Перейти к содержанию

Шифровальщик better_call_saul 2 ком


Рекомендуемые сообщения

Добрый день.

Вчера  открыли письмо "счет на оплату" по почте.

Один не смог открыть и переслал второму... 

После открытия все офисные документы были зашифрованы, с окончанием better_call_saul, реквизитов для контакта файл не создало.

 

Результаты во вложении.

CollectionLog-2016.04.13-11.48.zip

Ссылка на комментарий
Поделиться на другие сайты

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 


 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 



begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 QuarantineFile('C:\Users\a.muntean\AppData\Local\Uddgmedia\visionman.dll','');
 QuarantineFile('C:\Users\a.muntean\AppData\Local\UWQmedia\MicromaxUserPort.dll','');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('c:\programdata\windows\csrss.exe','');
 DeleteFile('c:\programdata\windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','UWQmedia');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ukzmedia');
 DeleteFile('C:\Users\a.muntean\AppData\Local\UWQmedia\MicromaxUserPort.dll','32');
 DeleteFile('C:\Users\a.muntean\AppData\Local\Uddgmedia\visionman.dll','32');
ExecuteSysClean;
RebootWindows(true);
end. 


 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 



begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.


 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

 

Сделайте новые логи Автологгером. 

 

Ссылка на комментарий
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:



CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-152962787-2192356345-3230990038-6134\...\Run: [UWQmedia] => regsvr32.exe C:\Users\a.muntean\AppData\Local\UWQmedia\MicromaxUserPort.dll <===== ATTENTION
HKU\S-1-5-21-152962787-2192356345-3230990038-6134\...\Run: [Ukzmedia] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\a.muntean\AppData\Local\Uddgmedia\visionman.dll
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
2016-04-12 16:24 - 2016-04-12 16:26 - 00000000 ____D C:\Users\a.muntean\AppData\Local\Uddgmedia
2016-04-12 16:24 - 2016-04-12 16:24 - 00000000 ____D C:\Users\a.muntean\AppData\Local\UWQmedia
2016-04-12 16:23 - 2016-04-12 16:23 - 06220854 _____ C:\Users\a.muntean\AppData\Roaming\6FD029B06FD029B0.bmp
2016-04-12 14:39 - 2016-04-12 14:39 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-12 14:39 - 2016-04-12 14:39 - 00000000 __SHD C:\ProgramData\Windows
2016-04-12 02:14 - 2016-04-12 02:14 - 00002390 _____ C:\Users\a.muntean\AppData\Roaming\OsseletStopoffSecrecy
2016-04-09 12:01 - 2016-04-09 12:01 - 00025600 _____ C:\Users\a.muntean\AppData\Roaming\snoots.dll
C:\Users\a.muntean\AppData\Local\Temp\8C6D7134.exe
zip:C:\FRST\Quarantine



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты

Отчеты FIXLIST.TXT во вложении

архив upload.zip, то загружен 

 

 
 
Файл сохранён как 160415_081239_Upload_57107847d4c89.zip Размер файла 1391003 MD5 c9241241eab319530834f8da96c1266a

Fixlog.txt

Изменено пользователем mohamed
Ссылка на комментарий
Поделиться на другие сайты

Пишите запрос  http://forum.kasperskyclub.ru/index.php?showtopic=48525

 

Для повышения уровня компьютерной грамотности ознакомьтесь с этим:
 
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Александр94
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • IrinaC
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
    • yarosvent
      От yarosvent
      Доброго,
      просим помочь расшифровать данные
    • WL787878
      От WL787878
      Key2030_Help.txt
      Здравствуйте. Возможно ли получить помощь в расшифровке файлов? Логи прилагаю.
      Addition.txt FRST.txt
×
×
  • Создать...