Перейти к содержанию

Шифровальщик Da Vinci Code

zarazakaza
 Share

Рекомендуемые сообщения

mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 TerminateProcessByName('c:\programdata\csrss\csrss.exe');
 QuarantineFile('c:\programdata\csrss\csrss.exe','');
 TerminateProcessByName('c:\programdata\drivers\csrss.exe');
 QuarantineFile('c:\programdata\drivers\csrss.exe','');
 DeleteFile('c:\programdata\drivers\csrss.exe','32');
 DeleteFile('c:\programdata\csrss\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
 DeleteFile('C:\Users\user\AppData\Roaming\Browsers\exe.resworb.bat','32');
 DeleteFile('C:\Users\user\AppData\Roaming\PWKN.exe','32');
 DeleteFile('C:\Windows\Tasks\PWKN.job','32');
 DeleteFile('C:\Windows\system32\Tasks\PWKN','64');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.
1. В заголовке письма напишите "Карантин".
2. В письме напишите ссылку на Вашу тему.
3. Прикрепите файл карантина и нажмите "Отправить"
 

  •  
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
 
move.gif
 
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
 
 
 
 
Сделайте новые логи Автологгером. 
 
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.

Прикрепите отчет к своему следующему сообщению.


 

Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора),  нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.

Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.

Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

CloseProcesses:

GroupPolicy: Restriction - Chrome <======= ATTENTION

GroupPolicy\User: Restriction <======= ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

2016-10-08 17:24 - 2016-10-08 20:27 - 00000000 __SHD C:\Users\Все пользователи\Csrss

2016-10-08 17:24 - 2016-10-08 20:27 - 00000000 __SHD C:\ProgramData\Csrss

2016-10-08 17:24 - 2016-10-08 17:24 - 05292054 _____ C:\Users\user\AppData\Roaming\E89F32EEE89F32EE.bmp

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README9.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README8.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README7.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README6.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README5.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README4.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README3.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README2.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\user\Desktop\README10.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README9.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README8.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README7.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README6.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README5.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README4.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README3.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README2.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README10.txt

2016-10-08 17:24 - 2016-10-08 17:24 - 00004198 _____ C:\Users\Public\Desktop\README1.txt

2016-10-07 05:17 - 2016-10-08 17:24 - 00000000 __SHD C:\Users\Все пользователи\System32

2016-10-07 05:17 - 2016-10-08 17:24 - 00000000 __SHD C:\ProgramData\System32

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README9.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README8.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README7.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README6.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README5.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README4.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README3.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README2.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README10.txt

2016-10-07 05:17 - 2016-10-07 05:17 - 00004198 _____ C:\README1.txt

2016-10-07 05:15 - 2016-10-08 17:40 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-10-07 05:15 - 2016-10-08 17:40 - 00000000 __SHD C:\ProgramData\Windows

2016-10-08 17:24 - 2016-10-08 17:24 - 5292054 _____ () C:\Users\user\AppData\Roaming\E89F32EEE89F32EE.bmp

Task: {8A307D0E-2610-45A2-8B31-531F01E0AA75} - \userForsakesTitmiceV2 -> No File <==== ATTENTION

Task: {BA052DDA-6E92-4DA4-BCB5-BFE511EFA07F} - \ipro2 -> No File <==== ATTENTION



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • FineGad
      Шифровальщик WantToCry
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      Шифровальщик BlackBit
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
    • yarosvent
      поймали шифровальщика
      От yarosvent
      Доброго,
      просим помочь расшифровать данные
×
×
  • Создать...