ransom.shade da_vinci_code зашифрованы данные

[MMSoft]

Добрый день!

поймал вирус шифровальщик, зашифрованы все данные

 

Bаши файлы были зaшuфpовaны.
Чmoбы расшифpoвamь uх, Bам необходuмo оmnpавumь koд:
DBE92D50432D16E0DE90|0
на элеkmpoнный адpeс GraceseYoumans1983@gmail.com .
Дaлeе вы получиmе все нeoбxoдuмые uнсmрукции.
Попыткu paсшuфровать caмocтоятельно не пpиведym нu k чемy, крoме безвoзврamной пomepи инфopмацuи.
Ecлu вы вcё жe xomuте nопыmaться, mо nрeдвapumeльнo сделaйте рeзepвныe копии файлов, инaчe в cлучae
иx изменeнuя рaсшuфровка сmанеm невозмoжнoй нu nри kаkuх уcлoвияx.
Eслu вы не пoлучилu omвета по вышeyкaзaннoму aдpeсу в mечение 48 чaсoв (u mольkо в эmoм случае!),
вocпoльзyйтecь фopмoй oбрaтнoй cвязи. Этo можно сдeлamь двумя cпocобами:
1) Cкaчайте и уcтанoвиme Tor Browser по cсылке: https://www.torproject.org/download/download-easy.html.en
В адpеcнoй сmpокe Tor Browser-a введume aдpec:
http://cryptsen7fo43rr6.onion/
и нaжмитe Enter. Загрyзuтcя сmpаница c формoй обратной связu.
2) В любoм браузеpe пepейдuте no oдномy uз aдpесов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
DBE92D50432D16E0DE90|0
to e-mail address GraceseYoumans1983@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
https://www.torproject.org/download/download-easy.html.en
Install it and type the following address into the address bar:
http://cryptsen7fo43rr6.onion/
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

CollectionLog-2016.09.20-16.44.zip

[Sandor]

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Служба автоматического обновления программ

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 QuarantineFileF('c:\documents and settings\all users\application data\microsoft\macromed\flash player\5141a4f8-0027-4ea0-885d-d546732fd1d1', '*', true, '', 0 ,0);
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Macromed\Flash Player\5141A4F8-0027-4EA0-885D-D546732FD1D1\A9DD2A84-6F07-4980-9932-BDE0CBC02D94.exe', '');
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Macromed\Flash Player\5141A4F8-0027-4EA0-885D-D546732FD1D1\A9DD2A84-6F07-4980-9932-BDE0CBC02D94.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','5141A4F8-0027-4EA0-885D-D546732FD1D1');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','5141A4F8-0027-4EA0-885D-D546732FD1D1');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Green Christmas Tree','command');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[MMSoft]

KLAN-5047035946​

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.  

csrss.exe - Trojan.Win32.Fsysna.dyam

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Best Regards, Kaspersky Lab
 

 

ps

Служба автоматического обновления программ

удалил

 

второй лог после удаления "Служба автоматического обновления программ"

CollectionLog-2016.09.20-22.32.zip

CollectionLog-2016.09.20-22.43.zip

Изменено 20 сентября, 2016 пользователем MMSoft

[Sandor]

• Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[MMSoft]

Добрый день!

 

файл вложен

AdwCleanerS0.txt

[Sandor]

1.

• Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[MMSoft]

логи добавлены

AdwCleanerC0.txt

Addition.txt

FRST.txt

Shortcut.txt

Изменено 21 сентября, 2016 пользователем MMSoft

[MMSoft]

как я понимаю тема загнулась ...

[Sandor]

Извините, упустили.

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
CHR Extension: (Доп. параметры 1.02) - C:\Documents and Settings\Наталия\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\gkdkpfboonpabiaibkmbfhaffnegbgdh [2016-09-09]
CHR Extension: (Smart Browser) - C:\Documents and Settings\Наталия\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\iabeihobmhlgpkcgjiloemdbofjbdcic [2015-07-31]
OPR Extension: (Smart Browser) - C:\Documents and Settings\Наталия\Application Data\Opera Software\Opera Stable\Extensions\iabeihobmhlgpkcgjiloemdbofjbdcic [2015-07-31]
2016-09-20 15:45 - 2016-09-20 15:45 - 03932214 _____ C:\Documents and Settings\Наталия\Application Data\7EEB2ACA7EEB2ACA.bmp
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README9.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README8.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README7.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README6.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README5.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README4.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README3.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README2.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README10.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\Наталия\Рабочий стол\README1.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-09-20 15:45 - 2016-09-20 15:45 - 00004170 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-09-20 14:51 - 2016-09-20 22:18 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README9.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README8.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README7.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README6.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README5.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README4.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README3.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README2.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README10.txt
2016-09-20 14:51 - 2016-09-20 14:51 - 00004170 _____ C:\README1.txt
C:\Documents and Settings\Наталия\Local Settings\Temp\7pZhCc5eZI0C.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\93.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\downloader.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\GdIUMhHkPtuSqNruMqmZ.DLL
C:\Documents and Settings\Наталия\Local Settings\Temp\GuardMailRu.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\KOlgVYLH9ySS.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\libeay32.dll
C:\Documents and Settings\Наталия\Local Settings\Temp\LIReChLEMTXLenCxNZWm.DLL
C:\Documents and Settings\Наталия\Local Settings\Temp\msvcr120.dll
C:\Documents and Settings\Наталия\Local Settings\Temp\OzngkHHWu7Yy.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\setup_wm.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\SkypeSetup.exe
C:\Documents and Settings\Наталия\Local Settings\Temp\sqlite3.dll
C:\Documents and Settings\Наталия\Local Settings\Temp\zWoQfH7OwKMN.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[MMSoft]

файл прикреплен

Fixlog.txt

[Sandor]

Обновите устаревшую и не поддерживаемую версию антивируса до актуальной - KES10.

 

Создайте запрос на расшифровку.