Перейти к содержанию

Помогите расшифровать файлы типа da_vinci_code

AnnaRbyztdf
 Share

Рекомендуемые сообщения

AnnaRbyztdf Новичок

AnnaRbyztdf

Опубликовано
Опубликовано

Здравствуйте!Через электронную почту поймала вирус шифровальщик.За расшифровку просят 12 000 руб.Помогите расшифровать если это возможно

CollectionLog-2016.05.12-11.32.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

AnySend

application extension version 1.5

Ask Toolbar

Extended Update

Free Up Expand

Free VPN version 3.2

GamesDesktop 033.005010252

Image Resizer Packages

mystartsearch uninstall

Reimage Repair

Remote Desktop Access (VuuPC)

SafeFinder

Surfing Protection

Time tasks

Wajam

Web SafetyExtension version 4.47

ZaxarGameBrowser

Интернет

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\a023219c7fd32dce\Yandex.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\e266f123fb42563b\Google Chrome.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launсh Intеrnеt Ехрlоrеr Вrowsеr.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Internеt Eхplorеr Вrowser.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnet Exрlorer.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Eхplorеr.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplorеr.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnet Еxрlorer (Nо Аdd-ons).lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Eхplоrеr (Nо Add-оns).lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (No Аdd-ons).lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-ons).lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Яндекс.Бар\Oнлaйн пoмoщь по Яндекс.Бaру для Intеrnеt Ехplorеr.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Яндекс.Бар\Oнлaйн помощь пo Яндекс.Бару для Intеrnеt Explorer.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Яндекс.Бар\Онлайн помощь по Яндекс.Бару для Intеrnet Explorer.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\СБИС плагин\СБИС плагин.lnk', '');
 QuarantineFile('C:\Users\123\Desktop\СБИС плагин.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TOSHIBA\Limitеd Wаrrаnty.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TOSHIBA\Маnual.lnk', '');
 QuarantineFile('C:\Users\123\AppData\Local\iPLVmiBv\uTkXaOj1.bat', '');
 QuarantineFile('C:\ProgramData\toHubLTtA\jlTbuU0.bat', '');
 QuarantineFile('C:\ProgramData\ETlnmHs\BNNvdoTlUm3.bat', '');
 QuarantineFile('C:\Users\123\AppData\Local\BXzsNOQpC\rnaxcwgnVF3.bat', '');
 QuarantineFile('C:\Users\123\AppData\Roaming\Browsers\exe.rehcnualxert.bat', '');
 QuarantineFileF('C:\Users\123\AppData\Local\iPLVmiBv', '*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\toHubLTtA', '*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\ETlnmHs', '*', true, '', 0, 0);
 QuarantineFileF('C:\Users\123\AppData\Local\BXzsNOQpC', '*', true, '', 0, 0);
 QuarantineFileF('C:\Users\123\AppData\Roaming\Browsers', '*', true, '', 0, 0);
 QuarantineFileF('c:\program files\sfk', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Program Files\SFK\SSFK.exe', '');
 DeleteFile('C:\Users\123\AppData\Local\iPLVmiBv\uTkXaOj1.bat', '');
 DeleteFile('C:\ProgramData\toHubLTtA\jlTbuU0.bat', '');
 DeleteFile('C:\ProgramData\ETlnmHs\BNNvdoTlUm3.bat', '');
 DeleteFile('C:\Users\123\AppData\Local\BXzsNOQpC\rnaxcwgnVF3.bat', '');
 DeleteFile('C:\Users\123\AppData\Roaming\Browsers\exe.rehcnualxert.bat', '');
 DeleteFile('C:\Program Files\SFK\SSFK.exe', '32');
 DeleteService('SSFK');
 DeleteFileMask('C:\Users\123\AppData\Local\iPLVmiBv', '*', true);
 DeleteFileMask('C:\ProgramData\toHubLTtA', '*', true);
 DeleteFileMask('C:\ProgramData\ETlnmHs', '*', true);
 DeleteFileMask('C:\Users\123\AppData\Local\BXzsNOQpC', '*', true);
 DeleteFileMask('C:\Users\123\AppData\Roaming\Browsers', '*', true);
 DeleteFileMask('c:\program files\sfk', '*', true);
 DeleteDirectory('C:\Users\123\AppData\Local\iPLVmiBv');
 DeleteDirectory('C:\ProgramData\toHubLTtA');
 DeleteDirectory('C:\ProgramData\ETlnmHs');
 DeleteDirectory('C:\Users\123\AppData\Local\BXzsNOQpC');
 DeleteDirectory('C:\Users\123\AppData\Roaming\Browsers');
 DeleteDirectory('c:\program files\sfk');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(4);
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Далее:

  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
AnnaRbyztdf Новичок

AnnaRbyztdf

Опубликовано
  • Автор
Опубликовано

По инструкции вы просили отправить лог типа ClearLnk/Я его прислала.какой лог нужно еще.

номер KLAN 4265776134


Присылаю следующий отчет по результатам сканирования.

AdwCleanerS1.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-2331037684-1471060639-1517099455-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF HKLM\...\Firefox\Extensions: [ext@MediaViewV1alpha7304.net] - C:\Program Files\MediaViewV1\MediaViewV1alpha7304\ff => not found
FF HKLM\...\Firefox\Extensions: [ext@MediaWatchV1home4627.net] - C:\Program Files\MediaWatchV1\MediaWatchV1home4627\ff => not found
FF HKLM\...\Firefox\Extensions: [ext@MediaBuzzV1mode4447.net] - C:\Program Files\MediaBuzzV1\MediaBuzzV1mode4447\ff => not found
CHR Extension: (NetSecurity) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapbdbdomjkkjkaonfhkkikfgjllcleb [2014-02-27]
CHR Extension: (NetSecurity) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\bdkcoapcngfnfopmmappjaiaajhidcon [2013-01-17]
CHR Extension: (Quick Searcher) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\bdmjagdcpkfpebaaffpafncgkleijako [2015-03-22]
CHR Extension: (NetSecurity) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\dchlnpcodkpfdpacogkljefecpegganj [2012-12-09]
CHR Extension: (NetSecurity) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\jagncdcchgajhfhijbbhecadmaiegcmh [2012-12-09]
CHR Extension: (NetSecurity) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodbbdjhdd [2014-02-12]
CHR Extension: (NetSecurity) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjldcfjmnllhmgjclecdnfampinooman [2012-12-09]
CHR Extension: (Mail.Ru) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\njabjmhinndphfnbjehdalkphpdmepli [2015-03-22]
CHR Extension: (allskidkimos) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
CHR Extension: (allskidkimos) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 3\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
CHR Extension: (allskidkimos) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 5\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 6\Extensions\odkmedfomghphdnmmemhkpoanggcfbbe [2015-04-07]
CHR Extension: (allskidkimos) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 6\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
CHR Extension: (allskidkimos) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 7\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\aeembeejekghkopiabadonpmfpigojok [2016-02-16]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\aohghmighlieiainnegkcijnfilokake [2015-04-07]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-04-07]
CHR Extension: (Mail.Ru) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\bgcifljfapbhgiehkjlckfjmgeojijcb [2016-05-12]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-04-07]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-04-07]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\ilamgbdaebkbpkkmfmmfbnaamkhijdek [2015-08-19]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\lbjjfiihgfegniolckphpnfaokdkbmdm [2016-05-12]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\odkmedfomghphdnmmemhkpoanggcfbbe [2015-04-07]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-03-04]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\ofdgafmdegfkhfdfkmllfefmcmcjllec [2015-08-19]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-04-07]
CHR Extension: (No Name) - C:\Users\123\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\pnooffjhclkocplopffdbcdghmiffhji [2015-08-19]
OPR Extension: (No Name) - C:\Users\123\AppData\Roaming\Opera Software\Opera Stable\Extensions\olloiaimloohiaakaloloiggpinomffj [2015-08-19]
2016-05-12 12:34 - 2016-05-12 12:50 - 00000000 ____D C:\Users\123\AppData\Local\ZetaGamesViewer
2016-05-12 12:32 - 2016-05-12 15:09 - 00000000 ____D C:\Users\123\AppData\Roaming\LoadLeader
2016-05-12 12:31 - 2016-05-12 12:53 - 00000000 ____D C:\Users\123\AppData\Local\ZetaGamesNews
2016-05-11 08:36 - 2016-05-11 08:36 - 03148854 _____ C:\Users\123\AppData\Roaming\9BEAC1399BEAC139.bmp
2016-05-11 07:43 - 2016-05-11 10:14 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-05-11 07:43 - 2016-05-11 10:14 - 00000000 __SHD C:\ProgramData\Windows
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README9.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README8.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README7.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README6.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README5.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README4.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README3.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README2.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README10.txt
2016-05-10 13:33 - 2016-05-11 07:44 - 00002722 _____ C:\README1.txt
2016-05-11 08:24 - 2015-08-19 12:51 - 00000000 ____D C:\Users\123\AppData\LocalLow\IObit
2016-05-11 07:45 - 2015-08-19 12:50 - 00000000 ____D C:\Users\Все пользователи\IObit
2016-05-11 07:45 - 2015-08-19 12:50 - 00000000 ____D C:\ProgramData\IObit
2016-05-11 07:44 - 2015-08-19 12:52 - 00000000 ____D C:\Users\Все пользователи\ProductData
2016-05-11 07:44 - 2015-08-19 12:52 - 00000000 ____D C:\ProgramData\ProductData
C:\Users\123\AppData\Local\Temp\A~NSISu_.exe
C:\Users\123\AppData\Local\Temp\MailRuUpdater.exe
C:\Users\123\AppData\Local\Temp\ReimageExpressSetup.exe
Task: {2E7496CB-C330-4CEA-83B5-0CEF74D48497} - System32\Tasks\MailRuUpdater => C:\Users\123\AppData\Local\Mail.Ru\MailRuUpdater.exe
Task: {555AFB66-5C2E-45DF-A70C-527DB82831FF} - System32\Tasks\Driver Booster SkipUAC (123) => C:\Program Files\IObit\Driver Booster\DriverBooster.exe
AlternateDataStreams: C:\Users\123\Local Settings:wa [146]
AlternateDataStreams: C:\Users\123\AppData\Local:wa [146]
AlternateDataStreams: C:\Users\123\AppData\Local\Application Data:wa [146]
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

 

Ярлыки

C:\Users\123\Desktop\СБИС плагин.lnk

C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\СБИС плагин\СБИС плагин.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

+

Удалите лишние адаптеры Microsoft 6to4

Ссылка на комментарий
Поделиться на другие сайты
AnnaRbyztdf Новичок

AnnaRbyztdf

Опубликовано
  • Автор
Опубликовано

следующий лог


Если Восстановление системы было включено ДО заражения, пробуйте восстановить файлы средствами Windows.

Компьютер был заражен 10 мая.сначала диск Д (так как на нем не была включена защита),а потом диск С.Восстановление системы уже пыталась делать ранее,но вот сейчас последняя точка восстановления это 11 мая,это время когда файлы уже были в зашифрованном виде.

ClearLNK-16.05.2016_12-05.log

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

В приведенной выше ссылке речь идет не восстановлении системы, а о восстановлении файлов.

Впрочем, помогает редко. Увы, больше ничем не поможем.

Ссылка на комментарий
Поделиться на другие сайты
AnnaRbyztdf Новичок

AnnaRbyztdf

Опубликовано
  • Автор
Опубликовано

Получается что расшифровать файлы не получится.Вся вышеуказанная работа проведена зря.

Делала восстановление файла "Восстановить прежнюю версию".Она восстанавливается апрелем но файл все равно зашифрованный.

Неужели нельзя расшифровать файлы такого типа?

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...