Перейти к содержанию

Вирус Шифровальщик

McLaud
 Поделиться

Рекомендуемые сообщения

McLaud

McLaud

Опубликовано
Опубликовано

Добрый день. Через электронную почту поймал вирус шифровальщик, который просит оплаты через вот этот ресурс http://lock.bz. В расширение всех документов добавилась приписка *.*.vault помогите, если есть такая возможность.

CollectionLog-2016.10.26-10.05.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

На момент заражения была ли включена эта настройка?

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

ZetaGames

Интернет

Служба автоматического обновления программ

  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
McLaud

McLaud

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

На момент заражения была ли включена эта настройка?

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

ZetaGames

Интернет

Служба автоматического обновления программ

  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Настройка не была включена. Программы удалены

AdwCleanerS0.txt

Sandor

Sandor

Опубликовано
Опубликовано

Настройка не была включена

Учтите на будущее.

 

1.

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

McLaud

McLaud

Опубликовано
  • Автор
Опубликовано

 

Настройка не была включена

Учтите на будущее.

 

1.

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

AdwCleanerC0.txt

AdwCleanerC2.txt

Addition.txt

FRST.txt

Shortcut.txt

Sandor

Sandor

Опубликовано
Опубликовано

Кейлогер от AtomPark group ставили самостоятельно?

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\b56ztd43.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\b56ztd43.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\b56ztd43.default -> hxxp://mail.ru/cnt/10445?gp=821272
FF Keyword.URL: Mozilla\Firefox\Profiles\b56ztd43.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BD31F1DB0-6715-4860-9B1F-B0052A4B69D3%7D&gp=821273
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Ingener1\AppData\Roaming\Mozilla\Firefox\Profiles\b56ztd43.default\Extensions\homepage@mail.ru [2016-05-11]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Ingener1\AppData\Roaming\Mozilla\Firefox\Profiles\b56ztd43.default\Extensions\search@mail.ru [2016-05-11]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Ingener1\AppData\Roaming\Mozilla\Firefox\Profiles\b56ztd43.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-10-25]
CHR Extension: (Стартовая — Яндекс) - C:\Users\Ingener1\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-09-29]
2016-10-25 09:47 - 2016-10-25 09:47 - 01365752 _____ C:\Users\Ingener1\AppData\Roaming\CONFIRMATION.KEY
2016-10-25 09:47 - 2016-10-25 09:47 - 00005002 _____ C:\Users\Ingener1\AppData\Roaming\VAULT.hta
2016-10-25 09:47 - 2016-10-25 09:47 - 00001611 _____ C:\Users\Ingener1\Desktop\VAULT.KEY
2016-10-25 09:47 - 2016-10-25 09:47 - 00001611 _____ C:\Users\Ingener1\AppData\Roaming\VAULT.KEY
2016-10-26 11:07 - 2016-05-11 13:39 - 00000000 ____D C:\Users\Ingener1\AppData\Local\ZetaGamesNews
2016-10-26 11:06 - 2016-05-11 13:40 - 00000000 ____D C:\Users\Ingener1\AppData\Local\ZetaGamesViewer
C:\Users\Ingener1\AppData\Local\Temp\7e958e792a8.exe
MSCONFIG\startupreg: ZetaGamesNews => C:\Users\Ingener1\AppData\Local\ZetaGamesNews\zeta.exe
MSCONFIG\startupreg: ZetaGamesViewer => C:\Users\Ingener1\AppData\Local\ZetaGamesViewer\zetaviewer.exe --show-hidden
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

McLaud

McLaud

Опубликовано
  • Автор
Опубликовано

Кейлогер от AtomPark group ставили самостоятельно?

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\b56ztd43.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\b56ztd43.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\b56ztd43.default -> hxxp://mail.ru/cnt/10445?gp=821272
FF Keyword.URL: Mozilla\Firefox\Profiles\b56ztd43.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BD31F1DB0-6715-4860-9B1F-B0052A4B69D3%7D&gp=821273
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Ingener1\AppData\Roaming\Mozilla\Firefox\Profiles\b56ztd43.default\Extensions\homepage@mail.ru [2016-05-11]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Ingener1\AppData\Roaming\Mozilla\Firefox\Profiles\b56ztd43.default\Extensions\search@mail.ru [2016-05-11]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Ingener1\AppData\Roaming\Mozilla\Firefox\Profiles\b56ztd43.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-10-25]
CHR Extension: (Стартовая — Яндекс) - C:\Users\Ingener1\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-09-29]
2016-10-25 09:47 - 2016-10-25 09:47 - 01365752 _____ C:\Users\Ingener1\AppData\Roaming\CONFIRMATION.KEY
2016-10-25 09:47 - 2016-10-25 09:47 - 00005002 _____ C:\Users\Ingener1\AppData\Roaming\VAULT.hta
2016-10-25 09:47 - 2016-10-25 09:47 - 00001611 _____ C:\Users\Ingener1\Desktop\VAULT.KEY
2016-10-25 09:47 - 2016-10-25 09:47 - 00001611 _____ C:\Users\Ingener1\AppData\Roaming\VAULT.KEY
2016-10-26 11:07 - 2016-05-11 13:39 - 00000000 ____D C:\Users\Ingener1\AppData\Local\ZetaGamesNews
2016-10-26 11:06 - 2016-05-11 13:40 - 00000000 ____D C:\Users\Ingener1\AppData\Local\ZetaGamesViewer
C:\Users\Ingener1\AppData\Local\Temp\7e958e792a8.exe
MSCONFIG\startupreg: ZetaGamesNews => C:\Users\Ingener1\AppData\Local\ZetaGamesNews\zeta.exe
MSCONFIG\startupreg: ZetaGamesViewer => C:\Users\Ingener1\AppData\Local\ZetaGamesViewer\zetaviewer.exe --show-hidden
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Да, ставил самостоятельно, вчера, думал он как-то поможет

Fixlog.txt

McLaud

McLaud

Опубликовано
  • Автор
Опубликовано

Закончился срок действия лицензии, сейчас обновляем и создадим, далее опять нужно будет через вашу службу общаться?

Sandor

Sandor

Опубликовано
Опубликовано

Нет, сюда не нужно. Смените важные пароли, до окончания работы с ТП не удаляйте папку C:\FRST

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • serg12345
      Вирус pedrolloanisimka
      Автор serg12345
      Подхватили вирус и всё зашифровано. Есть возможность помочь в этом? 
    • Alex_Z
      Вирус шифровальщик - Windows 2008 R2
      Автор Alex_Z
      Добрый вечер!
      Сегодня обнаружили, что практически все файлы на windows server 2008 r2 зашифрованы, а в каждой категории лежат аналогичные файлы txt с посланием:
       
      ************************************************************ SYSTEM DAMAGED! FILES WILL BE DELETED! URGENT ATTENTION! ************************************************************ To restore your files and access them, you need to pay 5 bitcoins Bitcoins have to be sent to this address: 14HNKK5uJeZ2rt96Pi9K2U6jbpCWyRrz5M After payment contact us to receive your password key. Contact Email : repairme2017@keemail.me With subject (Personal ID) : error66733200124 In order to purchase Bitcions you can use : www.coinbase.com www.localbitcoin.com ============================================================ IMPORTANT! IF YOU DON'T PAY IN MAXIM 24 HOURS ALL YOUR FILES WILL BE PERMANENTLY DELETED!!! ============================================================   Бэкапы файлов есть, но не совсем свежие, возможно ли расшифровать данные?   В приложении отчеты из AutoLogger и Farbar Recovery Scan Tool   CollectionLog-2017.05.18-17.33.zip
      frst-addition.zip
    • kravtsov
      Помогите с расшифровкой Trojan.Win32.Deshacop.fow
      Автор kravtsov
      Доброго времени суток!
       
      Словили шифровальщик, Касперский говорит, что: Trojan.Win32.Deshacop.fow
      Есть ли возможность подобрать дешифратор?
       
      В прикрепленном архиве:
      Сам шифровальщик, пароль на архив virus
      Файл с требованиями в нем же и сгенерированный ID, пароль на архив virus
      Зашифрованный файл с оригиналом
      Отчеты FRST
       
      Заранее благодарен!
    • IrinaAIN
      Вирус шифровальщик. Все важные файлы зашифрованы.
      Автор IrinaAIN
      Здравствуйте! На почту пришло письмо от Ростелекома, как потом оказалось - это вирус-шифровальщик. После открытия письма на экране ноутбука появились большие красные буквы: "Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы..." В интернете нашли советы по удалению - удалили само расширение зашифрованных файлов, но все осталось как и прежде. Запускали утилиту Касперского для расшифровки, но что-то не получилось. Что делать? 
    • Aleksey700
      Друзья помогите
      Автор Aleksey700
      У приятеля случилась беда. он совсем не разбирается в компах, отдал его каким то товарищам, они что сделали снесли винду, а файлы оставили зашифрованные. Но они очень нужны как теперь быть???
       
      Bаши фaйлы былu зaшuфрoвaны.
      Чmобы расшuфpоваmь uх, Baм нeoбходимо оmnpавumь код:
      8F4D5F0E7602F4AB1905|0
      нa электpoнный адpеc Lukyan.Sazonov26@gmail.com .
      Дaлее вы пoлyчитe все нeoбxодuмыe uнсmpукции.
      Пoпыmки pаcшuфровать cамoстoяmельнo нe npиведут ни k чемy, kpoмe безвoзврaтной noтeрu uнфoрмации.
      Еcли вы вcё же xоmитe noпытаться, то nредваpuтeльнo cделайme резеpвныe кoпuu фaйлов, иначe в слyчае
      ux uзмeненuя рaсшифpoвkа сmaнет невозмoжной нu npи kаkиx yсловияx.
      Ecлu вы нe nолyчuлu отвema по вышeуkaзaннoмy aдpесу в mечение 48 часов (и тoлько в эmом cлyчae!),
      воспользуйтeсь фoрмoй обратной связи. Этo можно сдeлamь двyмя cпособaмu:
      1) Cкaчайme и усmанoвumе Tor Browser nо cсылke: https://www.torproject.org/download/download-easy.html.en
      B aдpеcной сmрокe Tor Browser-a ввeдuтe адрeс:
      http://cryptsen7fo43rr6.onion/
      и нaжмите Enter. 3агpyзится cmpанuца с фopмoй обрamнoй cвязu.
      2) B любoм брaузepе neрeйдumе nо однoму uз адреcов:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      8F4D5F0E7602F4AB1905|0
      to e-mail address Lukyan.Sazonov26@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
      If you still want to try to decrypt them by yourself please make a backup at first because
      the decryption will become impossible in case of any changes inside the files.
      If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
      use the feedback form. You can do it by two ways:
      1) Download Tor Browser from here:
      https://www.torproject.org/download/download-easy.html.en
      Install it and type the following address into the address bar:
      http://cryptsen7fo43rr6.onion/
      Press Enter and then the page with feedback form will be loaded.
      2) Go to the one of the following addresses in any browser:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/
      README1.txt
×
×
  • Создать...