Перейти к содержанию

Шифровальщик no_more_ransom

alexnv1976
 Поделиться

Рекомендуемые сообщения

SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~2\Mozilla\sawelca.dll','');
 QuarantineFile('C:\Windows\system32\drivers\jrnccalw.sys','');
 DeleteFile('C:\PROGRA~2\Mozilla\sawelca.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(10);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Подготовьте лог AdwCleaner и приложите его в теме.

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

Зашифрованные документы после выполнения скриптов не удалятся?

SQ

SQ

Опубликовано
Опубликовано

Зашифрованные документы после выполнения скриптов не удалятся?

Персональные данные скрипт AVZ не затрагивает, поэтому не должны ничего кроме вредоносного ПО удалиться.

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

Не получается отправить файл Quarantin, возвращается письмо с указанием, что письмо без вложенных файлов. Что возможно почтовый сервер его удалил с подозрением на вирус.

Пароль поставил, все-равно та же история. В Облаке майла я его вижу и ссылка есть

Вот ссылка:

https://cloud.mail.ru/public/Dmea/ZagyRCc81

 

Что делать дальше? Подскажите.

SQ

SQ

Опубликовано
Опубликовано

Пожалуйста, не прикладываете ссылки и карантин (даже пустые) к сообщениям, только отправляйте на адрес newvirus@kaspersky.com, результат прикрепляте к следующему сообщению.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


 

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

Я вам пишу что видимо сам почтовик касперского удаляет файл карантина. Как его отправить не знаю, может кто столкнулся с той же проблемой. Подскажите.

Отправляю файлы отчетов Фарбара (только зачем они нужны?)

 

 

Addition.txt

FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Подскажите.Отправляю файлы отчетов Фарбара (только зачем они нужны?)

Для зачистки, того чтобы другие антивирусные утилиты не видят.

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-961471569-1968420889-2979697651-1001\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2972672 2016-08-29] (Microsoft Corporation) <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]
FF Plugin HKU\S-1-5-21-961471569-1968420889-2979697651-1001: ksks.com/XCrypt -> C:\Users\пользователь\Desktop\XCrypt\npXCrypt.dll [No File]
CHR Plugin: (Shockwave Flash) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\PepperFlash\pepflashplayer.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32_11_7_700_224.dll => No File
CHR Plugin: (Native Client) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\pdf.dll => No File
CHR Plugin: (Download Master integration plugin) - C:\Users\пользователь\AppData\Local\Google\Chrome\User Data\Default\Extensions\ehfanjejklfmnldbbclpocdbceaeemkn\1.2_0\npDownloadMasterPlugin.dll => No File
CHR Plugin: (Adobe Acrobat) - C:\Program Files\Adobe\Acrobat 7.0\Reader\Browser\nppdf32.dll => No File
CHR Plugin: (Google Update) - C:\Program Files\Google\Update\1.3.21.153\npGoogleUpdate3.dll => No File
CHR Plugin: (XCrypt) - C:\Program Files\Keysystems\XCrypt 1.0.6.25\npXCrypt.dll => No File
File: C:\Windows\system32\drivers\jrnccalw.sys
Folder: C:\Users\пользователь\AppData\Roaming\gnupg
2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\Users\Все пользователи\services
2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\ProgramData\services
2016-12-12 13:15 - 2016-12-12 13:15 - 04320054 _____ C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README9.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README8.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README7.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README6.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README5.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README4.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README3.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README2.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README10.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README1.txt
2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\ProgramData\Windows
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README9.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README8.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README7.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README6.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README5.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README4.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README3.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README2.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README10.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README1.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 4320054 _____ () C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
File: C:\ProgramData\cf
Task: {AD3CCD89-1849-45A5-86AD-C5EEE1A0928F} - \rypelck -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [129]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [129]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано

А как бы восстановить базы и файлы, если (к большому сожалению :cray: ) нет сохраненных копий? Даже R-Studio и RS-Рикавери не помогли

alexnv1976

alexnv1976

Опубликовано
  • Автор
Опубликовано (изменено)

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

 

Вот Фикслог:

Fixlog_15-12-2016 15.42.48.txt

Изменено пользователем alexnv1976
SQ

SQ

Опубликовано
Опубликовано

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

Согласно логу, обращение плагина идет на несуществующую библиотеку, обратите внимание на "No File"

FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]

Также фикс это показал:

 

C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll => not found.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Ser25
      Шифровальщик
      Автор Ser25
      Взломали пароль и зашифровали удаленный комп. Пока ничего не предпринимал
      20250507.7z
    • Пользователь 1551
      Шифровальщик
      Автор Пользователь 1551
      Добрый день! У нас аналогичная ситуация? Удалось расшифровать?
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Thunderer
      Шифровальщик
      Автор Thunderer
      Зашифровали файлы на компьютере и все общие папки 
      Подключились к компьютеру по RDP 
      В архиве логи frst, зашифрованный и расшифрованный файлы
      -Файлы.zip
    • Сергей_00
      шифровальщик
      Автор Сергей_00
      Добрый день!
      Сегодня шифровальщик зашифровал большую часть нужных файлов, благо выключили компьютер из розетки...
      В результате остались файлы в папке запуска подозрительного файла   svhostss.exe, а именно в папке c:\users\пользователь\BD3FDDDF-6CAF-3EBC-D9CF-C8DF72D8F78A\svhostss.exe
      следующие файлы:
      Everything.db
      Everything32.dll
      Everything64.dll
      session.tmp
      svhostss.exe
       
      быть может есть возможность дешифровать данные? 
    • bygi13
      Шифровальщик
      Автор bygi13
      Вирус шифровальщик
×
×
  • Создать...