ransom.shade Файлы компьютера зашифровались в разрешение *.da_vinci_code

[lukas]

На почту пришло сообщение с вложением в формате *.zip.

 

После открытия файла зип все данные на компьютере зашифровались.

 

Появилось сообщение и файлы на рабочем столе с просьбой связаться с злоумышленниками для восстановления файлов.

 

Прикладываю логи к сообщению.

 

Буду благодарен за обратную связь.

 

Илья

CollectionLog-2016.08.08-22.39.zip

[mike 1]

Компьютер находится в организации?

 

 

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 DeleteService('TSSKX64');
 DeleteService('TS888x64');
 DeleteService('swsedrvr_vt_1_10_0_25');
 DeleteService('QMUdisk');
 DeleteService('WindowsMangerProtect');
 TerminateProcessByName('c:\users\Администратор\appdata\roaming\zf9lyljzxfxfxgxx\xzfnpg.exe');
 QuarantineFile('c:\users\Администратор\appdata\roaming\zf9lyljzxfxfxgxx\xzfnpg.exe','');
 DeleteFile('c:\users\Администратор\appdata\roaming\zf9lyljzxfxfxgxx\xzfnpg.exe','32');
 DeleteFile('C:\ProgramData\Tmp0x0x\ProtectWindowsManager.exe','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.8.16208.227\QMUdisk64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\swsedrvr_vt_1_10_0_25.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.8.16208.227\TS888x64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','xzfnpg.exe');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\Users\Администратор\AppData\Local\blacount\blcn_sb.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Local\blacount\config.json','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\blacount','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BRBrowserInst','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpaceSoundPro','command');
 DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','64');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\WindowsUpdater\Updater.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

Сделайте новые логи Автологгером. 

 

[lukas]

Компьютер находится в гос.учреждении.

 

Прикрепляю новые логи автологера после выполнения скрипта.

 

Спасибо за помощь.

CollectionLog-2016.08.09-11.08.zip

[mike 1]

Компьютер находится в гос.учреждении.

Тогда почему нарушаем лицензионное соглашение антивируса? Kaspersky Free нельзя использовать юридическим лицам. 

 

2.1. Право на использование ПО, распространяемого без выплаты вознаграждения, за исключением ПО, предназначенного для ознакомительных целей, предоставляется только физическим лицам. Указанное ПО предназначено для некоммерческого использования физическими лицами. Использование ПО, распространяемого без выплаты вознаграждения, юридическими лицами строго запрещено.

 

 

•  

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

[lukas]

Kaspersky free будет удален.

Компьютер раньше использовался дома.

 

Прикладываю отчет AdwCleaner.

 

Спасибо!

AdwCleanerS1.txt

[mike 1]

В гос. организациях нужно использовать корпоративный антивирус, а не Kaspersky Free!

 

 

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[lukas]

Прикрепляю отчет после удаления.

 

Спасибо

AdwCleanerC1.txt

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[lukas]

Сделал

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"

CreateRestorePoint:

CloseProcesses:

HKLM-x32\...\Run: [gmsd_ru_005010204] => [X]

HKLM-x32\...\Run: [rec_en_77] => [X]

HKLM-x32\...\Run: [gmsd_ru_005010205] => [X]

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

CHR Extension: (Chrome Media Router) - C:\Users\Администратор\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2016-08-04]

OPR Extension: (The Safe Surfing) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke [2015-09-18]

2016-08-08 17:34 - 2016-08-08 17:34 - 03932214 _____ C:\Users\Администратор\AppData\Roaming\49E2A88049E2A880.bmp

2016-08-08 16:44 - 2016-08-09 10:32 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-08-08 16:44 - 2016-08-09 10:32 - 00000000 __SHD C:\ProgramData\Windows

2016-08-08 16:43 - 2016-08-09 10:32 - 00000000 __SHD C:\Users\Администратор\AppData\Roaming\ZF9lYlJZXFxfXgxx

2016-08-08 16:43 - 2016-08-08 16:43 - 1188864 _____ (DVDVideoSoft Ltd.) C:\Users\Администратор\AppData\Roaming\543737.exe

2016-08-08 16:43 - 2016-08-08 16:43 - 1188864 _____ (DVDVideoSoft Ltd.) C:\Users\Администратор\AppData\Roaming\607945.exe

C:\Users\Администратор\AppData\Local\Temp\B0E8.exe

Task: {4334959D-8937-4466-AC6A-85EBDFA045F9} - System32\Tasks\{F19B052C-C03A-40F5-A6A9-C35961D19373} => Chrome.exe 

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\blacount]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BRBrowserInst]

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[lukas]

Высылаю fixlog.txt

 

Архив upload.zip не был создан.

Fixlog.txt

[mike 1]

Действующая коммерческая лицензия на Антивирус Касперского у вас имеется?

[lukas]

К сожалению лицензии нет

[mike 1]

Тогда больше ничем вам не поможем. Смените все пароли.

[lukas]

Понял, спасибо