Шифровальщик da vinci code [Shade Ransomware]

[Edkras]

Через почту сотрудник поймал шифратор. Часть файлов была зашифрована, часть не успела. Надеемся, что поможете.

CollectionLog-2016.11.30-14.40.zip

[mike 1]

В организации админ имеется?

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Edkras]

В организации админ имеется?

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

я и есть админ)

Addition.txt

FRST.txt

[mike 1]

Platform: Microsoft Windows XP Professional Service Pack 2 (X86) Language: Русский
Internet Explorer Version 6 (Default browser: Chrome)

Почему вы обновления на систему не ставите? Ваш компьютер дырявый как решето и никакой антивирус такую дырявую систему не спасет. Все сетевые черви будут вашими. По сути из-за вашей халатности файлы зашифровались.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README8.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README7.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README6.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README5.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README4.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README3.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README2.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README10.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README1.txt
  2016-11-02 16:56 - 2016-11-03 08:25 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Edkras]

Дело не в дырах, а в кривых руках пользователя, которые все подряд с почты открывают! Тут никакой антивирус не поможет.

[mike 1]

Именно админ отвечает за обслуживание рабочих станций, а тот факт что ты:

 

1. Не ставишь обновления на Windows;

2. Не ограничиваешь своих пользователей в правах;

3. Не делаешь резервных копий важных данных;

4. Не настроил должным образом сетевые папки.

 

Вызывает недоумение. Будь я начальником, я бы гнал в шею таких "админов", уж извините.

[Edkras]

Сочту за совет, если "админу" объясните, как оградить систему от того, что у пользователя на ПК стоит почтовый клиент. Ему приходит письмо с вложением "счет-фактура.rar". Он не доходит мозгом, что это архив, что там нет той самой счет-факуры (все документы либо в форматах Excel, PDF, JPEG присылаются). И вуаля, шифровальщик пошел делать свою работу. Почему у меня на четырех компьютерах, где нет антивируса, ни разу даже банера не вылезло? Потому что думаю, куда лезу в интернете и что открываю. Дело не в работе админа, а, еще раз повторю, в "грамотности" юзера. Обновления на винду ставить смысла нет, т.к. железо там Г, другое купить не дают. Касперский вполне ограничивает пользователей на запуск сетапников, экзешников и прочей "самодеятельности" юзера. Общего резервного копирования нет. так как нет и сетевых папок. Уж простите, на иную структуру предприятия средств не выделяют. По делу: Файлы будут позже.

[Edkras]

Platform: Microsoft Windows XP Professional Service Pack 2 (X86) Language: Русский
Internet Explorer Version 6 (Default browser: Chrome)

Почему вы обновления на систему не ставите? Ваш компьютер дырявый как решето и никакой антивирус такую дырявую систему не спасет. Все сетевые черви будут вашими. По сути из-за вашей халатности файлы зашифровались.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README8.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README7.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README6.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README5.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README4.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README3.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README2.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README10.txt
  2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README1.txt
  2016-11-02 16:56 - 2016-11-03 08:25 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Fixlog.txt

[mike 1]

Исправляйте недочеты. Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). Пишите запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525