xorist Вирус шифровальщик

[Ivan Kezin]

Добрый День. Файлы во вложении.

FRST.txt

Addition.txt

Shortcut.txt

[Sandor]

Включите Восстановление системы.

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Windows\Tasks\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\Downloads\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\Documents\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\Desktop\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\AppData\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\AppData\Roaming\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\AppData\Roaming\Microsoft\Windows\Start Menu\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\AppData\LocalLow\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\user2\AppData\Local\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\Public\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\Public\Downloads\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:25 - 2016-10-26 21:25 - 00000183 _____ C:\Users\Public\Documents\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:22 - 2016-10-26 21:22 - 00000183 _____ C:\Users\Все пользователи\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-26 21:22 - 2016-10-26 21:22 - 00000183 _____ C:\ProgramData\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2016-10-24 21:48 - 2016-10-24 21:48 - 00004510 _____ C:\Windows\System32\Tasks\system
2016-09-24 04:31 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\Documents\README.txt
2016-09-24 04:31 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\Desktop\README.txt
2016-09-24 04:31 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\AppData\Roaming\README.txt
2016-09-24 04:31 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2016-09-24 04:31 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\AppData\README.txt
2016-09-24 04:31 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\AppData\LocalLow\README.txt
2016-09-24 04:30 - 2016-09-24 04:31 - 00000420 _____ C:\Users\user1\AppData\Local\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\Downloads\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\Documents\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\Desktop\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\AppData\Roaming\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2016-09-12 00:57 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\AppData\README.txt
2016-09-12 00:56 - 2016-09-12 00:57 - 00000420 _____ C:\Users\user4\AppData\Local\README.txt
2016-09-12 00:56 - 2016-09-12 00:56 - 00000420 _____ C:\Users\user4\AppData\LocalLow\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\Documents\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\AppData\Roaming\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\AppData\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\AppData\LocalLow\README.txt
2016-08-26 05:10 - 2016-08-26 05:10 - 00000420 _____ C:\Users\user3\AppData\Local\README.txt
2016-08-26 05:09 - 2016-08-26 05:10 - 00000420 _____ C:\Users\Все пользователи\README.txt
2016-08-26 05:09 - 2016-08-26 05:10 - 00000420 _____ C:\ProgramData\README.txt
Task: {2B7929A6-84FB-4F51-ACB8-9A1B2A9AC947} - System32\Tasks\system => C:\Users\user1\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\copidelete.vbs <==== ATTENTION
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Изменено 8 ноября, 2016 пользователем Sandor

[Ivan Kezin]

Добрый День. Лог во сложении.

Fixlog.txt

[Sandor]

Скрипт дважды выполняли?

[Ivan Kezin]

Скрипт дважды выполняли?

Да.

[mike 1]

Пришлите в архиве пару зашифрованный/не зашифрованный одного и того же файла.

[Ivan Kezin]

Добрый День. Одинаковых один в один файлов нет. Есть рабочая база 1С и не рабочая(шифрованная) И они размером больше чем 5мб. Как быть в этом случае.

[thyrex]

Пришлите мне в ЛС ссылку на одну из шифрованных баз.

 

Только выдать расшифровку на этом форуме я не смогу. Найти меня нетрудно на одном из смежных форумов по информационной безопасности.

[mike 1]

Добрый День. Одинаковых один в один файлов нет. Есть рабочая база 1С и не рабочая(шифрованная) И они размером больше чем 5мб. Как быть в этом случае.

А сам шифровальщик сохранился?

[Ivan Kezin]

 

Добрый День. Одинаковых один в один файлов нет. Есть рабочая база 1С и не рабочая(шифрованная) И они размером больше чем 5мб. Как быть в этом случае.

А сам шифровальщик сохранился?

 

Нет. Я его не нашел на компе.

[mike 1]

 

 

Добрый День. Одинаковых один в один файлов нет. Есть рабочая база 1С и не рабочая(шифрованная) И они размером больше чем 5мб. Как быть в этом случае.

А сам шифровальщик сохранился?

 

Нет. Я его не нашел на компе.

 

Пришлите зашифрованный файл формата doc, docx, xls, xlsx в архиве. + Еще посмотрите карантин антивируса.

Изменено 10 ноября, 2016 пользователем mike 1

[Ivan Kezin]

Добрый День. Помогите пожалуйста, был повторно заражен вирусом шифровальщиком.

Check_Browsers_LNK.log

КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt.zip

[Sandor]

Делайте свежий CollectionLog - Порядок оформления запроса о помощи

[Ivan Kezin]

Лог

CollectionLog-2016.12.26-15.41.zip

[Sandor]

Дополнительно логи FRST, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.