Перейти к содержанию

da_vinci_code зашифрованы данные

MMSoft
 Поделиться

Рекомендуемые сообщения

MMSoft

MMSoft

Опубликовано
Опубликовано

Добрый день!

поймал вирус шифровальщик, зашифрованы все данные :(

 

Bаши файлы были зaшuфpовaны.
Чmoбы расшифpoвamь uх, Bам необходuмo оmnpавumь koд:
DBE92D50432D16E0DE90|0
на элеkmpoнный адpeс GraceseYoumans1983@gmail.com .
Дaлeе вы получиmе все нeoбxoдuмые uнсmрукции.
Попыткu paсшuфровать caмocтоятельно не пpиведym нu k чемy, крoме безвoзврamной пomepи инфopмацuи.
Ecлu вы вcё жe xomuте nопыmaться, mо nрeдвapumeльнo сделaйте рeзepвныe копии файлов, инaчe в cлучae
иx изменeнuя рaсшuфровка сmанеm невозмoжнoй нu nри kаkuх уcлoвияx.
Eслu вы не пoлучилu omвета по вышeyкaзaннoму aдpeсу в mечение 48 чaсoв (u mольkо в эmoм случае!),
вocпoльзyйтecь фopмoй oбрaтнoй cвязи. Этo можно сдeлamь двумя cпocобами:
1) Cкaчайте и уcтанoвиme Tor Browser по cсылке: https://www.torproject.org/download/download-easy.html.en
В адpеcнoй сmpокe Tor Browser-a введume aдpec:
http://cryptsen7fo43rr6.onion/
и нaжмитe Enter. Загрyзuтcя сmpаница c формoй обратной связu.
2) В любoм браузеpe пepейдuте no oдномy uз aдpесов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
DBE92D50432D16E0DE90|0
to e-mail address GraceseYoumans1983@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
https://www.torproject.org/download/download-easy.html.en
Install it and type the following address into the address bar:
http://cryptsen7fo43rr6.onion/
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

CollectionLog-2016.09.20-16.44.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Служба автоматического обновления программ

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 QuarantineFileF('c:\documents and settings\all users\application data\microsoft\macromed\flash player\5141a4f8-0027-4ea0-885d-d546732fd1d1', '*', true, '', 0 ,0);
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Macromed\Flash Player\5141A4F8-0027-4EA0-885D-D546732FD1D1\A9DD2A84-6F07-4980-9932-BDE0CBC02D94.exe', '');
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Macromed\Flash Player\5141A4F8-0027-4EA0-885D-D546732FD1D1\A9DD2A84-6F07-4980-9932-BDE0CBC02D94.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','5141A4F8-0027-4EA0-885D-D546732FD1D1');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','5141A4F8-0027-4EA0-885D-D546732FD1D1');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Green Christmas Tree','command');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

MMSoft

MMSoft

Опубликовано
  • Автор
Опубликовано (изменено)

KLAN-5047035946​

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.  

csrss.exe - Trojan.Win32.Fsysna.dyam

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Best Regards, Kaspersky Lab
 

 

ps

Служба автоматического обновления программ

удалил

 

второй лог после удаления "Служба автоматического обновления программ"

CollectionLog-2016.09.20-22.32.zip

CollectionLog-2016.09.20-22.43.zip

Изменено пользователем MMSoft
Sandor

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Sandor

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

  • 3 недели спустя...
Sandor

Sandor

Опубликовано
Опубликовано

Извините, упустили.

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
CHR Extension: (Доп. параметры 1.02) - C:\Documents and Settings\Наталия\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\gkdkpfboonpabiaibkmbfhaffnegbgdh [2016-09-09]
CHR Extension: (Smart Browser) - C:\Documents and Settings\Наталия\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\iabeihobmhlgpkcgjiloemdbofjbdcic [2015-07-31]
OPR Extension: (Smart Browser) - C:\Documents and Settings\Наталия\Application Data\Opera Software\Opera Stable\Extensions\iabeihobmhlgpkcgjiloemdbofjbdcic [2015-07-31]
2016-09-20 15:45 - 2016-09-20 15:45 - 03932214 _____ C:\Documents and Settings\Наталия\Application Data\7EEB2ACA7EEB2ACA.bmp
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README9.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README8.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README7.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README6.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README5.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README4.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README3.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README2.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README10.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README1.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-09-20 14:51 - 2016-09-20 22:18 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README9.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README8.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README7.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README6.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README5.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README4.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README3.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README2.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README10.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README1.txt
C:\Documents and Settings\Наталия\Local Settings\Temp\7pZhCc5eZI0C.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\93.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\downloader.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\GdIUMhHkPtuSqNruMqmZ.DLL
C:\Documents and Settings\Наталия\Local Settings\Temp\GuardMailRu.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\KOlgVYLH9ySS.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\libeay32.dll
C:\Documents and Settings\Наталия\Local Settings\Temp\LIReChLEMTXLenCxNZWm.DLL
C:\Documents and Settings\Наталия\Local Settings\Temp\msvcr120.dll
C:\Documents and Settings\Наталия\Local Settings\Temp\OzngkHHWu7Yy.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\setup_wm.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\SkypeSetup.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\sqlite3.dll
C:\Documents and Settings\Наталия\Local Settings\Temp\zWoQfH7OwKMN.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Дмитрий С1990
      Зашифровали данные
      Автор Дмитрий С1990
      Был зашифрован ПК по средствам подключения по rdp  к учетной записи администратора и подобранному паролю.
      Addition.txt virus.7z FRST.txt
    • Илья-Р
      Surtr зашифровал данные
      Автор Илья-Р
      Surtr зашифровал данные.
       
      Ниже сообщение.
       
      What happened to your files?
      Unfortunately, your server was compromised, 
      using a security hole in your server.
      All your files are encrypted with a military algorithm .
      in order to contact us you can email this address
      dectokyo@onionmail.org
      use this ID( l0s9viwsc8if5y ) for the title of your email.
      if you weren't able to contact us within 24 hours please email :
      dectokyo@cock.li , TELEGRAM :@tokyosupp
      Only we can decrypt your files.
      Please do not contact separate fraudulent sites.
      You can use freeand even paid software on the Internet, 
      but it is uselessand will cause you to lose filesand timeand money.
       
      В приложении архив RAR. 
       
      Подскажите, пожалуйста, как расшифровать?
      Surtr.rar
    • Zakot
      Вирус зашифровал данные на сервере
      Автор Zakot
      На сервере вчера вирус зашифровал данные, возможно через RDP попал, сегодня обнаружили.
      virus.zipFRST.txtAddition.txt
    • Инфлюенсер
      Данные зашифрованные с помощью diskCriptor
      Автор Инфлюенсер
      Добрый день, произошел взлом системы. Пострадали пк и сервера, злоумышленник зашифровал данные. Так же попросил выкуп. для теста дал пароль от одного из дисков с помощью которого удалось расшифровать диск с которого собраны логи по запросу, в данный момент диски заблокированы. Требуется ли с помощью программы R.Saver   попытаться вытащить какиет-о файлы, так как в настоящий момент  диски являются роу
      Addition.txtFRST.txt
    • Shystrik
      Шифровальщик зашифровал данные на ПК
      Автор Shystrik
      Добрый день, на одном из наших ПК появился шифровальщик, и зашифровал данные. Подскажите как от него избавиться и остановить его работу для начала. Нужно ли переустанавливать ОС на ПК ?
×
×
  • Создать...