ransom.shade da_vinci_code

[theretict]

На компьютере под управлением Win XP SP3 зашифровались файлы(скорее всего из почты в браузере открыли шифровальщика) и получили расширение *da_vinci_code. Прошу помощи с расшифровкой. Заранее спасибо

CollectionLog-2016.07.16-10.39.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin

 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');

 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe','');

 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\C','command');

 DeleteFile('C:\WINDOWS\system32\GroupPolicy\Machine\Registry.pol','32');

ExecuteSysClean;

RebootWindows(true);

end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

Сделайте новые логи Автологгером. 

 

[theretict]

Файл карантина отправил. Вот новые логи

CollectionLog-2016.07.16-18.09.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[theretict]

Вот

FRST.txt

Addition.txt

[mike 1]

Прокси 2080 в Internet Explorer сами прописывали?

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

HKU\S-1-5-21-2025429265-413027322-527237240-1003\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://smartsputnik.ru/?imsid=a446e18857794df54627d2f50005e0a6&text={searchTerms}

SearchScopes: HKU\S-1-5-21-2025429265-413027322-527237240-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://smartsputnik.ru/?imsid=a446e18857794df54627d2f50005e0a6&text={searchTerms}

SearchScopes: HKU\S-1-5-21-2025429265-413027322-527237240-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://smartsputnik.ru/?imsid=a446e18857794df54627d2f50005e0a6&text=

S3 TSSK; C:\WINDOWS\System32\tssk.sys [67896 2015-09-11] (电脑管家)

S1 QMUdisk; \?\C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMUdisk.sys [X]

S3 TS888; \?\C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\TS888.sys [X]

2016-07-15 13:41 - 2016-07-15 13:41 - 03932214 _____ C:\Documents and Settings\Заря\Application Data\65B6BEC065B6BEC0.bmp

2016-07-15 13:14 - 2016-07-16 17:34 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows

2015-12-07 10:30 - 2015-12-07 10:30 - 0297222 _____ () C:\Documents and Settings\Заря\Application Data\CONFIRMATION.KEY

2015-12-07 10:30 - 2015-12-07 10:30 - 0001581 _____ () C:\Documents and Settings\Заря\Application Data\VAULT.KEY

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\C]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ClearTemp]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Documents and Settings^Заря^Главное меню^Программы^Автозагрузка^VAULT.hta]

DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\Tencentdl.exe] => Enabled:腾讯产品下载组件

DomainProfile\AuthorizedApplications: [C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMAccountProtection.exe] => Enabled:?-?

DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\bugreport_xf.exe] => Enabled:腾讯产品下载组件Crash上报

StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\Tencentdl.exe] => Enabled:腾讯产品下载组件

StandardProfile\AuthorizedApplications: [C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMAccountProtection.exe] => Enabled:?-?

StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\bugreport_xf.exe] => Enabled:腾讯产品下载组件Crash上报

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[theretict]

Пожалуйста

Fixlog.txt

[mike 1]

На вопросы принципиально не отвечаете?

[theretict]

Сори не заметил строки с вопросом . Да вроде не стоит прокси то, в свойствах обозревателя чисто

[mike 1]

Прокси ваш? Сами прописывали его?

[theretict]

нет не прописывали

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

ProxyServer: [S-1-5-21-2025429265-413027322-527237240-1003] => http=127.0.0.1:2080

AutoConfigURL: [S-1-5-21-2025429265-413027322-527237240-1003] => http=127.0.0.1:2080

RemoveProxy:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[theretict]

Вот лог

Fixlog.txt

[mike 1]

 

AV: avast! Antivirus (Disabled - Up to date) {7591DB91-41F0-48A3-B128-1A293FD8233D}

Avast Free Antivirus (HKLM\...\Avast) (Version: 12.1.2272 - AVAST Software)

 

С расшифровкой не поможем. Обращайтесь в техподдержку вашего вендора.

 

Изменено 18 июля, 2016 пользователем mike 1