Вирус шифровальщик email-cryptolocker@aol.com_graf1.ver-CL 1.0.0.0.u.id-YZABBCDEFFGGHHIJKKKLMMNOPPPQRSSTTUUV-27.06.2016 9@35@13306333@@@@@4218-2FD4.ra

[gatebbs]

Добрый день!

 

На почту сотруднику пришло письмо "типа от судебных приставов", перешли по ссылки и все файла .doc и .xls зашифровались.

 

Прикрепил файлы созданной программой  Farbar Recovery Scan Tool

 

Заранее спасибо за помощь. 

Addition.txt

FRST.txt

[Sandor]

Здравствуйте!

 

Начните с логов по правилам:

Порядок оформления запроса о помощи

[gatebbs]

Здравствуйте!

CollectionLog-2016.06.28-08.34.zip

[Sandor]

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files (x86)\service.exe','');
 DeleteFile('C:\Program Files (x86)\service.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','pr');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[gatebbs]

KLAN-4526930458

 

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

service.exe - Trojan.Win32.Inject.aahut

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

CollectionLog-2016.06.28-10.22.zip

Изменено 28 июня, 2016 пользователем gatebbs

[Sandor]

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[gatebbs]

Забыл прикрепить. 

 

CollectionLog-2016.06.28-10.22.zip

[Sandor]

Еще раз повторите логи FRST, предварительно удалив старые.

[gatebbs]

Повторил

Addition.txt

FRST.txt

Shortcut.txt

[mike 1]

 

 

На почту сотруднику пришло письмо "типа от судебных приставов"

Письмо сохранилось?

[gatebbs]

Да сохранилось.

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <===== ATTENTION
CHR Extension: (Интернет-магазин Chrome) - C:\Users\tina\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-17]
CHR Extension: (Интернет-магазин Chrome) - C:\Users\tina\AppData\Local\Google\Chrome\User Data\Default\Extensions\iifchhfnnmpdbibifmljnfjhpififfog [2016-04-21]
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[mike 1]

Да сохранилось.

Отправьте тогда мне на почту.

[gatebbs]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <===== ATTENTION
CHR Extension: (Интернет-магазин Chrome) - C:\Users\tina\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-17]
CHR Extension: (Интернет-магазин Chrome) - C:\Users\tina\AppData\Local\Google\Chrome\User Data\Default\Extensions\iifchhfnnmpdbibifmljnfjhpififfog [2016-04-21]
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

 

Да сохранилось.

Отправьте тогда мне на почту.

 

Не успел. Удалили.

Fixlog.txt

[Sandor]

С расшифровкой помочь не сможем.