ransom.shade Проблема с DA VINCHI CODE

[scream84]

Добрый день!

 

На днях выловили ДаВинчи. Офисные файлы зашифрованы. Прилагаю лог AutoLogger'а. 

 

Можно ли переустановить систему, скопировав зашифрованные файлы в отдельную папку, или система нужна в первозданном виде, для последующего лечения?

 

Заранее спасибо за помощь.

CollectionLog-2016.06.12-15.26.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[scream84]

Благодарю за быстрый ответ. 

 

 

Addition.txt

FRST.txt

Изменено 12 июня, 2016 пользователем scream84

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKU\S-1-5-21-1416478330-1937787593-4076925434-1000\...\Run: [kwjlklpqey] => explorer "hxxp://demansi.ru/?utm_source=uoua03&utm_content=990952b6c1e87d15b75fcf27f61afa0f" <===== ATTENTION

GroupPolicy: Restriction - Chrome <======= ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

CHR HKU\S-1-5-21-1416478330-1937787593-4076925434-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

CHR Extension: (NetFilterPRO) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfmnkhhioonhiehehedmnjibmampjiab [2015-07-04]

CHR Extension: (Поделиться ВКонтакте) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\kneggodalbcmgdkkfhbhbicbbahnacjb [2015-05-20]

CHR Extension: (Закачивание музыки с вконтакте) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\obnidnphmghbibkbpimalhpjglajccpa [2015-04-25]

CHR HKLM\...\Chrome\Extension: [fcimjkehglmijlhnpbmjbpoiamjiegod] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - hxxp://vkplayerpro.ru/index.xml

CHR HKU\S-1-5-21-1416478330-1937787593-4076925434-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcimjkehglmijlhnpbmjbpoiamjiegod] - hxxp://clients2.google.com/service/update2/crx

CHR HKU\S-1-5-21-1416478330-1937787593-4076925434-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - hxxp://vkplayerpro.ru/index.xml

CHR HKLM-x32\...\Chrome\Extension: [fcimjkehglmijlhnpbmjbpoiamjiegod] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [jkfblcbjfojmgagikhldeppgmgdpjkpl] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - hxxp://vkplayerpro.ru/index.xml

CHR HKLM-x32\...\Chrome\Extension: [lgdnilodcpljomelbbnpgdogdbmclbni] - hxxp://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx

OPR Extension: (Закачивание музыки с вконтакте) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\obnidnphmghbibkbpimalhpjglajccpa [2015-04-25]

OPR Extension: (NetFilterPRO) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-04-26]

2016-06-07 21:25 - 2016-06-07 21:25 - 06220854 _____ C:\Users\User\AppData\Roaming\3B7C5A293B7C5A29.bmp

2016-06-07 14:40 - 2016-06-12 14:17 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-06-07 14:40 - 2016-06-12 14:17 - 00000000 __SHD C:\ProgramData\Windows

2015-04-25 09:35 - 2015-04-25 09:35 - 0000042 _____ () C:\Users\User\AppData\Roaming\3A1190855783BB

2016-06-07 21:25 - 2016-06-07 21:25 - 6220854 _____ () C:\Users\User\AppData\Roaming\3B7C5A293B7C5A29.bmp

2015-04-25 09:35 - 2015-04-25 09:38 - 0000006 _____ () C:\Users\User\AppData\Roaming\smw_inst

Task: {7A1C8C3D-7A56-48F1-BA5C-53D98D7A81E2} - \newSI_649 -> No File <==== ATTENTION

Task: C:\Windows\Tasks\newSI_649.job => C:\Users\User\AppData\Roaming\newSI_649\s_inst.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[scream84]

Спасибо.

Fixlog.txt

[mike 1]

С расшифровкой не поможем.

 

В качестве профилактических мер от случайного запуска исполняемых файлов из электронной почты рекомендую воспользоваться этой http://safezone.cc/threads/fixsecurity-by-vitokhv.27638/ программой.

 

Для повышения уровня компьютерной грамотности ознакомьтесь с этим:

 

1. https://forum.kaspersky.com/index.php?showtopic=314866

2. http://forum.kasperskyclub.ru/index.php?app=blog&module=display&section=blog&blogid=320&showentry=2083