ransom.shade все файлы зашифрованы no_more_ranson

[slonik71]

Бухгалтер открыла письмо с неизвестного адреса. Что-то по поводу штрафа. Вот теперь имеем зашифрованной всю рабочую документацию. Беда.... Не то слово. Караул! Помогите! Обязуюсь провести воспитательную работу с сотрудниками и найти и переслать Вам письмо гадины.

CollectionLog-2016.11.30-19.17.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[slonik71]

Выполнено. Жду дальнейших указаний.Addition.txtFRST.txt

@mike 1, плз 

[mike 1]

Удалите через установка и удаление программ: Remote Desktop Access (VuuPC), Time tasks

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  Toolbar: HKU\S-1-5-21-687094827-313132445-390368494-1006 -> No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} -  No File
  Toolbar: HKU\S-1-5-21-687094827-313132445-390368494-1006 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
  Toolbar: HKU\S-1-5-21-687094827-313132445-390368494-1006 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\bepbmhgboaologfdajaanbcjmnhjmhfn [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\elicpjhcidhpjomhibiffojpinpmmpil [2014-11-07]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-10-09]
  CHR Extension: (No Name) - C:\Users\Антон Александрович\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-10-09]
  2016-11-29 17:44 - 2016-11-29 17:44 - 03932214 _____ C:\Users\Антон Александрович\AppData\Roaming\7C4441337C444133.bmp
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README9.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README8.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README7.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README6.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README5.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README4.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README3.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README2.txt
  2016-11-29 17:44 - 2016-11-29 17:44 - 00004154 _____ C:\Users\Антон Александрович\Desktop\README10.txt
  2014-11-07 14:52 - 2014-11-07 14:52 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
  Task: {1982B161-5D70-472D-A9FE-F1B42C06EA70} - \Windows Update 208c4d75 -> No File <==== ATTENTION
  Task: {34485464-CEB0-4483-BE5B-40770D7A19C9} - \Windows Update f78a372f -> No File <==== ATTENTION
  Task: {658C3177-9127-4C29-B4C0-B8F52E639F37} - System32\Tasks\Windows Update => Rundll32.exe "C:\ProgramData\Winlogon\winlogon.lnk_",DllGetClassObject host
  Task: {AC6DF036-6B52-461F-8D13-9AD262154340} - \Windows Update 4ac6e5be -> No File <==== ATTENTION
  Task: {CEFAABA7-7A56-4BF2-81F6-2899FD49FEA2} - \Windows Update 88c4de77 -> No File <==== ATTENTION
  MSCONFIG\startupreg: Winhlp31 => C:\Users\Антон Александрович\Documents\CommonData\Winhlp31.exe
  MSCONFIG\startupreg: Schedule => "C:\ProgramData\Schedule\timetasks.exe"
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem]
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме

[slonik71]

Remote Desktop Access (VuuPC), Time tasks

удалены

 

Антивирус установлен был давно. Была установлена защита администрирования (пароль на приостановку защиты) Программа запускалась (вынужденно) при включенном антивирусе Касперского для рабочих групп (может подскажете как его удалить минуя сей пароль - мы уже купили лицензию Kaspersky Internet Security)

По пятому пункту архива Дата_время.zip создано не было. Остальные логи и отчеты прикреплены. Fixlog.txtSecurityCheck.txt

[mike 1]

Исправляйте все это безобразие:

 

Internet Explorer 11.0.9600.17633 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя включен

Запрос на повышение прав для администраторов отключен

Запрос на повышение прав для обычных пользователей отключен

^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

Автоматическое обновление отключено

 

7-Zip 4.65 (x64 edition) v.4.65.00.0 Внимание! Скачать обновления

^Удалите старую версию, скачайте и установите новую.^

Microsoft Silverlight v.5.1.30514.0 Внимание! Скачать обновления

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 11 ActiveX 64-bit v.11.0.1.152 Внимание! Скачать обновления

Adobe Flash Player 10 Plugin v.10.2.153.1 Внимание! Скачать обновления

Adobe Reader 9.5.1 - Russian v.9.5.1 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Reader XI или Adobe Acrobat Reader DC.

------------------------------- [ Browser ] -------------------------------

Yandex v.15.9.2403.3043 Внимание! Скачать обновления

^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

 

 

C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations MP4\avp.exe v.6.0.4.1424 - к нему уже базы не выпускают, но до сих пор находятся люди, которые используют это безнадежно устаревшее антивирусное ПО. До KES 10 обновляйтесь, как все нормальные конторы.

 

 

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). Пишите запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525