Перейти к содержанию

Da_vinci_code_Зашифрована большая часть файлов

NagLV
 Поделиться

Рекомендуемые сообщения

NagLV Новичок

NagLV

Опубликовано
Опубликовано

Доброго времени суток!

Историю заражения к сожалению не знаю. Шифровка файлов выборочная,т.е. не все, но затронула как текстовые так и мультимедиа файлы. Прошу помощи в расшифровке если такая возможна.

Файл протоколов подготовил.

CollectionLog-2016.05.22-13.16.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\user1\Рабочий стол\0.2868063695771216.exe','');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\WindowsUpdate\Updater.exe','');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\MyDesktop\qweeeCL.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{9a9b956a-1677-4d20-830c-6c34a0594e62}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gt.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{6191cc23-5db4-4079-aaac-546c45b08af1}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{57f143ae-1ecd-493d-9ddb-32c45a3cecd5}Gt.sys','');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Yаndех.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Kometa.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Оpеrа.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Главное меню\Программы\Kometa\Kometa.lnk', '');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\{DE8EABB5-1C85-4410-A68D-79BD8A4518F4}\rbia.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk', '');
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Logitech\Lоgitесh Wеbсаm Sоftwаrе.lnk', '');
 QuarantineFile('C:\Documents and Settings\All Users\Рабочий стол\Lоgitесh Wеbсаm Sоftwаrе  .lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Unibluе RеgistryВооstеr.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Избранное\Ссылки\Интернет.url', '');
 QuarantineFile('C:\Documents and Settings\user1\Local Settings\Application Data\Yandex\browser.bat', '');
 QuarantineFile('C:\opera.bat', '');
 QuarantineFile('C:\Program Files\Common Files\LogiShrd\LWSPlugins\LWS\launchershortcut.bat', '');
 QuarantineFile('C:\Program Files\Launcher.bat', '');
 DeleteFile('C:\WINDOWS\system32\drivers\{57f143ae-1ecd-493d-9ddb-32c45a3cecd5}Gt.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{6191cc23-5db4-4079-aaac-546c45b08af1}t.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gt.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}t.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{9a9b956a-1677-4d20-830c-6c34a0594e62}t.sys','32');
 DeleteFile('C:\Documents and Settings\user1\Application Data\MyDesktop\qweeeCL.exe','32');
 DeleteFile('C:\Documents and Settings\user1\Application Data\WindowsUpdate\Updater.exe','32');
 DeleteFile('C:\Documents and Settings\user1\Рабочий стол\0.2868063695771216.exe','32');
 DeleteFile('C:\Program Files\Launcher.bat', '32');
 DeleteFile('C:\Documents and Settings\user1\Local Settings\Application Data\Yandex\browser.bat', '32');
 DeleteFile('C:\opera.bat', '32');
 DeleteFile('C:\Program Files\Common Files\LogiShrd\LWSPlugins\LWS\launchershortcut.bat', '32');
 DeleteService('{9a9b956a-1677-4d20-830c-6c34a0594e62}t');
 DeleteService('{6fcd6092-9615-4f7f-8898-8df53980e5d2}t');
 DeleteService('{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gt');
 DeleteService('{6191cc23-5db4-4079-aaac-546c45b08af1}t');
 DeleteService('{57f143ae-1ecd-493d-9ddb-32c45a3cecd5}Gt');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\0.2868063695771216.exe','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyDesktop');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteRepair(10);
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
NagLV Новичок

NagLV

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\user1\Рабочий стол\0.2868063695771216.exe','');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\WindowsUpdate\Updater.exe','');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\MyDesktop\qweeeCL.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{9a9b956a-1677-4d20-830c-6c34a0594e62}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gt.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{6191cc23-5db4-4079-aaac-546c45b08af1}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{57f143ae-1ecd-493d-9ddb-32c45a3cecd5}Gt.sys','');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Yаndех.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Kometa.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Оpеrа.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Главное меню\Программы\Kometa\Kometa.lnk', '');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\{DE8EABB5-1C85-4410-A68D-79BD8A4518F4}\rbia.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk', '');
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Logitech\Lоgitесh Wеbсаm Sоftwаrе.lnk', '');
 QuarantineFile('C:\Documents and Settings\All Users\Рабочий стол\Lоgitесh Wеbсаm Sоftwаrе  .lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Application Data\Microsoft\Internet Explorer\Quick Launch\Unibluе RеgistryВооstеr.lnk', '');
 QuarantineFile('C:\Documents and Settings\user1\Избранное\Ссылки\Интернет.url', '');
 QuarantineFile('C:\Documents and Settings\user1\Local Settings\Application Data\Yandex\browser.bat', '');
 QuarantineFile('C:\opera.bat', '');
 QuarantineFile('C:\Program Files\Common Files\LogiShrd\LWSPlugins\LWS\launchershortcut.bat', '');
 QuarantineFile('C:\Program Files\Launcher.bat', '');
 DeleteFile('C:\WINDOWS\system32\drivers\{57f143ae-1ecd-493d-9ddb-32c45a3cecd5}Gt.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{6191cc23-5db4-4079-aaac-546c45b08af1}t.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gt.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}t.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{9a9b956a-1677-4d20-830c-6c34a0594e62}t.sys','32');
 DeleteFile('C:\Documents and Settings\user1\Application Data\MyDesktop\qweeeCL.exe','32');
 DeleteFile('C:\Documents and Settings\user1\Application Data\WindowsUpdate\Updater.exe','32');
 DeleteFile('C:\Documents and Settings\user1\Рабочий стол\0.2868063695771216.exe','32');
 DeleteFile('C:\Program Files\Launcher.bat', '32');
 DeleteFile('C:\Documents and Settings\user1\Local Settings\Application Data\Yandex\browser.bat', '32');
 DeleteFile('C:\opera.bat', '32');
 DeleteFile('C:\Program Files\Common Files\LogiShrd\LWSPlugins\LWS\launchershortcut.bat', '32');
 DeleteService('{9a9b956a-1677-4d20-830c-6c34a0594e62}t');
 DeleteService('{6fcd6092-9615-4f7f-8898-8df53980e5d2}t');
 DeleteService('{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gt');
 DeleteService('{6191cc23-5db4-4079-aaac-546c45b08af1}t');
 DeleteService('{57f143ae-1ecd-493d-9ddb-32c45a3cecd5}Gt');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\0.2868063695771216.exe','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyDesktop');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteRepair(10);
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

Ответ: Получен неизвестный файл, он будет передан в Вирусную Лабораторию.

KLAN-4315321499

Повторный файл во вложении.

CollectionLog-2016.05.22-15.58.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Далее:

  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Настройки отметьте дополнительно:
    • Сброс политик IE
    • Сброс политик Chrome
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

 

2.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "hxxp://www.google.com" <======= ATTENTION
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=dspp&ts=1426589817&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=dspp&ts=1426589817&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> 80AC086D1E6BE771336481A840FF7D9C URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {105E99FF-8B9A-4492-B155-06194B9056D2} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {3E0C9769-C75E-4D54-9BA8-ACE7DDE006DD6B4} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {8A0349E9-5932-C082-03A2-591DDE006DBACE7} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=squadm&utm_campaign=install_ie&utm_content=ds&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V&ts=1426589826&type=default&q={searchTerms}
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-796845957-606747145-1801674531-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
StartMenuInternet: (HKLM) Opera - C:\Program Files\Opera\Opera.exe hxxp://www.istartsurf.com/?type=sc&ts=1426589770&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V
StartMenuInternet: (HKLM) Opera.exe - C:\Program Files\Opera\Opera.exe hxxp://www.istartsurf.com/?type=sc&ts=1426589770&from=squadm&uid=ST3250318AS_9VY7DG4VXXXX9VY7DG4V
2016-05-16 11:39 - 2016-05-16 11:39 - 02949174 _____ C:\Documents and Settings\user1\Application Data\326DAD8B326DAD8B.bmp
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README9.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README8.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README7.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README6.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README5.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README4.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README3.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README2.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README10.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\user1\Рабочий стол\README1.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-05-16 11:38 - 2016-05-16 11:38 - 00002714 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README9.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README8.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README7.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README6.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README5.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README4.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README3.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README2.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README10.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00002714 _____ C:\README1.txt
2016-05-16 11:09 - 2016-05-16 11:09 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-05-16 10:57 - 2016-05-16 11:38 - 00000000 ____D C:\Documents and Settings\user1\Application Data\Mipony
2016-05-16 11:38 - 2015-10-26 13:21 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\ProductData
2016-05-16 11:38 - 2015-10-26 13:21 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\IObit
2016-05-16 11:38 - 2015-07-01 14:15 - 00000000 ____D C:\Documents and Settings\user1\Application Data\MailProducts
2016-05-16 11:38 - 2015-03-17 14:39 - 00000000 ____D C:\Documents and Settings\user1\Application Data\eTranslator
2016-05-16 11:37 - 2015-10-26 13:19 - 00000000 ____D C:\Documents and Settings\user1\Application Data\MyDesktop
C:\Documents and Settings\user1\Local Settings\Temp\AmigoDistrib.exe
C:\Documents and Settings\user1\Local Settings\Temp\amigo_setup.exe
C:\Documents and Settings\user1\Local Settings\Temp\downloader.exe
C:\Documents and Settings\user1\Local Settings\Temp\KMP_3.2.0.0.exe
C:\Documents and Settings\user1\Local Settings\Temp\kometa_vd.exe
C:\Documents and Settings\user1\Local Settings\Temp\mailruhomesearchvbm.exe
Task: C:\WINDOWS\Tasks\Update Service for VK Downloader.job => C:\Program Files\VK Downloader\kfCFztp.exe.exe
Task: C:\WINDOWS\Tasks\Update Service for VK Downloader2.job => C:\Program Files\VK Downloader\kfCFztp.exe.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

 

Ярлыки

C:\Documents and Settings\All Users\Главное меню\Программы\Logitech\Lоgitесh Wеbсаm Sоftwаrе.lnk

C:\Documents and Settings\All Users\Рабочий стол\Lоgitесh Wеbсаm Sоftwаrе .lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Сергей N
      Вирус спал 10 лет. И вот сегодня зашифровал часть папок и файлов
      Автор Сергей N
      Можно ли тут что-то сделать? Файлы и папки не копируются и не пересылаются

    • KL FC Bot
      Самая большая утечка данных в мире. Что делать пользователям? | Блог Касперского
      Автор KL FC Bot
      Вы, скорее всего, уже видели свежие новости с заголовками «Самая масштабная утечка в истории человечества». Весь мир переполошился из-за журналистов Cybernews, которые обнаружили в свободном доступе логины и пароли к 16 млрд учетных записей — по две на каждого жителя Земли. Что это за утечка и что нужно сделать прямо сейчас?
      Что за утечка? Там есть мои данные?
      В оригинальном исследовании сказано, что команда Cybernews занималась этой историей с начала года. За шесть месяцев удалось собрать 30 незащищенных наборов данных, которые суммарно и превращаются в 16 млрд паролей. Самый большой набор данных, 3,5 млрд записей, связан с португалоговорящим населением планеты; еще 455 млн записей имеют отношение к России, а 60 млн — «скорее всего», к Telegram.
      База данных построена по такому принципу: URL сайта, логин и пароль. Все, ничего лишнего. При этом сказано, что слиты были данные пользователей всех гигантских сервисов: Apple, Google, Facebook*, Telegram, GitHub и т. д. Удивительно, что в руках журналистов оказались именно пароли, а не хеши. В нашем исследовании Как хакеры могут взломать пароль за час мы подробно останавливались на том, как именно компании хранят пароли. Спойлер: почти всегда в закрытом виде с использованием алгоритмов хеширования.
      Особое внимание в этой истории уделено свежести данных: журналисты утверждают, что в 16 млрд не входят самые крупные утечки, про которые мы писали в блоге Kaspersky Daily. За кадром остаются важные вопросы: «откуда появились 16 млрд свежеутекших паролей и почему, кроме Cybernews, их никто не видел?». К большому сожалению, журналисты не предоставили ни одного доказательства реального существования этой базы. Поэтому ни экспертам «Лаборатории Касперского», ни любым другим не удалось проанализировать эту утечку. А значит, и утверждать, есть ли там именно ваши данные, да и вообще чьи-либо, — мы не можем.
      По словам Cybernews, весь сбор базы данных был возможен в результате работы стилеров. Это и в самом деле набирающая силы угроза. По нашим данным, количество обнаруженных по всему миру атак, связанных с кражей паролей, выросло с 2023 по 2024 год на 21%. Злоумышленники нацелены как на частных, так и на корпоративных пользователей.
       
      View the full article
    • Sgorick
      Переписанные файлы
      Автор Sgorick
      Добрый день. Прошу помощи, переименовались файлы в службах, wuauserv_bkp, UsoSvc_bkp, BITS_bkp, WaaSMedicSvc_bkp, dosvc_bkp. wuauserv я с помощью роликов переделал. bits существует в двух экземплярах, один из которых был bkp, но потом стал обычным.
      FRST.txt Addition.txt CollectionLog-2025.06.07-20.41.zip
    • itman
      История про зашифрованные файлы.
      Автор itman
      Добрый день всем! Хочу поведать вам всем поучительную историю как делать НЕ НАДО!!! В апреле месяце подцепили вирус -шифровальщик! Утром пришли  пользователи, а там все зашифровано на 3 севаках и 2х локалках на которых была расшаренная какая-то папка!! печаль !!! ну а что делать?! благо сисадмин делал копию раз в месяц акрониксом всех серверов, а бухгалтер помимо всего копии на внешний hdd каждое утро и хдд этот хранил в сейфе! (рекомендую всем бухгалтерам так делать!!!) и вот утром сисадмину звонок: -ААА!! Все пропало!! Что делать???? ничего не работает!!!  Помоги!!! и проч))) ну что проснулся от и начал смотреть что все таки произошло! на каждом из серваков при запуске вот такой текст: Encrypted by trust
       Email us for recovery: Rdpdik6@gmail.com
       In case of no answer, send to this email: Rdpp771@gmail.com
      Your unqiue ID:  писать не буду.
       Почти  все файлы (кроме *.dll и тому подобных и системных зашифрованы и переименованы по формуле имя.расширение. [Rdpdik6@gmail.com].lockedfile) и в каждой папке файлик txt c вот таким содержимым:
       Email 1:
      Rdpdik6@gmail.com
      Email 2:
      Rdpp771@gmail.com
      Send messages to both emails at the same time
      So send messages to our emails, check your spam folder every few hours
      ID: эту строчку сотру на всякий случай)
      If you do not receive a response from us after 24 hours, create a valid email, for example, gmail,outlook
      Then send us a message with a new email
      Ну сисадмин начал заниматься восстановлением копии то есть пусть месячные но все же копии а базы 1с так вообще вчерашние!!!  (а это самое главное!) прежде чем все восстанавливать сделал копию того что зашифровали а мало ли)) ну и параллельно всё-таки решил он написать этим недо людям (медикам на букву П), что так и так копии есть ущерб не большой на то что пока будет восстанавливаться копия уйдет время давайте разойдемся все миром и в итоге договорились на 30 баксах. Сисадмин им перевел на их кошелек, а они его кинули ни хрена они ему не прислали!!!!
      Прошло какое-то время (месяца полтора!) и тут пользователи посмотрели что у одного там пара доков осталась в общей папке уже после того как делалась копия у другого тоже какие-то доки  у третьего вообще фото с корпоратива и подумали они что всё-таки давай заплатим этим  людям нетрадиционной ориентации) сумму которую они просят! Скинулись толпой. Вот на переговоры опять отправили сисадмина (как жаль его)! Опять шли переговоры пару дней а то и больше ну вроде нашли они компромисс с шантажистами в размере 250$ те опять прислали адрес куда переводить деньги причем второй раз без гарантий! Типа из всех гарантий попросили прислать любой зашифрованный файл не более мегабайта и они покажут что всё-таки могут расшифровать. Отправили им какой-то pdf они в ответ скрин файла только весь замазанный видно только пару слов по которым надо только больше догадываться! По итогу  Он им опять перевел общий банк:
      Получаете:
      200.0813 Tether TRC20 USDT
      На счет:
      TBgx7szAXYNSwPJz1Ama2K85kTXrCcsnG1
       
      И? что вы думаете? Эти деятели пишут:
      Sinior (это ник в телеге одного из шантажистов )
      Deposit $50
      Sinior
      I won't give you the key until you pay me $50.
      Типа вы не доплатили 50 баксов!! Вот так уважаемые читатели этого поста ни в коем случае не вздумайте им платить так как они вам все равно ничего не пришлют!!! А деньги вы потеряете!!! И ни одного файла не расшифруете там рассчитано не на то чтоб найти компромисс а на то чтоб выдурить с вас побольше денег!!!!!!!
      P.S.    Делайте резервные копии и храните их на внешних hhd  и не оставляйте их подключенными к компьютеру! Сделал копию и отключай да не удобно зато надежно!!!! Всем удачи!!!!
       
      Сообщение от модератора thyrex Перенесено из раздела по шифровальщикам
       
    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
×
×
  • Создать...