вирус шифратор better_call_saul 15 апреля 2016

[Iren80]

Добрый день

 

сложилась следующая ситуация

получила письмо с сообщение " у вас долг"

там был архив

открыла и все

потом текст письма

 

"Ваши файлы были зашифрованы.

Чтобы расшифровать их, Вам необходимо отправить код:

73BF44963E773C6B588B|0

на электронный адрес Rufinian.Valichitskiy@gmail.com .

Далее вы получите все необходимые инструкции.

Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

Если вы всё же хотите попытаться, то предварительно сделайте резервные копии файлов, иначе в случае

их изменения расшифровка станет невозможной ни при каких условиях.

Если вы не получили ответа по вышеуказанному адресу в течение 48 часов (и только в этом случае!),

воспользуйтесь резервным адресом. Его можно узнать двумя способами:

1) Скачайте и установите Tor Browser по ссылке: https://www.torproject.org/download/download-easy.html.en

В адресной строке Tor Browser-а введите адрес:

http://cryptorzimsbfbkx.onion/

и нажмите Enter. Загрузится страница с резервными email-адресами.

2) В любом браузере перейдите по одному из адресов:

http://cryptorzimsbfbkx.onion.to/

http://cryptorzimsbfbkx.onion.cab/"

 

прочитала у вас на форуме порядок обращения , прикрепляю файл

 

С уважение Ирина

 

 

CollectionLog-2016.04.15-11.43.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','IXsoft');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Oqics');
 DeleteFile('C:\Users\Менеджер\AppData\Local\IXsoft\lzcomex.dll','32');
 DeleteFile('C:\Users\Менеджер\AppData\Local\Ohics\AclComex.dll','32');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером. 

 

 

[Iren80]

после проведения всех мероприятий файлы так и остались зашифрованы

какие действия предпринимать далее ?

прикрепляю новый файл

 

CollectionLog-2016.04.15-13.15.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Iren80]

прикрепляю полученнык файлы по сканированию

FRST.txt

Addition.txt

Изменено 15 апреля, 2016 пользователем Iren80

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKLM\...\Policies\Explorer\Run: [2966664941] => C:\PROGRA~3\msrvthup.exe

AppInit_DLLs: C:\PROGRA~3\WinSpeed\WINSPE~1.DLL => No File

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1406632372&from=cor&uid=ST500DM002-1BD142_W3T37EBPXXXXW3T37EBP&q={searchTerms}

HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1406632372&from=cor&uid=ST500DM002-1BD142_W3T37EBPXXXXW3T37EBP&q={searchTerms}

2016-04-13 12:27 - 2016-04-13 15:24 - 00000000 ____D C:\Users\Менеджер\AppData\Local\Ohics

2016-04-13 12:27 - 2016-04-13 12:46 - 00000000 ____D C:\Users\Менеджер\AppData\Local\IXsoft

2016-04-13 12:27 - 2016-04-13 12:27 - 06220854 _____ C:\Users\Менеджер\AppData\Roaming\148C57C6148C57C6.bmp

2016-04-13 11:39 - 2016-04-13 12:49 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-04-13 11:39 - 2016-04-13 12:49 - 00000000 __SHD C:\ProgramData\Windows

Task: {427337D1-003F-4954-AA3F-5121128C4190} - System32\Tasks\Optimizer Pro Schedule => C:\Program Files (x86)\Optimizer Pro\OptProLauncher.exe <==== ATTENTION

zip:C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Iren80]

прикрепляю

Fixlog.txt

Изменено 15 апреля, 2016 пользователем mike 1
Карантин в теме

[mike 1]

А ну-ка вспоминайте что просили сделать с архивом upload.zip?

[Iren80]

)) вспомнила загрузила

[Iren80]

Добрый день

 

подскажите пожалуйста есть надежда на восстановление всех данных ?

[mike 1]

Пишите запрос  http://forum.kasperskyclub.ru/index.php?showtopic=48525

 

Для повышения уровня компьютерной грамотности ознакомьтесь с этим:

 

1. http://virusinfo.info/announcement.php?f=46&a=52

2. http://goo.gl/P5TdeY

[Iren80]

про запрос поняла, спасибо

а то, что мы делали до этого, это был анализ ситуации ?

просто, мне хотелось бы понимать, реально восстановить все , перед формированием запроса ?

чтобы далее предпринимать все необходимые действия

подскажите пожалуйста, можно ли оплатить эту услугу (дешифрование) отдельно ?

[mike 1]

 

 

а то, что мы делали до этого, это был анализ ситуации ?

Нет. Почистили компьютер от вирусов.

 

 

 

просто, мне хотелось бы понимать, реально восстановить все , перед формированием запроса ?

Реально, если есть бэкап, но к сожалению, большинство пользователей даже не задумываются о нем пока жаренным не запахнет. 

[Iren80]

прошу вас уточните относительно услуги дешифрования за отдельно выставленный счет ?

т к наша компания перестала быть вашим клиентом

 

к сожалению про бэкап, да не делала, хотя просила своих настроить ранее,в общем отдельная история

[mike 1]

 

 

 услуги дешифрования за отдельно выставленный счет ?

Такой услуги нет.