ransom.shade вмрус-шифровальщик no_more_ransom поймали с почтой [Shade Ransomware]

[Константин Домнин]

Здравствуйте!
Вчера бухгалтерия с почтой (От кого: Бухгалтер <foma501@mail.ru>) поймала вирус-шифровальщик,который зашифровал файлы (офиса и др) при открытии вложения, расширение у зашифрованных файлов стало *.no_more_ransom
По инструкции на форуме провел проверку ПК, сначала Kaspersky Virus Removal Tool 2015, потом Dr.Web CureIt. Были обнаружены несколько троянов, которые были удалены.
После этого запустил AutoLogger.exe, логи приложены.
Да еще, обнаружил, что у них на компьютере не стоял антивирус Касперского, точнее он был, но из-за каких-то конфликтов с бухгалтерским ПО, они его взяли и снесли (
Прошу помощи!
 

CollectionLog-2016.11.30-19.11.zip

[mike 1]

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Константин Домнин]

Запустил AdwCleaner (by Xplode). Отчет в прикрепленном файле

AdwCleanerS0.txt

[mike 1]

Очистите всё найденное в AdwCleaner. Отчёт после удаления прикрепите

[Константин Домнин]

очистил, отчет прикреплен

AdwCleanerC0.txt

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Константин Домнин]

прикрепил отчеты   Farbar Recovery Scan Tool

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  GroupPolicy: Restriction - Chrome <======= ATTENTION
  GroupPolicy\User: Restriction - Chrome <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  CHR HKU\S-1-5-21-3440413932-2229612590-259478077-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
  OPR Extension: (No Name) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\dojgfgknadakhfnaogaipdbdamepeffe [2016-01-18]
  2016-11-29 15:27 - 2016-11-29 15:27 - 03932214 _____ C:\Users\user\AppData\Roaming\B5FA33C3B5FA33C3.bmp
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README9.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README8.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README7.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README6.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README5.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README4.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README3.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README2.txt
  2016-11-29 15:27 - 2016-11-29 15:27 - 00004178 _____ C:\Users\user\Desktop\README10.txt
  2016-11-30 11:15 - 2016-11-30 12:29 - 00000000 __SHD C:\Users\Все пользователи\Csrss
  2016-11-30 11:15 - 2016-11-30 12:29 - 00000000 __SHD C:\ProgramData\Csrss
  2016-11-29 14:54 - 2016-11-30 11:15 - 00000000 __SHD C:\Users\Все пользователи\System32
  2016-11-29 14:54 - 2016-11-30 11:15 - 00000000 __SHD C:\ProgramData\System32
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README9.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README8.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README7.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README6.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README5.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README4.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README3.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README2.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README10.txt
  2016-11-29 14:54 - 2016-11-29 14:54 - 00004178 _____ C:\README1.txt
  2016-11-29 14:44 - 2016-11-30 12:53 - 00000000 __SHD C:\Users\Все пользователи\Windows
  2016-11-29 14:44 - 2016-11-30 12:53 - 00000000 __SHD C:\ProgramData\Windows
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Константин Домнин]

fixlog.txt прикрепил

Fixlog.txt

[mike 1]

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах). Пишите запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525

[Константин Домнин]

 

mike 1, спасибо за участие  , написал в техподдержку, бухи в трансе  

 

[mike 1]

Бэкапы нужно потому что делать.

[Константин Домнин]

да, бекапы баз конечно же делаются, просто у бухов еще много всяких вордовских и экселевских бумажек, которые они ленятся резервировать

[mike 1]

Нужно значит приучать к порядку. Здесь https://goo.gl/BC7QFjобщие рекомендации найдете.