Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Шифровальщик Da Vinci Code

x0mka
 Поделиться

Рекомендуемые сообщения

thyrex

thyrex

Опубликовано
Опубликовано

Сработал, потому что Ваши шаловливые ручки его и запустили, получив команду от мозга :)

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\content defender\nfregdrv.exe','');
 QuarantineFile('C:\Program Files\content defender\import_root_cert.exe','');
 QuarantineFile('C:\Program Files\content defender\contentdefenderps.dll','');
 QuarantineFile('C:\Program Files\content defender\condefsetup.exe','');
 QuarantineFile('C:\Program Files\content defender\condefclean.exe','');
 DeleteFile('C:\Program Files\content defender\condefclean.exe','32');
 DeleteFile('C:\Program Files\content defender\condefsetup.exe','32');
 DeleteFile('C:\Program Files\content defender\contentdefenderps.dll','32');
 DeleteFile('C:\Program Files\content defender\import_root_cert.exe','32');
 DeleteFile('C:\Program Files\content defender\nfregdrv.exe','32');
 DeleteFile('C:\Program Files\content defender\nss\certutil.exe','32');
 DeleteFile('C:\Program Files\content defender\nss\mozcrt19.dll','32');
 DeleteFile('C:\Program Files\content defender\nss\nspr4.dll','32');
 DeleteFile('C:\Program Files\content defender\nss\nss3.dll','32');
 DeleteFile('C:\Program Files\content defender\nss\plc4.dll','32');
 DeleteFile('C:\Program Files\content defender\nss\plds4.dll','32');
 DeleteFile('C:\Program Files\content defender\nss\smime3.dll','32');
 DeleteFile('C:\Program Files\content defender\nss\softokn3.dll','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

x0mka

x0mka

Опубликовано
  • Автор
Опубликовано
Re: da vinci code [KLAN-4269885827]
14 мая в 16:10
newvirus@kaspersky.com
 
Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

nfregdrv.exe,
import_root_cert.exe,
contentdefenderps.dll,
condefsetup.exe,
condefclean.exe - not-a-virus:NetTool.Win32

.NetFilter.h

Это - потенциально опасное ПО. Детектирование файлов будет добавлено в следующее обновление.

С уважением, Лаборатория Касперского

thyrex

thyrex

Опубликовано
Опубликовано

Удалите в МВАМ все, кроме

HackTool.AutoKMS, C:\Users\арина\Desktop\с сервера\Users\NataKash\Desktop\KMSAuto Net.exe, , [daf18d4812872c0acd6f73426d940df3], 
HackTool.AutoKMS, C:\Users\арина\Desktop\с сервера\Users\Администратор\Desktop\KMSAuto Net.exe, , [48830dc877226ec8ea52fbbab051cc34],
thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

thyrex

thyrex

Опубликовано
Опубликовано

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

1. Распакуйте архив с утилитой в отдельную папку.

2. Перенесите Check_Browsers_LNK.log из папки Autologger на ClearLNK как показано на рисунке

move.gif

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

4. Прикрепите этот отчет к своему следующему сообщению.

 

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM-x32\...\Run: [] => [X]
BHO: No Name -> {9030D464-4C02-4ABF-8ECC-5164760863C6} -> No File
BHO: No Name -> {B164E929-A1B6-4A06-B104-2CD0E90A88FF} -> No File
BHO-x32: No Name -> {B164E929-A1B6-4A06-B104-2CD0E90A88FF} -> No File
Handler: dssrequest - {5513F07E-936B-4E52-9B00-067394E91CC5} -  No File
Handler: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} -  No File
Filter: application/x-mfe-ipt - {3EF5086B-5478-4598-A054-786C45D75692} -  No File
FF HKLM-x32\...\Firefox\Extensions: [{D19CA586-DD6C-4a0a-96F8-14644F340D60}] - C:\Program Files (x86)\Common Files\McAfee\SystemCore => not found
FF HKLM-x32\...\Firefox\Extensions: [{4ED1F68A-5463-4931-9384-8FFF5ED91D92}] - C:\Program Files (x86)\McAfee\SiteAdvisor => not found
CHR Plugin: (Shockwave Flash) - C:\Program Files (x86)\Google\Chrome\Application\50.0.2661.102\gcswf32.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32.dll => No File
CHR Plugin: (Silverlight Plug-In) - C:\Program Files (x86)\Microsoft Silverlight\4.0.50401.0\npctrl.dll => No File
CHR Plugin: (Native Client) - C:\Program Files (x86)\Google\Chrome\Application\50.0.2661.102\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Program Files (x86)\Google\Chrome\Application\50.0.2661.102\pdf.dll => No File
CHR Plugin: (Google Update) - C:\Program Files (x86)\Google\Update\1.3.21.79\npGoogleUpdate3.dll => No File
2016-05-13 16:07 - 2016-05-13 16:07 - 03148854 _____ C:\Users\арина\AppData\Roaming\6EA68A7D6EA68A7D.bmp
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README9.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README8.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README7.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README6.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README5.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README4.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README3.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README2.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README10.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\арина\Desktop\README1.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README9.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README8.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README7.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README6.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README5.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README4.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README3.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README2.txt
2016-05-13 16:07 - 2016-05-13 16:07 - 00002718 _____ C:\Users\Public\Desktop\README10.txt
2016-05-13 13:35 - 2016-05-14 13:46 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-05-13 13:35 - 2016-05-14 13:46 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

  • Обратите внимание, что компьютер будет перезагружен.
Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • vovans
      xtbl
      Автор vovans
      Здравствуйте! Вирус шифровальщик зашифровал весь домашний фото и видеоархив.Сын удалил все вирусы и переустановил Винду.
      Название вируса не сохранил,не знаю что делать. Может есть какая надежда. Стоит Anti-virus 6.0 1688-000451-1CAB33D7.
      ++ESOAXTI-mH+-uhRET6nBLflYWVIDFR6Q7o9t-sNgI=.56697943D750721BF718.xtbl.zip
    • avanGARd62
      Вирус зашифровал файлы в *XTBL
      Автор avanGARd62
      Вирус-шифровальщик зашифровал многочисленные файлы на ноутбуке, сделав расширение XTBL. На рабочем столе создалось несколько файлов README, в которых содержится призыв отправить злоумышленникам на e-mail код для получения дальнейших инструкций.
      Прикрепляю лог, полученный при сканировании (согласно инструкции).
       
      Пожалуйста, помогите.
      CollectionLog-2015.08.13-23.13.zip
    • Людмила 84
      Файлы зашифрованы в формат XTBL
      Автор Людмила 84
      Файлы зашифрованы в формат XTBL, нужен,как вернуть их в прежний формат. Проблема появилась после скачивания книги с непонятным форматом. Вкладываю в сообщение файл протоколов (логов) CollectionLog-2015.08.15-11.17.zip. Обнаружен файл txt с текстом: Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: 77CF48B1169A0CBE123D|79|2|2 на электронный адрес decodefiles1@gmail.com или decodefiles@india.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 77CF48B1169A0CBE123D|79|2|2 to e-mail address decodefiles1@gmail.com or decodefiles@india.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your dat CollectionLog-2015.08.15-11.17.zip
    • wild_difi
      файлы зашифрованы в *XTBL
      Автор wild_difi
      Вирус-шифровальщик зашифровал многочисленные файлы на ноутбуке, сделав расширение XTBL.Так же на рабочем столе присутствуют файлы readme с инструкцией отправки кода но почту!Прикрепляю лог, полученный при сканировании (согласно инструкции).
      Помогите
      CollectionLog-2015.08.15-02.47.zip
    • warg24
      Шифровка всех важных файлов компьютера неведомой заразой.
      Автор warg24
      Ребята кто нибудь, помогите. Включил вечером комп. начались проблемы. Сначала не удавалось к сети интернет подключиться, все запрашивал пароль от wi-fi. Потом через некоторое время появилась черная заставка с неприятным текстом от том что все файлы были зашифрованы((( все они теперь с расширением xtbl... Также имеются текстовые файлы с таким вот текстом. 
       
       Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: FAA4417C82D5F25AC88F|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: FAA4417C82D5F25AC88F|0 to e-mail address decode010@gmail.com or decode1110@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.     Что делать? Подскажите!
×
×
  • Создать...