ransom.shade Шифровальщик da vinci

[Minys]

Добрый день!

Зашифровались офисные документы после открытия письма с электронной почты.

 

Помогите пожалуйста с расшифровкой.

 

Прикрепил логи собранные autologerom и  Farbar Recovery Scan Tool. 

CollectionLog-2016.06.06-17.18.zip

Addition.txt

FRST.txt

[SQ]

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.

Сами устанавливали расширения?

CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\aaaaaiabcopkplhgaedhbloeejhhankf [2015-11-19]
CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-02-05]
CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-02-05]
CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-02-05]
CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-15]
CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2014-12-11]
CHR Extension: (Ask Search) - C:\Users\baraeva\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2015-06-25]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM\...\Run: [] => [X]
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  2016-06-02 17:02 - 2016-06-03 08:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
  2016-06-02 17:02 - 2016-06-03 08:23 - 00000000 __SHD C:\ProgramData\Windows
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README9.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README8.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README7.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README6.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README5.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README4.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README3.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README2.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README10.txt
  2016-06-02 17:02 - 2016-06-02 17:02 - 00002714 _____ C:\README1.txt
  2014-11-12 13:34 - 2014-11-12 13:34 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
  C:\Users\1\AppData\Local\Temp\jre-7u71-windows-i586-iftw.exe
  C:\Users\1\AppData\Local\Temp\_is5244.exe
  Task: {21FF9200-BFE8-4D43-AA50-DF6E230D717B} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
  Task: {F2E1CAE0-F942-4FF4-B0C0-341013FD2518} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Minys]

Сами устанавливали расширения?

 

Не знаю. Компьютер поменял много владельцев. 

 

 

Прикрепил ФиксЛог.

 

 

 

 

Fixlog.txt

[SQ]

С расшифровкой не поможем.

P.S. Важно не удаляйте карантин в каталоге C:\FRST до тех пор пока не решите вопрос с расшифровкой.