://webalta.ru
HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://webalta.ru
HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
BHO: No Name -> {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} ->  No File
BHO-x32: No Name -> {31FF080D-12A3-439A-A2EF-4BA95A3148E8} ->  No File
BHO-x32: MailRuBHO Class -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll No File
BHO-x32: No Name -> {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} ->  No File
BHO-x32: No Name -> {95B7759C-8C7F-4BF1-B163-73684A933233} ->  No File
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
Toolbar: HKLM-x32 - No Name - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} -  No File
Toolbar: HKU\S-1-5-21-2429196310-2519038820-2074371357-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-2429196310-2519038820-2074371357-1000 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
Toolbar: HKU\S-1-5-21-2429196310-2519038820-2074371357-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR HKLM-x32\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
2015-08-11 18:59 - 2015-08-11 18:59 - 3148854 _____ () C:\Users\а\AppData\Roaming\683BEA12683BEA12.bmp
2015-08-12 09:19 - 2015-08-11 18:59 - 3148854 _____ () C:\Users\а\AppData\Roaming\683BEA12683BEA12.decryptedKLR.bmp
2015-01-13 20:18 - 2015-01-18 13:04 - 0442896 _____ () C:\Users\а\AppData\Roaming\data13.dat
AlternateDataStreams: C:\ProgramData\TEMP:1493A0EF
AlternateDataStreams: C:\Users\а\Local Settings:wa
AlternateDataStreams: C:\Users\а\AppData\Local:wa
AlternateDataStreams: C:\Users\а\AppData\Local\Application Data:wa
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1493A0EF
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

27 сентября, 2015

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
Winlogon\Notify\ordscba-x32: C:\Users\а\AppData\Local\ordscba.dll [X]
Winlogon\Notify\VESWinlogon-x32: VESWinlogon.dll [X]
CHR HKU\S-1-5-21-2429196310-2519038820-2074371357-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.rambler.ru/?utm_source=r44&utm_medium=distribution&utm_content=e08&utm_campaign=3w36
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://webalta.ru
HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://webalta.ru
HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://webalta.ru
BHO: No Name -> {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} ->  No File
BHO-x32: No Name -> {31FF080D-12A3-439A-A2EF-4BA95A3148E8} ->  No File
BHO-x32: MailRuBHO Class -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll No File
BHO-x32: No Name -> {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} ->  No File
BHO-x32: No Name -> {95B7759C-8C7F-4BF1-B163-73684A933233} ->  No File
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
Toolbar: HKLM-x32 - No Name - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} -  No File
Toolbar: HKU\S-1-5-21-2429196310-2519038820-2074371357-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-2429196310-2519038820-2074371357-1000 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
Toolbar: HKU\S-1-5-21-2429196310-2519038820-2074371357-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR HKLM-x32\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
2015-08-11 18:59 - 2015-08-11 18:59 - 3148854 _____ () C:\Users\а\AppData\Roaming\683BEA12683BEA12.bmp
2015-08-12 09:19 - 2015-08-11 18:59 - 3148854 _____ () C:\Users\а\AppData\Roaming\683BEA12683BEA12.decryptedKLR.bmp
2015-01-13 20:18 - 2015-01-18 13:04 - 0442896 _____ () C:\Users\а\AppData\Roaming\data13.dat
AlternateDataStreams: C:\ProgramData\TEMP:1493A0EF
AlternateDataStreams: C:\Users\а\Local Settings:wa
AlternateDataStreams: C:\Users\а\AppData\Local:wa
AlternateDataStreams: C:\Users\а\AppData\Local\Application Data:wa
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1493A0EF
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

Fixlog.txt

27 сентября, 2015

С расшифровкой не поможем

27 сентября, 2015

С расшифровкой не поможем

а к кому вообще можно обратиться что бы расшифровать ?

27 сентября, 2015

Лицензия на наш антивирус у вас есть?

27 сентября, 2015

К злодеям.

Вирлаб Лаборатории Касперского помогает только своим лицензионным пользователям

Все файлы были зашифрованы

Рекомендуемые сообщения

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

mike 1

Ссылка на комментарий

Поделиться на другие сайты

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

Sandor

Ссылка на комментарий

Поделиться на другие сайты

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

Владислав Карачурин

Ссылка на комментарий

Поделиться на другие сайты

mike 1

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Похожий контент

Обзор

Активность

Магазин

Поддержка

Kaspersky Support Forum