ransom.shade Зашифрованы файлы с расширением better_call_saul

[Lumin]

Добрый день, после открытия письма в браузере IE, стали зашифрованы файлы. Все бы хорошо, есть точка восстановления более ранняя, можно было бы попробовать откатиться, но зашифрован сетевой диск на котором есть ценная информация.

CollectionLog-2016.04.16-19.24.zip

[mike 1]

Логи делайте не через терминальную сессию.

[Lumin]

Логи делайте не через терминальную сессию.

Добрый день, выкладываю новый лог файл

CollectionLog-2016.04.18-10.19.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Lumin]

Необходимые файлы во вложении

 

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKLM\...\Run: [] => [X]

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

HKLM\...\Policies\Explorer\Run: [CA0EE633-E712-4D2D-BEB3-6EC09D64E431] => C:\Program Files\Common Files\Adobe\OOBA\PDApp\PPAPI\6F20194A-2EBC-4306-82CE-041DA2AB8C13.exe

HKLM\...\Policies\Explorer\Run: [AppDownloads] => C:\Program Files\Common Files\AppDownloads\BA5B3909-6D6A-4D31-BAE7-0CB47AA9AC25.exe

HKU\S-1-5-21-2275451565-3978671264-3366454504-1111\...409d6c4515e9\InprocServer32: [Default-shell32] C:\Users\ira.ivanova\AppData\Local\YjPack\dggkukpd.dll ATTENTION

HKU\S-1-5-21-2275451565-3978671264-3366454504-1111\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=8ad8230e581d18e14a561bd6b61cf0e7&text={searchTerms}

DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=8ad8230e581d18e14a561bd6b61cf0e7&text= <==== ATTENTION

CHR HKLM\...\Chrome\Extension: [iakddmmledeclcodpbgebfkhegaaddge] - hxxps://clients2.google.com/service/update2/crx

OPR Extension: (No Name) - C:\Users\ira.ivanova\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-06-18]

OPR Extension: (No Name) - C:\Users\ira.ivanova\AppData\Roaming\Opera Software\Opera Stable\Extensions\bgnkhhnnamicmpeenaelnjfhikgbkllg [2015-06-22]

OPR Extension: (No Name) - C:\Users\ira.ivanova\AppData\Roaming\Opera Software\Opera Stable\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2015-07-02]

OPR Extension: (No Name) - C:\Users\ira.ivanova\AppData\Roaming\Opera Software\Opera Stable\Extensions\denjcdefjebbmlihdoojnebochnkgcin [2015-06-08]

OPR Extension: (No Name) - C:\Users\ira.ivanova\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-06-26]

2016-04-14 17:21 - 2016-04-16 11:45 - 00000000 ____D C:\Users\ira.ivanova\Desktop\YjPack

2016-04-14 17:21 - 2016-04-16 11:45 - 00000000 ____D C:\Users\ira.ivanova\AppData\Local\Oczics

2016-04-14 17:20 - 2016-04-14 17:20 - 04320054 _____ C:\Users\ira.ivanova\AppData\Roaming\225D9FCD225D9FCD.bmp

2016-04-14 15:49 - 2016-04-16 11:45 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-04-14 15:49 - 2016-04-16 11:45 - 00000000 __SHD C:\ProgramData\Windows

2016-04-14 03:18 - 2016-04-14 03:18 - 00050354 _____ C:\Users\ira.ivanova\AppData\Roaming\minus.image.xml

2016-04-14 03:18 - 2016-04-14 03:18 - 00001422 _____ C:\Users\ira.ivanova\AppData\Roaming\DimorphWitPossumBileBarbarian

Task: {13E2D7FA-4754-4AEA-BE2D-7026BC547058} - System32\Tasks\Microsoft\Windows\ABA5B3909-6D6A-4D31-BAE7-0CB47AA9AC25 => C:\Program Files\Common Files\AppDownloads\BA5B3909-6D6A-4D31-BAE7-0CB47AA9AC25.exe

Task: {41168687-4EA6-475E-8FCE-21B6B916FCDE} - \extsetup -> No File <==== ATTENTION

Task: {5BF43E92-A908-4F57-8370-04110349FE5F} - \Microsoft\Windows\extsetup -> No File <==== ATTENTION

Task: {68E39DF0-A678-4C17-A642-F46BECFC5369} - System32\Tasks\Microsoft\Windows\CA0EE633-E712-4D2D-BEB3-6EC09D64E431 => C:\Program Files\Common Files\Adobe\OOBA\PDApp\PPAPI\6F20194A-2EBC-4306-82CE-041DA2AB8C13.exe <==== ATTENTION

Task: {6B71E330-B73A-4B26-BB2A-E2E41F3F3F36} - \SafeBrowser -> No File <==== ATTENTION

Task: {6CCAD430-3EF1-4B36-BA7F-FC73AB6752C7} - \Microsoft\Windows\KRBUUS\KRB Updater Utility Service -> No File <==== ATTENTION

Task: {7F52FD81-F84A-4AF1-89BC-F881C7763CEF} - System32\Tasks\Microsoft\Windows\ACA0EE633-E712-4D2D-BEB3-6EC09D64E431 => C:\Program Files\Common Files\Adobe\OOBA\PDApp\PPAPI\6F20194A-2EBC-4306-82CE-041DA2AB8C13.exe

Task: {B8440A93-57A6-484D-A4FB-E9973F147B6A} - \KRB Updater Utility -> No File <==== ATTENTION

Task: {DD6B3F70-E67C-492A-AC77-80BB80D2469D} - \Microsoft\Windows\SafeBrowser -> No File <==== ATTENTION

Task: {E2079153-43F6-4A6C-BDE7-FC1440418DF6} - System32\Tasks\Microsoft\Windows\BA5B3909-6D6A-4D31-BAE7-0CB47AA9AC25 => C:\Program Files\Common Files\AppDownloads\BA5B3909-6D6A-4D31-BAE7-0CB47AA9AC25.exe <==== ATTENTION

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Kinoroom Browser]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KRB Updater Utility]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\msszqhuajr]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Oczics]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\UQCmedia]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YjPack]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{C6E31A09-53A1-D878-A430-792EBAC5BFF7}]

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Lumin]

 

Во вложении Fixlog.txt. 

Upload.zip создан не был.

Fixlog.txt

Изменено 18 апреля, 2016 пользователем Lumin

[mike 1]

Пароли меняйте. Пишите запрос  http://forum.kasperskyclub.ru/index.php?showtopic=48525

 

Для повышения уровня компьютерной грамотности ознакомьтесь с этим:

 

1. http://virusinfo.info/announcement.php?f=46&a=52

2. http://goo.gl/P5TdeY