Перейти к содержанию

зашифрованные файлы. тип файла везде da_vinci_code


Рекомендуемые сообщения

На рабочем столе сначало появилась табличка.
Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы.

и появилось много текстовых документов, в которых написаны, что все зашифровано, и перейдите туда то, заплатите и т.п.

прошу помощи!((((

CollectionLog-2016.05.17-02.00.zip

Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 SetServiceStart('bd0004', 4);
 QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','');
 QuarantineFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','');
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Adobe\Shockwave Player\shockwaveplayer.exe','');
 DeleteFile('C:\ProgramData\Microsoft\Adobe\Shockwave Player\shockwaveplayer.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Program Files (x86)\baidu\pps.exe','32');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','32');
 DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
 DelBHO('{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Adobe Shockwave Player');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\apphide','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GoogleChromeAutoLaunch_7FA7F71AC9F294E463C24100DC2BFC11','command');
 DeleteService('bd0004');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Virus Desk.
Порядок действий на портале Kaspersky Virus Desk::

1) Установите флажок Я хочу получить результаты проверки по электронной почте и укажите адрес своей электронной почты;
2) Нажмите на ссылку Выбрать файл и прикрепите архив карантина.
Важно: размер архива не должен превышать 12 МБ;
3) Убедившись в наличии строки Я хочу отправить на проверку Quarantine.zip, нажмите повторно на ссылку Выбрать файл.
4) Дождитесь ответа об успешной загрузке карантина.

Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45YXGeLgputLPlRdX_srZB2Vkl2e3soTelYZl3I3EvVnirxVLbwMarZmdrXUwPH6Uo3rBQaWnvREijtj
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://api.youqian.baidu.com/v1/nav?soft=12&uid=163737&guid=ac0ae303b4090fd50cf315d36b85724a&vd=4114503366
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O2 - BHO: AVdowloads - {57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA} - C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll (file missing)
O2 - BHO: MRSearchPlugin - {8E8F97CD-60B5-456F-A201-73065652D099} - C:\Users\никита\AppData\Local\Mail.Ru\Sputnik\IESearchPlugin.dll (file missing)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKLM\..\Policies\Explorer\Run: [Adobe Shockwave Player] "C:\ProgramData\Microsoft\Adobe\Shockwave Player\shockwaveplayer.exe" -startup
O4 - Global Startup: KRB Updater Utility.lnk = C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe
 

 
Сделайте новые логи по правилам (только пункт 2).
+
приложите логи AdwCleaner

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=635158

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

изминений пока не увидел. 

не нашел я на касперском, где там флажки ставить и чтобы на почту все пришло, просто
проверил файл на касперском avz​0​0​0​0​2​.​dta
 
----Результат проверки файл заражен
Найденные угрозы Trojan.Win32.Fsysna.deca
Размер файла 846.50KB
Тип файла PE32/EXE
Дата проверки 2016-05-17 09:40:05
Дата выпуска баз 2016-05-17 02:19:31 UTC
MD5 a82dd8d9626a7e8bbbc28e1919506672
SHA1 d92b0384f2973c423517e63b6d80001f2047ee82
SHA256
e6c998ffb0f874c011ff1a72bbd738f772c6eacfb3e78d1d18ec3f52094aea4d
 

AdwCleanerS1.txt

CollectionLog-2016.05.17-10.05.zip

Изменено пользователем НикитаЛ
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Денис А
      Автор Денис А
      Добрый день.
      Помогите, пожалуйста, расшифровать файлы на ПК.
      Приложил файлы зашифрованные. лог FRST и текстовый файл с требованием выкупа.
       
      Заранее спасибо.
      AeyLALoFF.README.txt зашифрованные файлы.rar Addition.txt
      FRST.txt
    • astraoren
      Автор astraoren
      Здравствуйте, шифровальщик зашифровал файлы. Прошу помощи в расшифровке
      encoder files.zip
    • Lingon
      Автор Lingon
      files.rarAddition.txt
      FRST.txt
    • Evgeniy Alekseevich
      Автор Evgeniy Alekseevich
      05 августа , судя по датам файлов, на нашем сервере был запущен шифровальщик, кем и как пока выясняем, но сегодня утром я обнаружил зашифрованы практически все файлы.
      Файлы имеют расширение helpo2.
      Может кто сталкивался и сможет помочь ?
      Связались с вымогателями, они для примера расшифровали два файла, я вложил в архив два зашифрованных и они же расшифрованные . Там же письмо, которое они оставили.
      Также прикладываю файлы от  Farbar Recovery Scan Tool.
      Может кто сможет помочь....
      С Уважением, Евгений.
       
       
      Addition.txt FRST.txt НаборФайлов5шт.zip
    • SatanicPanzer
      Автор SatanicPanzer
      Скорее всего проник через почту на сервер небольшой фирмы, файлы и логи прикрепляю
      FRST.txt 1.zip
×
×
  • Создать...