Перейти к содержанию

предновогдний подарок дизайнеру. no_more_ransom


Рекомендуемые сообщения

На почту пришло сообщение дизайнеру от бухгалтера(как оказалось даже не с нашей почты, воспитательная беседа произведена=)). Благополучно было открыто сообщение, через пару дней вылез черный экран с красными надписями. Все файлы с форматом no_more_ransom. Комп дизайнера, соответственно все плохо.

CollectionLog-2016.12.14-15.50.zip

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3878595598-48506872-1474954716-1317\Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3878595598-48506872-1474954716-1317\Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3878595598-48506872-1474954716-1317\Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты

Вот файл по нажатию шифта, Я правильно понимаю что из авз папку карантин заархивировать и ее отправить? архивов внутри я не нашел, папку заархивировал и отправил


Нашел файлик, с первого раза просто не создался почему-то

CollectionLog-2016.12.14-16.50.zip

Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

 

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicyScripts: Restriction <======= ATTENTION
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -  No File
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2016-09-14]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2016-12-06]
2016-12-14 11:38 - 2016-12-14 15:20 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-12-14 11:38 - 2016-12-14 15:20 - 00000000 __SHD C:\ProgramData\Csrss
2016-12-14 11:37 - 2016-12-14 11:37 - 06912054 _____ C:\Users\Gorbacheva_Vi\AppData\Roaming\B84277BAB84277BA.bmp
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README9.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README8.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README7.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README6.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README5.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README4.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README3.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README2.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README10.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README1.txt
2016-12-12 14:45 - 2016-12-14 15:20 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-12 14:45 - 2016-12-14 15:20 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Gorbacheva_Vi\AppData\Local\Temp\appshat_generic.exe
C:\Users\Gorbacheva_Vi\AppData\Local\Temp\iv_uninstall.exe
C:\Users\User\AppData\Local\Temp\_is6F65.exe
Task: {05DF58E3-CF7D-4C2A-9E57-57D468A31F65} - System32\Tasks\6ea5a660-da80-44b7-8532-24037069fae6-7 => C:\Users\Gorbacheva_Vi\AppData\Local\SensePlus-BrowserExtensionUninstall\6ea5a660-da80-44b7-8532-24037069fae6-7.exe <==== ATTENTION
Task: {4B393F8F-9F22-4473-8B8C-F3998322D6C2} - System32\Tasks\6a0e05a2-a600-41c2-8916-82bef723c4d9-7 => C:\Users\Gorbacheva_Vi\AppData\Local\iWebar-BrowserExtensionUninstall\6a0e05a2-a600-41c2-8916-82bef723c4d9-7.exe <==== ATTENTION
Task: {A74938D6-CCF6-4702-9853-2DE6905F80A2} - System32\Tasks\4860386a-44b8-4f2a-9638-0ba7ba82d634 => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\4860386a-44b8-4f2a-9638-0ba7ba82d634.exe <==== ATTENTION
Task: {C9574FFD-C51D-430C-8DE1-63EB69A763E0} - System32\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-7 => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-7.exe <==== ATTENTION
Task: {D44C29BA-CA38-4E10-AD23-B502FC9E725C} - System32\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-10_user => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-10.exe <==== ATTENTION
Task: C:\Windows\Tasks\4860386a-44b8-4f2a-9638-0ba7ba82d634.job => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\4860386a-44b8-4f2a-9638-0ba7ba82d634.exe <==== ATTENTION
Task: C:\Windows\Tasks\6a0e05a2-a600-41c2-8916-82bef723c4d9-7.job => C:\Users\Gorbacheva_Vi\AppData\Local\iWebar-BrowserExtensionUninstall\6a0e05a2-a600-41c2-8916-82bef723c4d9-7.exe <==== ATTENTION
Task: C:\Windows\Tasks\6ea5a660-da80-44b7-8532-24037069fae6-7.job => C:\Users\Gorbacheva_Vi\AppData\Local\SensePlus-BrowserExtensionUninstall\6ea5a660-da80-44b7-8532-24037069fae6-7.exe <==== ATTENTION
Task: C:\Windows\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-10_user.job => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-10.exe <==== ATTENTION
Task: C:\Windows\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-7.job => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-7.exe <==== ATTENTION
AlternateDataStreams: C:\Windows:nlsPreferences [0]
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Спасибо, что отправили файл на исследование в Антивирусную Лабораторию.

 

Антивирус Касперского проверил файлы.

 

Вредоносные программы не найдены в файлах:

license.html

autorun.inf

romwln.dll

 

Мы исследуем эти файлы. Если результат исследования будет отличаться, мы сообщим вам по электронной почте в течение пяти дней.

написали мне на почту

Fixlog.txt

Изменено пользователем Zheleska
Ссылка на комментарий
Поделиться на другие сайты

Увы, это будет печальный урок - вовремя делать резервные копии. Следует также сменить все важные пароли.

 

Можете еще проверить уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • saha96
      От saha96
      Если у кого заваляется ключик на kis(можно kav) напишите плз в лс.
    • KL FC Bot
      От KL FC Bot
      До Нового года и Рождества остаются считаные дни, а перегруженные службы доставки могут опоздать и не привезти нужные подарки вовремя. Конечно, тем, кому вы еще не купили подарок, можно преподнести цифровой подарочный сертификат или подписку. Но придумать интересный и полезный вариант подписки тоже нелегко, ведь уже почти все желающие обзавелись «Яндекс.Плюсом», «VK Музыкой» и аналогами, а дарить Telegram Premium уже даже как-то неудобно.
      Выход есть! Мы предлагаем подарить один из сервисов, который день за днем будет повышать уровень конфиденциальности получателя подарка. Ведь позаботиться о приватности хотят многие, но мало у кого хватает времени и сил сделать для этого необходимые шаги, и такой подарок станет одновременно необычным — и полезным.
      За редким исключением, сервисы, акцентирующие приватность, — платные. Ведь за серверы, хранящие данные, и разработку устойчивого к взлому софта нужно платить. А если не брать с подписчиков денег, то придется продавать информацию о них рекламодателям, как это делают Google и Meta*. Поэтому годовая подписка на сервис, повышающий приватность, может стать ценным подарком и в денежном выражении.
      С нашими рекомендациями получатель подарка сможет избавиться от небезопасных офисных приложений, сервисов заметок и мессенджеров, которые пользуются хранящейся информацией не по назначению, заменив их на приватные альтернативы.
      Но перед покупкой обдумайте два неоднозначных момента.
      Во-первых, сервисы, где важна коммуникация с людьми или совместная работа, бессмысленно дарить одному человеку — так, от зашифрованного мессенджера нет толку, если в нем нет хотя бы нескольких друзей. Возможно, такой подарок нужно сделать целой команде?
      Во-вторых, удобство и функциональность приватных инструментов иногда уступают «общепринятым» аналогам, не столь уважающим конфиденциальность. Насколько это критично — зависит от нужд и привычек одариваемого.
      Сделав эти оговорки, давайте посмотрим, какие качественные приватные альтернативы популярным сервисам достойны стать рождественским или новогодним подарком.
      Офисные приложения
      Личные дневники, черновики научных работ и финансовые расчеты все сложней уберечь от посторонних глаз. Сервисы типа Google Docs всегда были полностью онлайновыми, что порождало как проблемы утечек, так и споры о том, как Google обрабатывает хранящиеся там данные. Microsoft в последние годы стремится наверстать упущенное, включая даже в офлайновый Office целый набор спорных функций: автосохранение в OneDrive, «необязательные сетевые функции«, «функции LinkedIn». Само по себе хранение данных в облаке, возможно, не вызывало бы особой тревоги, если бы не опасения, что документы будут использовать для таргетинга рекламы, тренировки ИИ или еще каких-то посторонних целей.
       
      View the full article
    • Поспелов
      От Поспелов
      Евгений, добрых дней и смыслов!
      у меня к Вам творческое обращение:
       
      я литератор, Евгений Поспелов,
      мое творчество изучает Институт русского языка РАН РФ, 
      В этом году вышла книга КОСМЕЯ под его лит редакцией,
      это путешествие смыслов и чувств во Времени.
      каждая страница была оформлена при жизни Славой Зайцевым (модельер).
      Книга вышла в черно-белом варианте малым тиражом.
       
      Вы очищаете цифровые миры от вирусов, а я наполняю внутренние миры добрыми яркими смыслами, чтобы их не заполнили вирусы пошлости и недоумия.
      Книга авангардная, как и Ваша компания.
       
      Готов предложить ее цветной вариант Вам для Вашей компании как подарок для клиентов на партнерских некоммерческих уловиях.
      У  меня есть несколько Ваших подарков (войлочные игрушки, деревянная лошадка с музыкальным механизмом...)
      У Вас были прекрасные творческие яркие подарки, 
      именно поэтому хочу Вам предложить эту книгу смыслов.
      Хотя бы взглянуть на нее!
      С уважением Евгений Поспелов
      Евгений Поспелов Космея.pdf
×
×
  • Создать...