Перейти к содержанию

Шифровальщик no_more_ransom

alexnv1976
 Поделиться

Рекомендуемые сообщения

SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~2\Mozilla\sawelca.dll','');
 QuarantineFile('C:\Windows\system32\drivers\jrnccalw.sys','');
 DeleteFile('C:\PROGRA~2\Mozilla\sawelca.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(10);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Подготовьте лог AdwCleaner и приложите его в теме.

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

Зашифрованные документы после выполнения скриптов не удалятся?

SQ

SQ

Опубликовано
Опубликовано

Зашифрованные документы после выполнения скриптов не удалятся?

Персональные данные скрипт AVZ не затрагивает, поэтому не должны ничего кроме вредоносного ПО удалиться.

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

Не получается отправить файл Quarantin, возвращается письмо с указанием, что письмо без вложенных файлов. Что возможно почтовый сервер его удалил с подозрением на вирус.

Пароль поставил, все-равно та же история. В Облаке майла я его вижу и ссылка есть

Вот ссылка:

https://cloud.mail.ru/public/Dmea/ZagyRCc81

 

Что делать дальше? Подскажите.

SQ

SQ

Опубликовано
Опубликовано

Пожалуйста, не прикладываете ссылки и карантин (даже пустые) к сообщениям, только отправляйте на адрес newvirus@kaspersky.com, результат прикрепляте к следующему сообщению.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


 

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

Я вам пишу что видимо сам почтовик касперского удаляет файл карантина. Как его отправить не знаю, может кто столкнулся с той же проблемой. Подскажите.

Отправляю файлы отчетов Фарбара (только зачем они нужны?)

 

 

Addition.txt

FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Подскажите.Отправляю файлы отчетов Фарбара (только зачем они нужны?)

Для зачистки, того чтобы другие антивирусные утилиты не видят.

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-961471569-1968420889-2979697651-1001\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2972672 2016-08-29] (Microsoft Corporation) <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]
FF Plugin HKU\S-1-5-21-961471569-1968420889-2979697651-1001: ksks.com/XCrypt -> C:\Users\пользователь\Desktop\XCrypt\npXCrypt.dll [No File]
CHR Plugin: (Shockwave Flash) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\PepperFlash\pepflashplayer.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32_11_7_700_224.dll => No File
CHR Plugin: (Native Client) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\pdf.dll => No File
CHR Plugin: (Download Master integration plugin) - C:\Users\пользователь\AppData\Local\Google\Chrome\User Data\Default\Extensions\ehfanjejklfmnldbbclpocdbceaeemkn\1.2_0\npDownloadMasterPlugin.dll => No File
CHR Plugin: (Adobe Acrobat) - C:\Program Files\Adobe\Acrobat 7.0\Reader\Browser\nppdf32.dll => No File
CHR Plugin: (Google Update) - C:\Program Files\Google\Update\1.3.21.153\npGoogleUpdate3.dll => No File
CHR Plugin: (XCrypt) - C:\Program Files\Keysystems\XCrypt 1.0.6.25\npXCrypt.dll => No File
File: C:\Windows\system32\drivers\jrnccalw.sys
Folder: C:\Users\пользователь\AppData\Roaming\gnupg
2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\Users\Все пользователи\services
2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\ProgramData\services
2016-12-12 13:15 - 2016-12-12 13:15 - 04320054 _____ C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README9.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README8.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README7.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README6.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README5.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README4.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README3.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README2.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README10.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README1.txt
2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\ProgramData\Windows
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README9.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README8.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README7.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README6.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README5.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README4.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README3.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README2.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README10.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README1.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 4320054 _____ () C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
File: C:\ProgramData\cf
Task: {AD3CCD89-1849-45A5-86AD-C5EEE1A0928F} - \rypelck -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [129]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [129]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

А как бы восстановить базы и файлы, если (к большому сожалению :cray: ) нет сохраненных копий? Даже R-Studio и RS-Рикавери не помогли

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано (изменено)

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

 

Вот Фикслог:

Fixlog_15-12-2016 15.42.48.txt

Изменено пользователем alexnv1976
SQ

SQ

Опубликовано
Опубликовано

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

Согласно логу, обращение плагина идет на несуществующую библиотеку, обратите внимание на "No File"

FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]

Также фикс это показал:

 

C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll => not found.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Idkpon
      Ноутбук начал жестко лагать(новый)
      Автор Idkpon
      Здравствуйте тем кто прочитал.У меня случилась ситуация, я скачивал легаси лаунчер, и запрет новейшую версию.Я начал замечать что после скачивания запрета появились микролаги на секунду - полтора. Вчера значит сажусь играть за ноутбук, захожу в майнкрафт и у меня начинает сильно лагать так что я еле мышкой двигал, я выключаю майн и бац у меня еще и вай фай выключается. бегу в антивирусник делать полную проверку и он выдает троян, точное название не помню так как касперский сразу удалил его. Ну удалил я всю эту фигню, вроде все наладись. Сажусь играть в майн так опять это началось, опять же ели как вышел с игры, тогда же я пошел в безопасный режим проверять на вирусы, но касперский так ничего и не нашел. Можете сказать что случилось, почему у меня начал пропадать вай фай и почему лагать ноутбук, он новый и в требовательные игры я не играл.
    • extmpl_
      Майнер маскирующийся под CMD.exe
      Автор extmpl_
      При открытии диспетчера пропадает, при закрытии ничего нету, в планировщик, пробовал др веб курейт, что то нашел но проблема осталась
      е задач тоже чисто
    • артём233
      что делать если не открывается/ничего нету в центре уведомления
      Автор артём233
      не могу открыть или ничего нету в центре уведомления
    • roblox5r3545
      После обновления биос Компьютер начал долго включатся. Я переустановил виндовс нечего не изменилось
      Автор roblox5r3545
      Сначало Биос просил обновление. Я установил  новую версию биос, но потом начал долго загружатся
    • HOUSEDause
      Помогите удалить вирус taskhost.exe
      Автор HOUSEDause
      Удалял вирус полностью и через безопасный режим, как только не пытался.
      Самовосстанавливается эта падлюка, хз, что делать, когда удаляю вирус и перезапускаю ПК, вижу, появляются много окон типа для запуска майнера, как я понял, powershell — одно из названий окон.
      Скорее всего подцепил когда устанавливал WORD ругался антивирус винды.
      ПОМОГИТИ
      Не скачиваются антивирусы
×
×
  • Создать...