Зашифрованы все файлы 1С и офисные файлы

[Viktor-83]

Здравствуйте. Помогите, пожалуйста. Вчера утром на компьютере вирусом были зашифрованы все офисные файлы и файлы 1С (1Сv8 даже не запускается). Картинка на рабочем столе была заменена на содержимое файла README.txt (этот файл появился во всех каталогах), также этот файл открывался при запуске Windows.

На всякий случай, парочка зашифрованных файлов, doc и xls: https://yadi.sk/d/tEwCpExIzDLxZ

 

ВНИМАНИЕ!
Все Ваши офисные файлы, архивы, видео и прочие документы были зашифрованы криптостойким алгоритмом, который не поддаётся расшифровке со стороны антивирусных компаний.
Для того, чтобы восстановить файлы, Вам необходимо связаться с нами по почте
На это у Вас есть 72 ЧАСА, по истечению данного срока все файлы начнут постепенно уничтожаться БЕЗ ВОЗМОЖНОСТИ ВОССТАНОВЛЕНИЯ!
semenov34@india.com
semenov34@india.com

 

ОС Windows XP SP3 x86

 

У зашифрованных файлов изменились имена на такие:

email-semenov34@india.com.ver-CL 1.3.1.0.id-ZDXLCYSDHBLNHJLHBDFYSUWYJLNPACYALNPQ-22.11.2016 9@58@304263776@@@@@A832-A405.randomname-CXOAQVALSKVMIAUCPHSJNFQZTLWFZS.OWZ.kow

email-semenov34@india.com.ver-CL 1.3.1.0.id-ZDXLCYSDHBLNHJLHBDFYSUWYJLNPACYALNPQ-22.11.2016 9@58@304263776@@@@@A832-A405.randomname-FVYASOZKNGIBNGZBDWPITMFYJCVOQS.VED.ghm

email-semenov34@india.com.ver-CL 1.3.1.0.id-ZDXLCYSDHBLNHJLHBDFYSUWYJLNPACYALNPQ-22.11.2016 9@58@304263776@@@@@A832-A405.randomname-YJLEQFTOXUNFLGJUWPZSXENVATLVIJ.TEP.kfn

email-semenov34@india.com.ver-CL 1.3.1.0.id-ZDXLCYSDHBLNHJLHBDFYSUWYJLNPACYALNPQ-22.11.2016 9@58@304263776@@@@@A832-A405.randomname-YTJLTPRLOQKVZVGRLEGITVXITMOBDF.RAI.ldj

 

 

Надеюсь на помощь...

CollectionLog-2016.11.23-15.01.zip

[mike 1]

 

 

На это у Вас есть 72 ЧАСА, по истечению данного срока все файлы начнут постепенно уничтожаться БЕЗ ВОЗМОЖНОСТИ ВОССТАНОВЛЕНИЯ!

Врунишки

 

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

Изменено 23 ноября, 2016 пользователем mike 1

[Viktor-83]

Спасибо большое. Прикрепил.

 

Переделал с выключенным Касперским

Addition.txt

FRST.txt

Изменено 23 ноября, 2016 пользователем Viktor-83

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

GroupPolicy: Restriction - Chrome <======= ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

HKU\S-1-5-21-1935655697-1580436667-839522115-1003\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=19773f9644391a6a1ea64e239989102d&text={searchTerms}

HKU\S-1-5-21-1935655697-1580436667-839522115-1003\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=19773f9644391a6a1ea64e239989102d&text={searchTerms}

MSCONFIG\startupreg: A832-A405 => H:\Program Files\WinRar\Изменения в тарифном плане.exe

Folder: H:\Program Files\WinRar

Folder: H:\Documents and Settings\бухгалтер\Local Settings\Temp\

StandardProfile\AuthorizedApplications: [H:\WINDOWS\system32\svchost.exe] => Enabled:Windows Debugger 32

StandardProfile\GloballyOpenPorts: [9487:TCP] => Enabled:hxgfmm

Folder: H:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP16.0.1\SysWHist

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
  

 

 

 

Тема почищена. naviaga создавайте свою тему. В чужих темах писать не надо!

Изменено 23 ноября, 2016 пользователем mike 1

[Viktor-83]

Лог-файл: Fixlog.txt

 

Архива не было. Скажите, шансы на расшифровку есть?

[mike 1]

Увы, но никаких. У вас Касперский похоже был отключен на момент заражения. 

[Viktor-83]

Жалко. Да, Касперский был отключён. Спасибо за помощь. Винду восстанавливать не надо, всё равно под замену.