ransom.shade так же DA_VINCI_CODE

[Дмитрий Невский]

Добрый день. Пришло письмо с адреса похожего, проверка показала вирусов нет.  Файл сохранили, распаковали, с дуру запустили. теперь место документов и все формата *.da_vinci_code

В приложение архив пришедший + логи. 

Установлен касперский фрее , сказал вирусов нет, все отлично. А оказалось все печально

CollectionLog-2016.08.11-14.16.zip

report1.log

report2.log

Изменено 11 августа, 2016 пользователем mike 1
Карантин в теме

[mike 1]

Настройка ваша?

 

 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = file://C:/Users/user_2/AppData/Local/Google/Chrome/User%20Data/Default/Extensions/caehdcpeofiiigpdhbabniblemipncjj/SwitchyAuto.paca?1421919387561

R1 - HKLM\System\CurrentControlSet\services\NlaSvc\Parameters\Internet\ManualProxies,(Default) = 0file://C:/Users/user_2/AppData/Local/Google/Chrome/User%20Data/Default/Extensions/caehdcpeofiiigpdhbabniblemipncjj/SwitchyAuto.paca?1421919387561

 

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Дмитрий Невский]

Нет настройка не моя, но я пологаю, это что то от эмулятора андроида. Думаю надо очистить зависимости эти.

так же файлы вложения

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

GroupPolicyScripts: Restriction <======= ATTENTION

ManualProxies: 0file://C:/Users/user_2/AppData/Local/Google/Chrome/User%20Data/Default/Extensions/caehdcpeofiiigpdhbabniblemipncjj/SwitchyAuto.paca?1421919387561

RemoveProxy:

HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION

HKU\S-1-5-21-124656602-3142001153-199210498-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://www.amazon.com/gp/bit/amazonserp/ref=bit_bds-p17_serp_ie_us_display?ie=UTF8&tagbase=bds-p17&tbrId=v1_abb-channel-17_f1656aaa_1201_1403_20160623_RU_ie_sp_

SearchScopes: HKLM -> {20F5AB16-9F2E-4E92-93F2-ECB9ABB0EC42} URL = hxxp://search.foxtab.com/?q={searchTerms}&s=in1

CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/7993/","hxxp://www.google.com/","hxxp://www.omniboxes.com/?type=hp&ts=1436557085&z=f325c3b68c3689aa6657da0g0z4c1q1wbw2mbe4m9t&from=tti&uid=WDCXWD5000LPVX-22V0TT0_WD-WXC1E33JYVE9JYVE9","hxxp://www.istartsurf.com/?type=hp&ts=1440920268&z=4ab689136556e362311b4deg0z8z7e1taoee8gcz9o&from=face&uid=WDCXWD5000LPVX-22V0TT0_WD-WXC1E33JYVE9JYVE9","hxxp://mail.ru/cnt/10445?gp=anvir3"

CHR Extension: (Chrome Media Router) - C:\Users\user_2\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2016-08-11]

CHR HKLM\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog] - hxxps://clients2.google.com/service/update2/crx

2016-08-11 11:47 - 2016-08-11 13:40 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-08-11 11:47 - 2016-08-11 13:40 - 00000000 __SHD C:\ProgramData\Windows

2013-10-04 15:03 - 2013-10-04 15:03 - 0002781 _____ () C:\Users\user_2\AppData\Roaming\101B.exe

2013-10-04 15:26 - 2013-10-04 15:26 - 0002781 _____ () C:\Users\user_2\AppData\Roaming\1399.exe

2013-10-04 14:56 - 2013-10-04 14:56 - 0002781 _____ () C:\Users\user_2\AppData\Roaming\38ED.exe

2013-10-04 15:26 - 2013-10-04 15:26 - 0002782 _____ () C:\Users\user_2\AppData\Roaming\3A0E.exe

2013-10-04 15:03 - 2013-10-04 15:03 - 0002782 _____ () C:\Users\user_2\AppData\Roaming\3A57.exe

2013-10-04 14:56 - 2013-10-04 14:56 - 0002782 _____ () C:\Users\user_2\AppData\Roaming\5F91.exe

2013-10-04 14:48 - 2013-10-04 14:48 - 0002782 _____ () C:\Users\user_2\AppData\Roaming\8C0A.exe

2013-10-02 14:54 - 2013-10-02 14:54 - 0000279 _____ () C:\Users\user_2\AppData\Roaming\90A2.exe

2013-10-04 15:11 - 2013-10-04 15:11 - 0002782 _____ () C:\Users\user_2\AppData\Roaming\A83.exe

2015-01-15 13:02 - 2015-01-15 14:44 - 0081186 _____ () C:\Users\user_2\AppData\Roaming\AkatoshGarrison.data

2013-10-04 14:48 - 2013-10-04 14:48 - 0002781 _____ () C:\Users\user_2\AppData\Roaming\B9AF.exe

2013-09-25 10:33 - 2016-07-14 11:47 - 0000364 _____ () C:\Users\user_2\AppData\Roaming\burnaware.ini

2013-10-04 14:40 - 2013-10-04 14:40 - 0002782 _____ () C:\Users\user_2\AppData\Roaming\CAC.exe

2013-10-04 15:11 - 2013-10-04 15:11 - 0002781 _____ () C:\Users\user_2\AppData\Roaming\D55F.exe

2013-10-04 14:40 - 2013-10-04 14:40 - 0002781 _____ () C:\Users\user_2\AppData\Roaming\E5DA.exe

2014-08-04 10:15 - 2014-08-04 10:16 - 0000166 _____ () C:\Users\user_2\AppData\Roaming\PLGComp.ini

2014-02-07 14:55 - 2016-08-11 09:38 - 0000600 _____ () C:\Users\user_2\AppData\Roaming\winscp.rnd

Folder: C:\Register2

File: C:\Register2\cregister.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Дмитрий Невский]

Выполнил. приложил.  

Fixlog.txt

[mike 1]

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

[Дмитрий Невский]

результат

AdwCleanerS1.txt

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Дмитрий Невский]

ну чисто вроде.

А возможность то дешифрануть файлы есть или все прощай?  по указано в реадме почте захотели 16к рублёв за дешифратор. как то перебор но

AdwCleanerS2.txt

[mike 1]

 

 

А возможность то дешифрануть файлы есть или все прощай?

А коммерческая лицензия на наш антивирус у вас имеется? Kaspersky Free не в счет. 

 

 

 

по указано в реадме почте захотели 16к рублёв за дешифратор. как то перебор но

Видите как полезно своевременно резервные копии важных данных делать.

Изменено 12 августа, 2016 пользователем mike 1

[Дмитрий Невский]

 

 

 

А возможность то дешифрануть файлы есть или все прощай?

А коммерческая лицензия на наш антивирус у вас имеется? Kaspersky Free не в счет. 

 

 

 

по указано в реадме почте захотели 16к рублёв за дешифратор. как то перебор но

Видите как полезно своевременно резервные копии важных данных делать.

 

Скажите куда слать ключи которые мы покупали за последние годы и действующие? Этот системник был файловой помойкой, поэтому тут и стоит фрее. На счет хранения, я даже не представлял, что люди столько нужных файлов могут понакидать.

[mike 1]

Никуда. Их прикрепляют в личном кабинете  http://forum.kasperskyclub.ru/index.php?showtopic=48525 . Все пароли сохраненные в браузере на этом компьютере меняйте.