Перейти к содержанию

Da Vinci Code вирус зашифровал документы

drredl
 Share

Рекомендуемые сообщения

Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 TerminateProcessByName('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFileF('c:\documents and settings\user\local settings\application data\adobe\ppapi\3ac5fc55-8177-44c2-8499-767a9827b2ea', '*', true, '', 0 ,0);
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\At1.job" /F', 0, 15000, true);
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','notepad.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3AC5FC55-8177-44C2-8499-767A9827B2EA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(4);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Настройки и отметьте дополнительно:
    • Сброс политик IE
    • Сброс политик Chrome
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1292428093-746137067-682003330-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR Extension: (Smart Browser) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
OPR Extension: (Smart Browser) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
2016-07-13 10:08 - 2016-07-13 10:08 - 03686454 _____ C:\Documents and Settings\User\Application Data\5CB929E85CB929E8.bmp
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-07-13 10:05 - 2016-07-13 10:05 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\140314.exe
2016-07-13 08:56 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-07-13 08:56 - 2016-07-13 08:56 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\800788.exe
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README9.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README8.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README7.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README6.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README5.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README4.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README3.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README2.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README10.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README1.txt
2016-07-13 08:55 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\User\Application Data\Xl5jVVxcVWIx
2016-07-15 10:16 - 2013-04-15 10:13 - 00000686 _____ C:\WINDOWS\Tasks\At1.job
C:\Documents and Settings\User\Local Settings\Temp\cr_dhldelivery.exe
Task: C:\WINDOWS\Tasks\At1.job => C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts
AlternateDataStreams: C:\Documents and Settings\User\Local Settings\Application Data:wa [146]
StandardProfile\AuthorizedApplications: [C:\Program Files\Ticno\Tabs\Ticno Tabs.exe] => Enabled:Ticno Tabs.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • rgdpol@yandex.ru
      как расшифровать файлы зашифрованные вирусом .da vinci code
      От rgdpol@yandex.ru
      Здавствуйте!
      По электронной почте неопытный пользователь получил письмо с вирусом и в результате
      файлы с расширениями .doc, docx, .xls, .xlsx, .pdf, .txt, .zip, .rar., а так же файлы 1С 
      на локальных дисках были зашифрованы и переименованы
      (примерно так: 1K6YkiUrk6JRNutksqOVS1hhFPMCPw3nBSUPcwC+eOM=.56E70E5527CC19802649.da_vinci_code)
      и на дисках появились файлы README1.txt, README2.txt с таким содержанием:
       
      /****************************************************************************
      Ваши файлы былu зашuфpoвaны.
      Чтобы pаcшuфpoвaть uх, Вам нeобходuмо oтnpавиmь кoд:
      56E70E5527CC19802649|660|6|8
      нa элеkтpонный адрес Denisieva.Ioannikiya@gmail.com .
      Дaлee вы получите все нeобxодимые инcтpуkцuu.
      Пonытки расшuфpовamь самоcтoятельнo не привeдym нu k чeмy, kромe безвозвpamнoй noтеpu uнфopмaцuu.
      Еcлu вы всё жe xотume nопыmатьcя, тo прeдвaриmeльно сделaйте peзервныe kопuи фaйлов, uначe в cлyчae
      иx измененuя рacшuфрoвkа cтанеm невозмoжной нu при kакuх yсловияx.
      Eсли вы нe полyчили oтвema nо вышеyкaзаннoму адреcу в тeченuе 48 чаcов (и moльkо в эmом слyчаe!),
      воcnoльзyйmecь фоpмой oбрamной cвязи. Этo можнo cделаmь двумя cnocoбaмu:
      1) Ckачайте u yстaновиme Tor Browser по ccылкe: https://www.torproject.org/download/download-easy.html.en
      В адреcной cтpоке Tor Browser-а ввeдuте адрес:
      http://cryptsen7fo43rr6.onion/
      и нaжмиmе Enter. 3arрузuтcя сmpаницa с фoрмой обpатной cвязи.
      2) В любoм браузеpе nepeйдиme пo одномy из aдреcoв:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/..........
      ********************************************/
      На пораженном компьютере провел следующие операции: 
      1. Провел проверку ПК двумя антивирусами
       
          Kaspersky Virus Removal Tool 2015;     Dr.Web CureIt!. 2. Скачал автоматического сборщика логов и прикрепил файлаы к данному обращению
      CollectionLog-2016.11.22-10.27.zip
      README1.txt
    • allsp
      Словили "Да винчи код"
      От allsp
      клиент словил шифровальщик, есть возможность как-то расшифровать?
      логи автологгера прилагаю
    • zarazakaza
      Шифровальщик Da Vinci Code
      От zarazakaza
      Открыл архив в письме от ростелеком  , все файлы зашифровались
      CollectionLog-2016.10.08-19.16.zip
    • aлександрр
      поймал вирус da vinci code
      От aлександрр
      на почте открыл письмо с архивом -результат зашифрованы все файлы на компе наименованием файлов * da vinci code*
      CollectionLog-2016.09.20-00.28.zip
    • Кингисеппская МБ
      da vinci code зашифровал файлы
      От Кингисеппская МБ
      Здравствуйте!

       

      Зашифровались файлы da_vinci_code.

      CollectionLog-2016.09.16-14.27.zip
×
×
  • Создать...