Все файлы на ПК зашифрованы better_call_saul

[InfernumDeus]

Добрый день.

Получил письмо со странным вордовским документом.

Позже узнал, что в нём содержится троян-downloader.

В итоге, после открытия файла прошла пара часов и я обнаружил, что все документы на компьютере зашифрованы и отсоединил его от сети. Разумеется, компьютер почистил Dr Web Cureit.

Прошу, выручите.

CollectionLog-2016.03.28-11.39.zip

Изменено 28 марта, 2016 пользователем InfernumDeus

[Sandor]

Здравствуйте!

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[InfernumDeus]

Готово.

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicyScripts: Restriction <======= ATTENTION
BHO: No Name -> {9c760b40-4718-40c3-a68d-2e4f21591d62} -> No File
BHO-x32: No Name -> {9c760b40-4718-40c3-a68d-2e4f21591d62} -> No File
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README9.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README8.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README7.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README6.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README5.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README4.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README3.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README2.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README10.txt
2016-03-24 16:56 - 2016-03-24 16:56 - 00002740 _____ C:\Users\Pavel\Desktop\README1.txt
2016-03-24 14:39 - 2016-03-28 10:11 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-03-24 14:39 - 2016-03-28 10:11 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Pavel\AppData\Local\Temp\917b0b87-3358-4e79-93de-3dfc2fc99ed0.exe
C:\Users\Pavel\AppData\Local\Temp\AskPIP_FF_.exe
C:\Users\Pavel\AppData\Local\Temp\AstroburnLite180-0183.exe
C:\Users\Pavel\AppData\Local\Temp\bassmod.dll
C:\Users\Pavel\AppData\Local\Temp\bdfilters.dll
C:\Users\Pavel\AppData\Local\Temp\carambis_cleaner_1e834f43b1e9d12e6ab5b82551319430eacb533d.exe
C:\Users\Pavel\AppData\Local\Temp\jre-8u31-windows-au.exe
C:\Users\Pavel\AppData\Local\Temp\jre-8u60-windows-au.exe
C:\Users\Pavel\AppData\Local\Temp\jre-8u73-windows-au.exe
C:\Users\Pavel\AppData\Local\Temp\MBSetup_helper-loader.exe
C:\Users\Pavel\AppData\Local\Temp\ochelper.exe
C:\Users\Pavel\AppData\Local\Temp\pyl80A9.tmp.exe
C:\Users\Pavel\AppData\Local\Temp\Quarantine.exe
C:\Users\Pavel\AppData\Local\Temp\sqlite3.dll
C:\Users\Pavel\AppData\Local\Temp\topazfusion2_setup.exe
C:\Users\Pavel\AppData\Local\Temp\Uninstall.exe
C:\Users\Pavel\AppData\Local\Temp\_is2CEB.exe
AlternateDataStreams: C:\Windows\system32\AirDisplay.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\AirDisplayMirror.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\AirDisplayWDDM.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\dns-sd.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\E_GCINST.DLL:$CmdTcID [130]
AlternateDataStreams: C:\Windows\system32\E_ID4BINE.DLL:$CmdTcID [130]
AlternateDataStreams: C:\Windows\system32\E_ILMINE.DLL:$CmdTcID [130]
AlternateDataStreams: C:\Windows\system32\P3coin64.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\P3coinst.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\VMAPO264.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\vncmirror.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wilpmv64.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WilPrins.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WilPrt.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\dns-sd.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\FlashPlayerApp.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\GdiPlus.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\VMAPO232.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\AVVideoCard.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\AVVideoCardMirror.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\AVWDDMMiniPort.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\BdaSup.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\dtsoftbus01.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\snapman.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\USBAUDIO.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\usbser.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\usbvideo.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\UTVAD.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\viahduaa.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\vncmirror.sys:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Desktop\41-52 14. Методические рекомендации по подготовке и проведению ГИА-9 в форме ОГЭ 2016.docx.los_pollos:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\bGu2vau-zWPFDqS3jB16EIZ21T5lPLpaioIW7M36MWef5F0ESnl7RlyPOjAKwbSGKfoHhduiM9vNphxJcXQ11g==.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\bXYUvgN6aNEDTyB80rv3EhUIkOPqrctjZeRUQWF67FEvxuFVhGS4sh9PtivMaNbD.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\cureit.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Desktop\fImol8Dt1BSfkiS4+I7BFJkjY08qh1TOiyZ5IcAxhrw=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\J4k8kn-kk5ARRDV9sjso+c7onGj1lKCZrM1bEXhTLEU=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\Ok6FjuRc71sQIDpEUea-Bk3tY3yMPrvfNmJc+JYpHFRbmVg+Qh6d+Cr-6zQH6JQInWexgDumnGnlop8LnzLHypCH+VFmZfTrRFqBlizfiawIWBnEER1-RctnwYrCLYCdBB9ZawbzY1VGfamAfExYtXnqlFUQROzL37N99oq56wE=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\P-UXma2-x5j4JbY7myB6ikKEdIkuqgrDuZoptHXJ5-PUcaO1SZBVo3eThyd122KU.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Desktop\zvI2XBrFPZBEhFYG06ja2j1bGcIxO2I5jM73zrkSabhB7KQ4hNB6PPHAM9F+bIf4E855MfsPNrloI3AG17olKicyqMMyF2UJic0CzPFKLps=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\-C0vs-CMrvTBgqvuM8hVig==.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\-LkdY0ap4y4oSv3tKm-Maw==.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\78DaIQAWsyYPJNA5+9tuPOGsR+Wl0IyCHjBO2q2COTRes98nzf3XRxkht4mAe39tvjdZLPft+6ijHi01Jh73bw==.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\83Mqr7OaUwhAOVlg74LnLB+GbyWylzQoCDyGb28ixOg=.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\AcronisTrueImage2016_web.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\bdcamsetup.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\COMODO_Antivirus_8.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\COMODO_Antivirus_8.exe:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\DTLiteInstaller.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\gbUw+JneB3VlUldDqiUnBJ6OdeHO9xcg4MTRlMGTbx8qHqmufI0cs0R+-NhjVghY98XZqdHemGGKgrZ3C+1Faw==.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\HcjPXQP5xTwDZm6hZf+KmEmb1Wt8zStNwIc4RxAYFPo=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\isotousb_setup.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\j24uZE7ea8T3MBa0qDjoKs95z-bjoRz1IdbtVul3rhdHWRH5NAwDvB26d55blnBFBDlfhIXjC2RdDqIUUyVppg==.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\KC+MNaa30sp0uGStaWxzfa9AjWG6Tfhqt3B5DD+kgtm2Y7GdSvEzRrccOLqyKR7fzLQg4YVK-88KIMAQ5gi8Kg==.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\kvrt_bundle.exe:$CmdTcID [130]
AlternateDataStreams: C:\Users\Pavel\Downloads\kvrt_bundle.exe:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\ljM1120-hb-pnp-win64-ru.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\ljM1120-hb-pnp-win64-ru.exe:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\maCz6X01nK3l+kzWRHTYzDuvXYDZdrReAG5EwLPyvFrIMBCHk2WUL4HJIj68yADJ08DRHr852XcY2fHur496yA==.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\o8K+VAPl2oqKT0c3aHsUEG-+WQedw0nKoABXYtFMTp7cBooPsW-q09icJu81TzGhyBMPNINzUzh1pkwfFoUmmg==.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\PowerISO6-x64.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\s6uv0rP+UL3Q7GubYc3-cV0B87jPV-8IcMRAwAxUBszBTeMAcrnuXbq5bB+jmfR8.1B13FF8006E445866B98.better_call_saul:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\schet.1071.22.03.2016.wsf:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\uiso9_pe.exe:$CmdTcID [130]
AlternateDataStreams: C:\Users\Pavel\Downloads\uiso9_pe.exe:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\uyPmwbwwRuGcDSnZU59Tc9ys0DtkXNWlJpzBea20y2s=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\Win32DiskImager-0.9.5-install.exe:$CmdTcID [64]
AlternateDataStreams: C:\Users\Pavel\Downloads\zcu0rW3SMBgccR+YRQnvoQ+mYdO7ioytAW6mrVqDj2U=.1B13FF8006E445866B98.better_call_saul:$CmdZnID [26]
AlternateDataStreams: C:\Users\Pavel\Downloads\[NNM-Club.ru]_Acronis True Image Home 2013 16 Build 5551 + PlusPack RePack by KpoJIuK.torrent.los_pollos:$CmdTcID [130]
AlternateDataStreams: C:\Users\Pavel\Downloads\СанПиН ПОСТАНОВЛЕНИЕ от 29.12.2010 с изменениями от 2011, 2013 и 25 ноября 2015 года.docx.los_pollos:$CmdZnID [26]
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[InfernumDeus]

Сделано.

Fixlog.txt

[Sandor]

При наличии лицензии на антивирус Касперского можете создать запрос на расшифровку.

[InfernumDeus]

Увы. Не имеем.

А есть ли другой способ?

[Sandor]

Пробуйте восстановить средствами Windows.