ransom.shade Словил по почте Davinchi, помогите!

[Константин80]

Словил сегодня по почте. Все вордовские и экселевские файлы зашифровались. Логи во вложении.

Downloads.rar

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

[Константин80]

Файл во вложении

CollectionLog-2016.09.19-14.37.zip

[Sandor]

• Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Константин80]

Отчет сканирования во вложении

AdwCleanerS0.txt

[Sandor]

1.

• Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно Сбросить:
  • Политики IE
  • Политики Chrome
• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Константин80]

Отчеты во вложении

AdwCleanerC0.txt

FRST.txt

Shortcut.txt

Addition.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
BHO: ValueApps -> {93DBF2BB-A2B3-4683-A92E-57E60751F346} -> C:\Program Files\Conduit\ValueApps\IE\ValueAppsLoader.dll => No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-1142853385-3937695043-3022287123-1000 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
Toolbar: HKU\S-1-5-21-1142853385-3937695043-3022287123-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
CHR StartupUrls: Default -> "hxxp://www.google.ru/","hxxp://go.mail.ru/?chverfix=1&fr=chverfix_sg","hxxp://www.yoursearching.com/?type=hp&ts=1453262436&z=f42e0787e62a59eaa09f890g2z8wbc5ocqdo2z2z6t&from=face&uid=ST3160815AS_5RA7JYNJXXXX5RA7JYNJ","hxxp://www.yoursearching.com/?type=hp&ts=1453350908&z=3770e73588d860bae1e5d61g7z1wcccc1wae3tdo3o&from=face&uid=ST3160815AS_5RA7JYNJXXXX5RA7JYNJ"
2016-09-19 11:21 - 2016-09-19 11:21 - 06220854 _____ C:\Users\1\AppData\Roaming\F1D93C7CF1D93C7C.bmp
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README9.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README8.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README7.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README6.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README5.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README4.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README3.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README2.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README10.txt
2016-09-19 11:21 - 2016-09-19 11:21 - 00004186 _____ C:\Users\1\Desktop\README1.txt
2016-09-19 09:04 - 2016-09-19 09:33 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-19 09:04 - 2016-09-19 09:33 - 00000000 __SHD C:\ProgramData\Windows
AlternateDataStreams: C:\Users\1\Local Settings:wa [178]
AlternateDataStreams: C:\Users\1\AppData\Local:wa [178]
AlternateDataStreams: C:\Users\1\AppData\Local\Application Data:wa [178]
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Константин80]

Файл во вложении

Fixlog.txt

[Sandor]

Адварь и следы вымогателя очищены.

Версия установленного у Вас антивируса устарела и не имеет средств защиты от подобных угроз. Обновите до KES10.

 

С расшифровкой не сможем помочь.

[Константин80]

Подскажите, как быстро удалить зашифрованные файлы?