Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Файлы DA_VICI_CODE

Михаил Михайлович

Автор Михаил Михайлович
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Михаил Михайлович

Михаил Михайлович

Опубликовано
Опубликовано

Здравствуйте!

Вчера обнаружил около 10 папок с зашифрованными файлами.

В журнале  Microsoft Security обнаружен вышеуказанный элемент 28.10.16. 03.34 и удален. В реестре был обнаружен и почищен файл DA_VICI_CODE и еще штуки три похожих.

Утилиты для лечения в разделе "О вирусах" на http://support.kaspersky.ru не помогли.

Прошу помощи в расшифровке файлов.

 

 

CollectionLog-2016.11.08-17.24.zip

SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

К сожалению с расшифровкой не поможем!

 

Сами ставили TicnoTabs?

 

HiJackThis профиксить

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Михаил Михайлович

Михаил Михайлович

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

 

К сожалению с расшифровкой не поможем!

 

Сами ставили TicnoTabs?

 

HiJackThis профиксить

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

TicnoTab - откуда появился не помню (не знаю). Когда обнаружил код Да Винчи, нашел и снес  TicnoTab из панели управления.

Профиксил. Что дальше - не понял. Искать в инете утилиты расшифровщики?

Просканировал Farbar Recovery Scan Tool.

Получилось сразу два файла FRST.txt и Addition.txt . Файлы прилагаю.

Addition.txt

FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Профиксил. Что дальше - не понял. Искать в инете утилиты расшифровщики?

Вряд ли в интернете найдете утилиту по расшифровки, разве что попадете на мошенников. Пробуйте отслеживать изменения на сайте https://www.nomoreransom.org/

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2555660408-2521490189-1550053753-1000\...\Run: [AdobeBridge] => [X]
ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} =>  No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-2555660408-2521490189-1550053753-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.google.com/ig/redirectdomain?brand=smsn&bmod=smsn
HKU\S-1-5-21-2555660408-2521490189-1550053753-1000\Software\Microsoft\Internet Explorer\Main,Start Page = ^^egZ$wZemN]ddNXeTp
BHO: No Name -> {02478D38-C3F9-4efb-9B51-7695ECA05670} -> No File
Toolbar: HKLM - No Name - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -  No File
Toolbar: HKU\S-1-5-21-2555660408-2521490189-1550053753-1000 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
Toolbar: HKU\S-1-5-21-2555660408-2521490189-1550053753-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
FF Plugin: @microsoft.com/WLPG,version=15.4.3502.0922 -> C:\Program Files\Windows Live\Photo Gallery\NPWLPG.dll [No File]
2015-07-28 14:08 - 2015-07-28 14:08 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{45021593-1A68-4028-A440-C754AAD3FFB6}
2016-09-21 11:55 - 2016-09-21 11:55 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{550CB760-8AED-4434-8026-8442CECBBE70}
2016-02-05 17:28 - 2016-02-05 17:28 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{A3DA4FDB-95E7-47AF-877B-CCB0584146BF}
2016-04-12 08:40 - 2016-04-12 08:40 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{E457C9D2-80C4-4CAD-8C2D-DFB3EBF03147}
File: C:\ProgramData\FullRemove.exe
File: C:\Users\Михаил\AppData\Roaming\МКС\wMKS.exe
AlternateDataStreams: C:\ProgramData\Temp:C8B8CEBD [121]
AlternateDataStreams: C:\ProgramData\Temp:D8999815 [149]
AlternateDataStreams: C:\ProgramData\Temp:E7BA7168 [117]
AlternateDataStreams: C:\Users\Все пользователи\Temp:C8B8CEBD [121]
AlternateDataStreams: C:\Users\Все пользователи\Temp:D8999815 [149]
AlternateDataStreams: C:\Users\Все пользователи\Temp:E7BA7168 [117]
AlternateDataStreams: C:\Users\Михаил\Desktop\Типовой договор на поставку продукции.docx:com.dropbox.attributes [168]
FirewallRules: [{7DC966DB-F15C-4490-AC6F-2AC85610D470}] => (Allow) C:\Program Files\Ticno\Tabs\Ticno Tabs.exe
FirewallRules: [{2661F3AB-09C9-4528-8D76-3E149F722327}] => (Allow) C:\Program Files\Ticno\Tabs\Ticno Tabs.exe
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Михаил Михайлович

Михаил Михайлович

Опубликовано
  • Автор
Опубликовано

 

Профиксил. Что дальше - не понял. Искать в инете утилиты расшифровщики?

Вряд ли в интернете найдете утилиту по расшифровки, разве что попадете на мошенников. Пробуйте отслеживать изменения на сайте https://www.nomoreransom.org/

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2555660408-2521490189-1550053753-1000\...\Run: [AdobeBridge] => [X]
ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} =>  No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-2555660408-2521490189-1550053753-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.google.com/ig/redirectdomain?brand=smsn&bmod=smsn
HKU\S-1-5-21-2555660408-2521490189-1550053753-1000\Software\Microsoft\Internet Explorer\Main,Start Page = ^^egZ$wZemN]ddNXeTp
BHO: No Name -> {02478D38-C3F9-4efb-9B51-7695ECA05670} -> No File
Toolbar: HKLM - No Name - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -  No File
Toolbar: HKU\S-1-5-21-2555660408-2521490189-1550053753-1000 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
Toolbar: HKU\S-1-5-21-2555660408-2521490189-1550053753-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
FF Plugin: @microsoft.com/WLPG,version=15.4.3502.0922 -> C:\Program Files\Windows Live\Photo Gallery\NPWLPG.dll [No File]
2015-07-28 14:08 - 2015-07-28 14:08 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{45021593-1A68-4028-A440-C754AAD3FFB6}
2016-09-21 11:55 - 2016-09-21 11:55 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{550CB760-8AED-4434-8026-8442CECBBE70}
2016-02-05 17:28 - 2016-02-05 17:28 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{A3DA4FDB-95E7-47AF-877B-CCB0584146BF}
2016-04-12 08:40 - 2016-04-12 08:40 - 0000000 _____ () C:\Users\Михаил\AppData\Local\{E457C9D2-80C4-4CAD-8C2D-DFB3EBF03147}
File: C:\ProgramData\FullRemove.exe
File: C:\Users\Михаил\AppData\Roaming\МКС\wMKS.exe
AlternateDataStreams: C:\ProgramData\Temp:C8B8CEBD [121]
AlternateDataStreams: C:\ProgramData\Temp:D8999815 [149]
AlternateDataStreams: C:\ProgramData\Temp:E7BA7168 [117]
AlternateDataStreams: C:\Users\Все пользователи\Temp:C8B8CEBD [121]
AlternateDataStreams: C:\Users\Все пользователи\Temp:D8999815 [149]
AlternateDataStreams: C:\Users\Все пользователи\Temp:E7BA7168 [117]
AlternateDataStreams: C:\Users\Михаил\Desktop\Типовой договор на поставку продукции.docx:com.dropbox.attributes [168]
FirewallRules: [{7DC966DB-F15C-4490-AC6F-2AC85610D470}] => (Allow) C:\Program Files\Ticno\Tabs\Ticno Tabs.exe
FirewallRules: [{2661F3AB-09C9-4528-8D76-3E149F722327}] => (Allow) C:\Program Files\Ticno\Tabs\Ticno Tabs.exe
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

 

Fixlog.txt

SQ

SQ

Опубликовано
Опубликовано

На этом всё! Как ранее было написано с расшифровкой не поможем!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • vovans
      xtbl
      Автор vovans
      Здравствуйте! Вирус шифровальщик зашифровал весь домашний фото и видеоархив.Сын удалил все вирусы и переустановил Винду.
      Название вируса не сохранил,не знаю что делать. Может есть какая надежда. Стоит Anti-virus 6.0 1688-000451-1CAB33D7.
      ++ESOAXTI-mH+-uhRET6nBLflYWVIDFR6Q7o9t-sNgI=.56697943D750721BF718.xtbl.zip
    • avanGARd62
      Вирус зашифровал файлы в *XTBL
      Автор avanGARd62
      Вирус-шифровальщик зашифровал многочисленные файлы на ноутбуке, сделав расширение XTBL. На рабочем столе создалось несколько файлов README, в которых содержится призыв отправить злоумышленникам на e-mail код для получения дальнейших инструкций.
      Прикрепляю лог, полученный при сканировании (согласно инструкции).
       
      Пожалуйста, помогите.
      CollectionLog-2015.08.13-23.13.zip
    • Людмила 84
      Файлы зашифрованы в формат XTBL
      Автор Людмила 84
      Файлы зашифрованы в формат XTBL, нужен,как вернуть их в прежний формат. Проблема появилась после скачивания книги с непонятным форматом. Вкладываю в сообщение файл протоколов (логов) CollectionLog-2015.08.15-11.17.zip. Обнаружен файл txt с текстом: Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: 77CF48B1169A0CBE123D|79|2|2 на электронный адрес decodefiles1@gmail.com или decodefiles@india.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 77CF48B1169A0CBE123D|79|2|2 to e-mail address decodefiles1@gmail.com or decodefiles@india.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your dat CollectionLog-2015.08.15-11.17.zip
    • wild_difi
      файлы зашифрованы в *XTBL
      Автор wild_difi
      Вирус-шифровальщик зашифровал многочисленные файлы на ноутбуке, сделав расширение XTBL.Так же на рабочем столе присутствуют файлы readme с инструкцией отправки кода но почту!Прикрепляю лог, полученный при сканировании (согласно инструкции).
      Помогите
      CollectionLog-2015.08.15-02.47.zip
    • warg24
      Шифровка всех важных файлов компьютера неведомой заразой.
      Автор warg24
      Ребята кто нибудь, помогите. Включил вечером комп. начались проблемы. Сначала не удавалось к сети интернет подключиться, все запрашивал пароль от wi-fi. Потом через некоторое время появилась черная заставка с неприятным текстом от том что все файлы были зашифрованы((( все они теперь с расширением xtbl... Также имеются текстовые файлы с таким вот текстом. 
       
       Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: FAA4417C82D5F25AC88F|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: FAA4417C82D5F25AC88F|0 to e-mail address decode010@gmail.com or decode1110@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.     Что делать? Подскажите!
×
×
  • Создать...