Зашифрован файл .kukaracha [Unlock92 Ransomware]

[AleksandrTomsk]

Вирус создал кучу файлов с раширением <имя файла>.<расширение файла>.kukaracha В автозагрузке появилась новая задача keycode с адресом C:\Users\User\AppData\microsoft\windows\start menu\programs\startup. Папка вместе с файлом была удалена.

Прикрепляю файлы появившиеся рядом с зашифрованными файлами и зашифрованный файл

 

virus.rar

[mike 1]

Ну вот и все. Пришло время сделать резервную копию для ваших новых файлов.

 

https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

[AleksandrTomsk]

Вот создал отчеты, посмотрите пожалуйста. Есть ли возможность восстановить?

Addition.txt

AdwCleanerS0.txt

FRST.txt

CollectionLog-2016.12.02-21.04.zip

[mike 1]

Никаких.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  HKLM-x32\...\RunOnce: [{2BA5BB1A-8D89-4822-AC9E-505DFFC1FDB5}] => cmd.exe /C start /D "C:\Users\User\AppData\Local\Temp" /B {2BA5BB1A-8D89-4822-AC9E-505DFFC1FDB5}.cmd
  GroupPolicy: Restriction <======= ATTENTION
  GroupPolicy\User: Restriction <======= ATTENTION
  GroupPolicyScripts-x32: Restriction <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  CHR HKU\S-1-5-21-1483086494-1364428964-2930737664-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
  HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
  HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322&q={searchTerms}
  HKU\S-1-5-21-1483086494-1364428964-2930737664-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
  StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?type=sc&ts=1410770998&from=sky&uid=ST1000LM024XHN-M101MBB_S2SMJ9ED435322
  FF Extension: (Домашняя страница Mail.Ru) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-12-02]
  FF Extension: (SuperMegaBest.com) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\jid1-n5ARdBzHkUEdAA@jetpack.xpi [2014-05-05] [not signed]
  FF Extension: (Site Navigation) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{e4a8a97b-f2ed-450b-b12d-ee082ba24782}.xpi [2014-09-09] [not signed]
  CHR Extension: (Ads Killer) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\jjckigopagkhaikodedjnmbccfpnmiea [2016-12-02]
  CHR Extension: (News Tab) - C:\Users\User\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\jolakggdcbngpflcjfaencffnenhlddl [2016-12-02]
  CHR Extension: (No Name) - C:\Users\User\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\mfgdmpfihlmdekaclngibpjhdebndhdj [2016-12-02]
  CHR Extension: (Домашняя страница – Mail.Ru) - C:\Users\User\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\pldbienodkpgkccocelidinmciedjdok [2016-12-02]
  OPR Extension: (SuperMegaBest - find best prices) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2016-12-02]
  OPR Extension: (News Tab) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\jolakggdcbngpflcjfaencffnenhlddl [2016-12-02]
  OPR Extension: (No Name) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfgdmpfihlmdekaclngibpjhdebndhdj [2016-12-02]
  S1 {a3f28269-ad17-41a8-b032-3e0313ef8979}w64; system32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}w64.sys [X]
  2016-12-02 11:40 - 2016-12-02 11:40 - 00002823 _____ C:\Windows\Tasks\keycode.tta
  2016-12-02 11:40 - 2016-12-02 11:40 - 00002823 _____ C:\Windows\System32\Tasks\keycode.tta
  Task: {1DB639AD-AFDB-44AA-99B9-6EFBAB4AF179} - \Microsoft\Windows\KRBUUS\KRB Updater Utility Service -> No File <==== ATTENTION
  Task: {235E9FFA-0562-4094-8E93-4AF2F082D868} - \{7119EB0A-17FD-46EC-96B9-54D73E363745} -> No File <==== ATTENTION
  Task: {607ACB26-FD16-4ED1-9E99-8C90FC41E29F} - \{BD943A0C-2140-4B80-BAEE-9F2DE9CC18E7} -> No File <==== ATTENTION
  Task: {6B62678A-2A4F-403D-AECB-D47352926C09} - \{6E7D792A-299B-46A5-82EC-0455382B131C} -> No File <==== ATTENTION
  Task: {9154A24F-0EF3-4A85-A7B2-7399356EEE96} - System32\Tasks\{22DB71B5-11A3-41E9-9511-1BBB3489088B} => C:\Program Files (x86)\Common Files\AppDownloads\{22DB71B5-11A3-41E9-9511-1BBB3489088B}.exe <==== ATTENTION
  Task: {93E14995-8F27-4A81-8D51-A1E87F5F0B45} - \KRB Updater Utility -> No File <==== ATTENTION
  Task: {9CC2CC21-EE07-469A-8206-ECC75829F551} - \{E2A0BAA3-DAFD-4CB7-90C5-A46937D7BC3E} -> No File <==== ATTENTION
  Task: {ABDDC31E-2809-4BB5-9E92-0778B504CB1B} - \{7809B227-D04B-4409-B09A-5582C5D37B60} -> No File <==== ATTENTION
  Task: {EFEFBCB8-5E66-4787-9F0B-F77F4D0F164E} - \{BDE90F28-0EBF-4F47-BCCD-9790F7BDAE5E} -> No File <==== ATTENTION
  Task: {FE17B6EF-9141-46D3-987C-9CB0C6F2E87E} - \{4A87A418-667A-4827-893C-7E370AD7CBD8} -> No File <==== ATTENTION
  MSCONFIG\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^KRB Updater Utility.lnk => C:\Windows\pss\KRB Updater Utility.lnk.CommonStartup
  MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^--------ПРОЧТИ МЕНЯ--------.txt => C:\Windows\pss\--------ПРОЧТИ МЕНЯ--------.txt.Startup
  MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^AppDownloads.lnk => C:\Windows\pss\AppDownloads.lnk.Startup
  MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^keycode.tta => C:\Windows\pss\keycode.tta.Startup
  FirewallRules: [{2BDFD585-B482-4649-90B3-A1C391676A95}] => C:\Program Files\UBar\ubar.exe
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[AleksandrTomsk]

Все сделал по инструкции, но компьютер не перезагрузился. Но файл создал

Fixlog.txt

[mike 1]

Ну так сам скрипт в блокнот не сохранили.

[AleksandrTomsk]

В файл все сохранил, при запуске FRST выскакивает ошибка Failed to update(1)

Изменено 2 декабря, 2016 пользователем AleksandrTomsk

[mike 1]

Не сохранили. Я вижу это потому логу, который вы прикрепили.

[AleksandrTomsk]

Все получилось только после перезагрузки ПК (до перезагрузки FRST просто ругался на файл fixlist.txt)

Fixlog.txt

[mike 1]

С расшифровкой не поможем.

[AleksandrTomsk]

С расшифровкой не поможем.

Очень жаль, но огромное спасибо Вам за уделенное время