Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)
Прекращение поддержки email

Проблема с шифровальщиком CryptoLocker

Geomorpholog
 Поделиться

Рекомендуемые сообщения

Geomorpholog

Geomorpholog

Опубликовано
Опубликовано

Добрый день!

 

Вчера словили на домашний компьютер CryptoLocker.

 

Описание проблемы: почти (!) все текстовые, фото и видео файлы зашифрованы (без изменения расширения) и не открываются. Хотя в одной из папок (дочерних) почему-то все в порядке (т.е. шифровальщиком она странным образом не затронута). Но это лишь ложка меда в бочке дегтя.

 

Источник вируса неизвестен (возможно, музыкальный файл, скаченный с торрентов, т.к. ничего другого, по словам жены, она не скачивала и неизвестных сайтов не открывала).

 

В настоящий момент компьютер вычищен с использованием Dr.Web CureIt! и Kaspersky Virus Removal Tool 2015, однако с зашифрованными файлами ничего поделать не могу. Крайне хотелось бы их расшифровать!

 

К запросу прикладываю архив автоматического сборщика логов.

 

При необходимости могу выслать пример зашифрованного файла и скриншот с "требованиями" вируса или аналогичный блокнотный файл с "требованиями", который вирус создал на рабочем столе и еще в нескольких папках (т.к. в "Правилах оформления запроса" фигурирует только лог, решил остальное пока не прикладывать).

 

Жду ответа. Заранее спасибо!

 

Владимир

 

 

 

CollectionLog-2016.10.16-13.57.zip

mike 1

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
mike 1

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

CloseProcesses:

HKU\S-1-5-21-1119305050-3783017471-1526489665-500\...409d6c4515e9\InprocServer32: [Default-shell32]  <==== ATTENTION

S2 InstallerService; no ImagePath

StandardProfile\AuthorizedApplications: [C:\Windows\Explorer.EXE] => Enabled:Windows Debugger 32



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

mike 1

mike 1

Опубликовано
Опубликовано

 

C:\Your files are locked !.txt

Пришлите. В архиве еще несколько небольших зашифрованных файлов пришлите. 

mike 1

mike 1

Опубликовано
Опубликовано (изменено)

Заражение произошло 15 октября примерно в 15:40. Вспоминайте какие сайты открывали и что запускали, возможно шифровальщика поймали через эксплойт. 

C:\Users\Администратор\AppData\Roaming\5a5a
C:\Users\Администратор\AppData\Roaming\FF32A6D9-ACAE-42F5-AE3C-A6CAF0BDEBA9
C:\Users\Администратор\AppData\Local\Agpworks

В этих папках какие-нибудь файлы есть?

Изменено пользователем mike 1
Geomorpholog

Geomorpholog

Опубликовано
  • Автор
Опубликовано

Первые две папки пусты (скрытых файлов тоже нет). В третьей (C:\Users\Администратор\AppData\Local\Agpworks) лежат следующие файлы: dlswyxjd.lck, gnrxozbb.lck, hhhlachz.lck, hrktajtb.lck, nkvpatnh.lck, pnzcekrx.lck, rxhvivnq.lck. Даты создания: от 16.03.2016 до 11.05.2016.

 

По истории браузеров последний раз жена выходила в интернет около 10:45 15 октября (почта, торренты - никаких незнакомых сайтов). А как раз в районе 15:40 она запустила в проигрывателе музыкальные файлы (mp3), скачанные ранее с торрента (D:\Downloads\BitTorrent\OST Mychael Danna - The Good Dinosaur (2015, mp3)). После чего через некоторое время попыталась открыть один из старых текстовых файлов, он не открылся - и сразу же после этого появился баннер криптолокера.

mike 1

mike 1

Опубликовано
Опубликовано

 

 

А как раз в районе 15:40 она запустила в проигрывателе музыкальные файлы (mp3)

Файлы упакуйте в архив с паролем virus и отправьте мне на почту.

Geomorpholog

Geomorpholog

Опубликовано
  • Автор
Опубликовано

Архив с музыкальными файлами выслал Вам на почту (ссылка на гугл-диск, т.к. обычным вложением не влезал). Пароль для архива - virus.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • mibds
      Шифровальщик ...sapril2015@126.com_ZYv
      Автор mibds
      Здравствуйте. 
       
      Значит все по стандарту.
       
      Секретарше прислали письмо на почту, со вложенным архивом "Сообщение о задолженности". (Прикрепил к теме архив, переименовал в "осторожно вирус")
       
      В архиве скрипт *.js.  с названием "сообщение о задолженности"
       
      Девочка архив распаковала, файл попыталась открыть, скрипт видимо сработал и заблокировались все файлы excel (xls, xlsx) и word (doc).
       
      Вроде другие файлы не пострадали... но могу и не знать. Знаю точно что не пострадали PDF-файлы и те файлы где стояла галка "только чтение", но таких единицы к сожалению.
       
      Прикрепил для примера архив "несколько зашифрованных файлов для примера". Там 5 зашифрованных файлов, точно не скажу "доки" или "эксели".
       
      Прикрепил логи
       
      несколько зашифрованных файлов для примера.rar
      CollectionLog-2015.10.08-17.09.zip
    • AltayResort
      Расшифровка зашифрованных файлов
      Автор AltayResort
      Добрый День!
       
      Получили по электроной почте файл с вирусом (прекреплен в скрепке) после открытия файла зашифровались файлы с расширением doc, xls
      Пример заражонного файла в скрепке, так же прекладываем логи собранные программной autologger.
       Учитывая финансовый характер заражонных файлов просьба помочь в расшифровке файлов как можно скорее
      Мы являемся владельцами корпоративной линцензии kaspersky endpoint security.
      С Уважением.
      ООО Алтай Резорт
       
    • nikolay_2009
      криптолокер все зашифровал
      Автор nikolay_2009
      добрый день
      все фотки заблокированы и зашифрованы. 
      списывался с криптолокером. он дерзит и просит 15000р хотя и говорит что только рабочие компьютеры банит. выручайте.
      прикрепляю файлы из разных папок. "тела" вируса уже наверное нет. т.к. обратился за помощью к знакомому и он мне переустановил винду даже не активировав и файл логгера с вашего сайта. спасибо.  и фото почему то не загружаются((((. что делать? ни большие ни маленькие
      CollectionLog-2015.11.04-21.51.zip
    • big_boy840
      У меня с такими же названиями maxcrypt@foxmail2.com файлы
      Автор big_boy840
      Есть расшифровщик или нет?
      У меня с такими же названиями maxcrypt@foxmail2.com файлы.
      Это значит, что расшифровщик его должен мне подойти?
    • Ердаулет
      Вирус зашифровал все файлы в формат.bad
      Автор Ердаулет
      Вирус зашифровал все файлы в формат.bad зашифрованные файлы переместил в одну папку расшифровать не получается или я не правильно делаиу?
      CollectionLog-2015.10.20-00.47.zip
×
×
  • Создать...