ransom.shade Зашифрованы файлы *.da_vinci_code

[dcs]

Здравствуйте, все документы *.doc *.docx *.xls *.xlsx на компьютере зашифровались неким *.da_vinci_code, проблема началась когда сотрудник открыл письмо от неизвестного пользователя с просьбой оплатить штраф с файлом  "Оплата штрафа-*****.pdf.scr" , пожалуйста помогите решить данную проблему.

CollectionLog-2016.05.26-10.35.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);

 DeleteService('QMUdisk');

 DeleteService('TsFltMgr');

 DeleteService('TFsFlt');

 DeleteService('BDSafeBrowser');

 DeleteService('BDEnhanceBoost');

 DeleteService('bd0002');

 DeleteService('bd0001');

 TerminateProcessByName('c:\users\ollga\appdata\local\temp\main8.exe');

 QuarantineFile('c:\users\ollga\appdata\local\temp\main8.exe','');

 DeleteFile('c:\users\ollga\appdata\local\temp\main8.exe','32');

 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');

 DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');

 DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','32');

 DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys','32');

 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.8.16208.227\QMUdisk.sys','32');

 DeleteFile('C:\Windows\system32\Drivers\TFsFlt.sys','32');

 DeleteFile('C:\Windows\system32\drivers\TsFltMgr.sys','32');

 DeleteFile('C:\Windows\System32\ihctrl32.dll','32');

 DeleteFile('C:\Windows\System32\wsaudio.dll','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters','ServiceDll');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wsaudio\Parameters','ServiceDll');

 DeleteFile('C:\Windows\system32\Tasks\chrome5','32');

 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','32');

ExecuteSysClean;

RebootWindows(true);

end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

Сделайте новые логи Автологгером. 

 

[dcs]

Все сделал как вы сказали, на электронный адрес отправлен карантин, вот новые логи Автологгером

CollectionLog-2016.05.26-16.23.zip

[mike 1]

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

[dcs]

Отчет сканирования

AdwCleanerS1.txt

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[dcs]

Здравствуйте, каким то образом вчера удалил похоже свежие логи которые вы просили, сегодня с утра сделал снова тоже самое что вы и говорили, почему то создалось два файла лога, прикрепляю оба.

AdwCleanerC2.txt

AdwCleanerS3.txt

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[dcs]

Все сделал как вы сказали, прикрепил файлы логов

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

CHR HKU\S-1-5-21-3244167711-2518180717-458300503-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

CHR Extension: (Ultimate Discounter) - C:\Users\Ollga\AppData\Local\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2015-07-10]

CHR Extension: (Adobe Flash Player) - C:\Users\Ollga\AppData\Local\Google\Chrome\User Data\Default\Extensions\nonodemgnpfmmhbnkecpjjdkfmaifoni [2014-01-17]

CHR HKLM\...\Chrome\Extension: [nonodemgnpfmmhbnkecpjjdkfmaifoni] - C:\Program Files\Adobe Flash Players 10.0\adobeflashplayer-sk.crx [2013-11-26]

CHR HKLM\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx

OPR Extension: (The Safe Surfing) - C:\Users\Ollga\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke [2015-09-28]

2016-05-25 13:51 - 2016-05-25 13:51 - 03133494 _____ C:\Users\Ollga\AppData\Roaming\4180177B4180177B.bmp

2016-05-25 11:17 - 2016-05-25 11:17 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-05-25 11:17 - 2016-05-25 11:17 - 00000000 __SHD C:\ProgramData\Windows

2015-06-29 15:16 - 2015-06-29 15:16 - 0000042 _____ () C:\Users\Ollga\AppData\Roaming\00000000000000

2016-05-25 13:51 - 2016-05-25 13:51 - 3133494 _____ () C:\Users\Ollga\AppData\Roaming\4180177B4180177B.bmp

2016-05-23 10:07 - 2016-05-23 10:07 - 0068608 _____ () C:\Users\Ollga\AppData\Roaming\CabDLL.dll

2002-03-23 06:00 - 2002-03-23 06:00 - 0807448 _____ () C:\Users\Ollga\AppData\Roaming\Residue.vUe

2015-06-29 15:16 - 2015-06-29 15:16 - 0000006 _____ () C:\Users\Ollga\AppData\Roaming\smw_inst

C:\Users\Ollga\AppData\Local\Temp\0AJrXxI8Sm4x.exe

C:\Users\Ollga\AppData\Local\Temp\1-20150313-152755.exe

C:\Users\Ollga\AppData\Local\Temp\8vhm6dQgtByN.exe

C:\Users\Ollga\AppData\Local\Temp\8w3I7LkU03DG.exe

C:\Users\Ollga\AppData\Local\Temp\amigo_setup.exe

C:\Users\Ollga\AppData\Local\Temp\APNSetup.exe

C:\Users\Ollga\AppData\Local\Temp\BDWebAdapterZip.dll

C:\Users\Ollga\AppData\Local\Temp\BSvcProcessor.exe

C:\Users\Ollga\AppData\Local\Temp\BSvcUpdater.exe

C:\Users\Ollga\AppData\Local\Temp\DwJfed1abc6D.exe

C:\Users\Ollga\AppData\Local\Temp\fbjvpAXCTQrF.exe

C:\Users\Ollga\AppData\Local\Temp\IuP34BgHtDfq.exe

C:\Users\Ollga\AppData\Local\Temp\jre-7u75-windows-i586-iftw.exe

C:\Users\Ollga\AppData\Local\Temp\Kl2yA2GTFZ78.exe

C:\Users\Ollga\AppData\Local\Temp\kometa.exe

C:\Users\Ollga\AppData\Local\Temp\kPKNh66yA0i6.exe

C:\Users\Ollga\AppData\Local\Temp\KZpPQkfElnnA.exe

C:\Users\Ollga\AppData\Local\Temp\libeay32.dll

C:\Users\Ollga\AppData\Local\Temp\lite_installer.exe

C:\Users\Ollga\AppData\Local\Temp\LmjScnQgHWun.exe

C:\Users\Ollga\AppData\Local\Temp\mailruhomesearchvbm.exe

C:\Users\Ollga\AppData\Local\Temp\mediaget-uninstaller.exe

C:\Users\Ollga\AppData\Local\Temp\msvcr120.dll

C:\Users\Ollga\AppData\Local\Temp\nC25LhMKDJWB.exe

C:\Users\Ollga\AppData\Local\Temp\OdKOF7h8Da3g.exe

C:\Users\Ollga\AppData\Local\Temp\qqpcmgr_v10.8.16208.227_8881044_Silence.exe

C:\Users\Ollga\AppData\Local\Temp\r8MfN5DrwctH.exe

C:\Users\Ollga\AppData\Local\Temp\rp22qfbA3Irc.exe

C:\Users\Ollga\AppData\Local\Temp\sender.exe

C:\Users\Ollga\AppData\Local\Temp\Setup-yabrowser.exe

C:\Users\Ollga\AppData\Local\Temp\SkypeSetup.exe

C:\Users\Ollga\AppData\Local\Temp\SohJVUGgZCeE.exe

C:\Users\Ollga\AppData\Local\Temp\sqlite3.dll

C:\Users\Ollga\AppData\Local\Temp\ub2K9CfPSNov.exe

C:\Users\Ollga\AppData\Local\Temp\YblLlNti3HsL.exe

C:\Users\Ollga\AppData\Local\Temp\yupdate-exec-yabrowser.exe

C:\Users\Ollga\AppData\Local\Temp\{CCCF7F6B-EF53-46C2-8D9C-0CF0405B2460}.exe

C:\Users\Ollga\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[dcs]

Все выполнил, лог прикрепил, на рабочем столе архив upload.zip не появился.

Fixlog.txt

[mike 1]

Пишите запрос  http://forum.kasperskyclub.ru/index.php?showtopic=48525

[dcs]

Пишите запрос

 

 

Хорошо, спасибо большое, будем писать запрос.

[dcs]

Добрый день, на данный момент я делаю запрос по ссылке которую вы дали, в ссылке описано "проконсультироваться с консультантом на форуме. Консультант Вам подскажет, какие файлы могут оказаться полезными для вирусной лаборатории"

Не могли бы вы мне подсказать какие файлы для меня больше всего нужно будет закрепить в запросе? Большое спасибо

[mike 1]

Несколько зашифрованных файлов в архиве и файл Readme.txt

 

В качестве профилактических мер от случайного запуска исполняемых файлов из электронной почты рекомендую воспользоваться этой http://safezone.cc/threads/fixsecurity-by-vitokhv.27638/ программой.

 

Для повышения уровня компьютерной грамотности ознакомьтесь с этим:

 

1. https://forum.kaspersky.com/index.php?showtopic=314866

2. http://forum.kasperskyclub.ru/index.php?app=blog&module=display&section=blog&blogid=320&showentry=2083