Шифровальщик. Помощь

[Popay]

Добрый день. Поймал шифровальщика помогите пожалуйста. 

Addition.txt

FRST.txt

[Sandor]

Здравствуйте!

 

Начните со стандартных логов:

Порядок оформления запроса о помощи

[Popay]

Здравствуйте!

 

Начните со стандартных логов:

Порядок оформления запроса о помощи

Я же прикрепил логи. Что еще требуется сделать?

[thyrex]

Стоит перейти по ссылке и прочитать, какие логи нам требуются

[Popay]

сейчас правильно?

Стоит перейти по ссылке и прочитать, какие логи нам требуются

 

CollectionLog-2015.12.13-13.19.zip

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{789DB09C-38AE-4BAC-98CB-54BBFBE3A707}: [NameServer] 0.0.0.0 0.0.0.0
Tcpip\..\Interfaces\{D0EE8777-89F9-43F4-9623-4F6D6A0CF41B}: [NameServer] 0.0.0.0 0.0.0.0
Tcpip\..\Interfaces\{D6D9B1B4-E11F-4C93-A964-A083D3938601}: [NameServer] 0.0.0.0 0.0.0.0
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://webalta.ru/search
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://yambler.net
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://webalta.ru/search
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://webalta.ru/search
SearchScopes: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> DefaultScope {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = hxxp://webalta.ru/search?q={searchTerms}&from=IE
SearchScopes: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = hxxp://webalta.ru/search?q={searchTerms}&from=IE
BHO: NOW!Imaging -> {9AA2F14F-E956-44B8-8694-A5B615CDF341} -> C:\Program Files\ONSPEED\components\NOWImaging.dll => No File
Toolbar: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> No Name - {8B79EE88-E62D-4AA8-B530-CC357BA112B7} -  No File
2015-12-08 18:58 - 2015-12-08 18:58 - 03148854 _____ C:\Users\Евроазия\AppData\Roaming\78EB05FE78EB05FE.bmp
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README9.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README8.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README7.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README6.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README5.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README4.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README3.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README2.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README10.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README1.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README9.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README8.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README7.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README6.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README5.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README4.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README3.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README2.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README10.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README1.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README9.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README8.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README7.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README6.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README5.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README4.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README3.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README2.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README10.txt
2015-12-08 17:30 - 2015-12-10 12:06 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-12-08 17:30 - 2015-12-10 12:06 - 00000000 __SHD C:\ProgramData\Windows
CustomCLSID: HKU\S-1-5-21-682233668-1453596577-3102257296-1000_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Users\Евроазия\AppData\Local\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-682233668-1453596577-3102257296-1000_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Users\Евроазия\AppData\Local\Google\Update\1.3.28.15\psuser.dll => No File
AlternateDataStreams: C:\ProgramData\TEMP:44504F07
AlternateDataStreams: C:\Users\Все пользователи\TEMP:44504F07
AlternateDataStreams: C:\Users\Евроазия\Local Settings:wa
AlternateDataStreams: C:\Users\Евроазия\AppData\Local:wa
AlternateDataStreams: C:\Users\Евроазия\AppData\Local\Application Data:wa
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[Popay]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{789DB09C-38AE-4BAC-98CB-54BBFBE3A707}: [NameServer] 0.0.0.0 0.0.0.0
Tcpip\..\Interfaces\{D0EE8777-89F9-43F4-9623-4F6D6A0CF41B}: [NameServer] 0.0.0.0 0.0.0.0
Tcpip\..\Interfaces\{D6D9B1B4-E11F-4C93-A964-A083D3938601}: [NameServer] 0.0.0.0 0.0.0.0
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://webalta.ru/search
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://yambler.net
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://webalta.ru/search
HKU\S-1-5-21-682233668-1453596577-3102257296-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://webalta.ru/search
SearchScopes: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> DefaultScope {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = hxxp://webalta.ru/search?q={searchTerms}&from=IE
SearchScopes: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = hxxp://webalta.ru/search?q={searchTerms}&from=IE
BHO: NOW!Imaging -> {9AA2F14F-E956-44B8-8694-A5B615CDF341} -> C:\Program Files\ONSPEED\components\NOWImaging.dll => No File
Toolbar: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-682233668-1453596577-3102257296-1000 -> No Name - {8B79EE88-E62D-4AA8-B530-CC357BA112B7} -  No File
2015-12-08 18:58 - 2015-12-08 18:58 - 03148854 _____ C:\Users\Евроазия\AppData\Roaming\78EB05FE78EB05FE.bmp
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README9.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README8.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README7.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README6.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README5.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README4.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README3.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README2.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README10.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Евроазия\Desktop\README1.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README9.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README8.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README7.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README6.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README5.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README4.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README3.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README2.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README10.txt
2015-12-08 18:58 - 2015-12-08 18:58 - 00000839 _____ C:\Users\Public\Desktop\README1.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README9.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README8.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README7.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README6.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README5.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README4.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README3.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README2.txt
2015-12-08 17:31 - 2015-12-08 17:31 - 00000839 _____ C:\README10.txt
2015-12-08 17:30 - 2015-12-10 12:06 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-12-08 17:30 - 2015-12-10 12:06 - 00000000 __SHD C:\ProgramData\Windows
CustomCLSID: HKU\S-1-5-21-682233668-1453596577-3102257296-1000_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Users\Евроазия\AppData\Local\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-682233668-1453596577-3102257296-1000_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Users\Евроазия\AppData\Local\Google\Update\1.3.28.15\psuser.dll => No File
AlternateDataStreams: C:\ProgramData\TEMP:44504F07
AlternateDataStreams: C:\Users\Все пользователи\TEMP:44504F07
AlternateDataStreams: C:\Users\Евроазия\Local Settings:wa
AlternateDataStreams: C:\Users\Евроазия\AppData\Local:wa
AlternateDataStreams: C:\Users\Евроазия\AppData\Local\Application Data:wa
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

Fixlog.txt

[thyrex]

С расшифровкой не поможем