Помогите расшифровать файлы da_vinci_code

[anat9]

В пятницу (23.09) с почты был скачан и запущен файл шифровальщика, который зашифровал файлы doc в длинное название с расширением  da_vinci_code.

Сегордня ПК был просканирован CureIt, были найдены 2 трояна (лог сканирования могу выслать).

Есть письмо с вирусом, который открыли.

 

Помогите расшифровать файлы.

CollectionLog-2016.09.26-15.38.zip

Изменено 26 сентября, 2016 пользователем anat9

[mike 1]

http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

[anat9]

@mike 1, да уже потом прочитал правила, логи приложил. 

[mike 1]

Деинсталлируйте:

Amazon Assistant
Search App by Ask

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

[anat9]

@mike 1, 

FRST.txt

Addition.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-05-12]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-05-12]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-30]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-24]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-30]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\ddicfadfciaeikknlkcldgockejldhek [2016-05-24]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\eofcbnmajmjmplflapaojjnihcjkigck [2016-09-12]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-05-12]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-05-24]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\gomekmidlodglbbmalcneegieacbdmki [2016-08-19]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\hnhppcgejeffnbnioloohhmndpmclaga [2016-07-15]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-06-08]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2016-05-24]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\pbjikboenpfhbbejgkoklgkhjpfogcam [2016-09-02]

CHR Extension: (No Name) - C:\Users\NIvashina\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-05-12]

2016-09-23 14:50 - 2016-09-23 14:50 - 06220854 _____ C:\Users\NIvashina\AppData\Roaming\B181FD18B181FD18.bmp

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README9.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README8.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README7.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README6.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README5.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README4.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README3.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README2.txt

2016-09-23 14:50 - 2016-09-23 14:50 - 00004198 _____ C:\Users\NIvashina\Desktop\README10.txt

2016-09-23 11:25 - 2016-09-23 14:50 - 00000000 __SHD C:\Users\Все пользователи\System32

2016-09-23 11:25 - 2016-09-23 14:50 - 00000000 __SHD C:\ProgramData\System32

2016-09-23 11:23 - 2016-09-26 11:25 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-09-23 11:23 - 2016-09-26 11:25 - 00000000 __SHD C:\ProgramData\Windows

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[anat9]

@mike 1,  

Fixlog.txt

[mike 1]

KES 10 был установлен уже после заражения? Аваст деинсталлируйте. 

[anat9]

@mike 1, нет, KES был установлен до, но на нем уже года полтора не обновляются базы по причине просрачивания ключа. Также она запаролен и пароль к нему неизвестен.

По-прежнему надо деинсталировать АВАСТ?

[mike 1]

Два установленных антивируса могут конфликтовать между собой на уровне драйверов. В KES 10 лицензия была просрочена на момент заражения?

[anat9]

@mike 1, про конфликты знаю, и не думаю, что это поможет расшифровать файлы... Да, лицензия была просрочена. Только я бы не говорил, что это заражение - еще раз повторюсь, что с ПК была запущена программа шифратор. 

В итоге, что делать дальше?

[mike 1]

Активная лицензия на какой либо Антивирус Касперского имеется? 

[anat9]

@mike 1,

Лицензия имеется, создал запрос в Касперский.

Аваст удалил.

Изменено 28 сентября, 2016 пользователем anat9