Перейти к содержанию

зашифрованные файлы. тип файла везде da_vinci_code


Рекомендуемые сообщения

На рабочем столе сначало появилась табличка.
Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы.

и появилось много текстовых документов, в которых написаны, что все зашифровано, и перейдите туда то, заплатите и т.п.

прошу помощи!((((

CollectionLog-2016.05.17-02.00.zip

Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 SetServiceStart('bd0004', 4);
 QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','');
 QuarantineFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','');
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Adobe\Shockwave Player\shockwaveplayer.exe','');
 DeleteFile('C:\ProgramData\Microsoft\Adobe\Shockwave Player\shockwaveplayer.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Program Files (x86)\baidu\pps.exe','32');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','32');
 DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
 DelBHO('{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Adobe Shockwave Player');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\apphide','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GoogleChromeAutoLaunch_7FA7F71AC9F294E463C24100DC2BFC11','command');
 DeleteService('bd0004');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Virus Desk.
Порядок действий на портале Kaspersky Virus Desk::

1) Установите флажок Я хочу получить результаты проверки по электронной почте и укажите адрес своей электронной почты;
2) Нажмите на ссылку Выбрать файл и прикрепите архив карантина.
Важно: размер архива не должен превышать 12 МБ;
3) Убедившись в наличии строки Я хочу отправить на проверку Quarantine.zip, нажмите повторно на ссылку Выбрать файл.
4) Дождитесь ответа об успешной загрузке карантина.

Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45YXGeLgputLPlRdX_srZB2Vkl2e3soTelYZl3I3EvVnirxVLbwMarZmdrXUwPH6Uo3rBQaWnvREijtj
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://api.youqian.baidu.com/v1/nav?soft=12&uid=163737&guid=ac0ae303b4090fd50cf315d36b85724a&vd=4114503366
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoL2vvAbWoJSTuSDCm9_-6IVzqTD9Rayhe1hIEYT7z0cPXt8lXZkfMYljht5hMSXIC45pbe3oAKaDWqRv3ATh8bIdpxBzRyiK_xTNJJmWDbUXLc6sCLKO5_r-O1yBd8VwQtB2-ahTAbNyzCG7Y&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O2 - BHO: AVdowloads - {57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA} - C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll (file missing)
O2 - BHO: MRSearchPlugin - {8E8F97CD-60B5-456F-A201-73065652D099} - C:\Users\никита\AppData\Local\Mail.Ru\Sputnik\IESearchPlugin.dll (file missing)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKLM\..\Policies\Explorer\Run: [Adobe Shockwave Player] "C:\ProgramData\Microsoft\Adobe\Shockwave Player\shockwaveplayer.exe" -startup
O4 - Global Startup: KRB Updater Utility.lnk = C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe
 

 
Сделайте новые логи по правилам (только пункт 2).
+
приложите логи AdwCleaner

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=635158

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

изминений пока не увидел. 

не нашел я на касперском, где там флажки ставить и чтобы на почту все пришло, просто
проверил файл на касперском avz​0​0​0​0​2​.​dta
 
----Результат проверки файл заражен
Найденные угрозы Trojan.Win32.Fsysna.deca
Размер файла 846.50KB
Тип файла PE32/EXE
Дата проверки 2016-05-17 09:40:05
Дата выпуска баз 2016-05-17 02:19:31 UTC
MD5 a82dd8d9626a7e8bbbc28e1919506672
SHA1 d92b0384f2973c423517e63b6d80001f2047ee82
SHA256
e6c998ffb0f874c011ff1a72bbd738f772c6eacfb3e78d1d18ec3f52094aea4d
 

AdwCleanerS1.txt

CollectionLog-2016.05.17-10.05.zip

Изменено пользователем НикитаЛ
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Luxory
      От Luxory
      то ли после скачивания программы или чего-то ещё. у меня стал шуметь ноутбук в простых задачах. для большего понимания вот мои характеристики: Lenovo LegionY540-15irh i7-9750HF / GTX 1660Ti/ Windows 10 pro / он стал шуметь в простых задачах от нагрузки. которая появлялась из неоткуда. как открываю диспетчер задач. нагрузка на процессор сразу же падает до 0-5 процентов. а в играх нагрузка добавляется на 20-30 процентов. перестали открываться такие приложения как (реестр. msi afterbutner. msconfig.) и иногда во время игры открывается командная строка на миллисекунду каждые 10 секунд. что очень мешает. проводил проверки разными антивирусами. вирусы нашёл только KVRT и Malware. но они нашли всякие трояны и рекламные вирусы. т.е. мне с моей проблемой не помогли. пробовал отключать задачи в планировщике. не помогло. пробовал в командной строке 2 проверки для восстановления чего-то. они помогли лишь на время. потом снова начала вылезать командная строка в играх. первые 10 минут игры всё нормально. и после первого открытия командной строки они уже выскакивает каждые 10 секунд и исчезает. многие жаловались на процесс sihost.exe но я его пробовал отключать. так же безрезультатно. не знаю что делать. может быть проще будет переустановить ОС?
    • ALFGreat
      От ALFGreat
      Добрый день! Сегодня обнаружилось, что зашифрован сервер. Открылся файл, мол пишите на адрес a38261062@gmail.com 
      Какой порядок действий? Возможно ли как то восстановить? Как узнать под какой учеткой был запущен шифровальщик?
    • Шаманов_Артём
      От Шаманов_Артём
      Доброго дня. Поймали данный шедевр на компы, подскажите пожалуйста, какие действия предпринимать, куда бежать, куда писать?
       
      Сообщение от модератора thyrex Перенесено из данной темы
    • InnaC
      От InnaC
      Файлы на сервере 1С и он же файловый сервер зашифрованы. Файлы получили расширение Demetro9990@cock.li.
      Можно ли их как-то спасти?
      FRST.txt Addition.txt
    • ligiray
      От ligiray
      Добрый день
       
      Зашифровались файлы, стали с расширением .kasper
       
      И появился файл Readme с текстом:
      kasper Ransmoware
      ATTENTION!
      At the moment, your system is not protected.
      We can fix itand restore files.
      To get started, send a file to decrypt trial.
      You can trust us after opening the test file.
      2.Do not use free programs to unlock.
      To restore the system write to both : kasperskyrans@gmail.com        and      kasperskyrans@outlook.com
      Telegram id:@kasperrecovery
      Your Decryption ID: C3C29BC3926D6E30
       
      Нужна помощь, заранее спасибо
×
×
  • Создать...