ransom.shade Вирус зашифровал файлы - теперь *.no_more_ransom

[60roos]

Что-то открыли на почте. И кстати как узнать что именно стало причиной? Сотрудник не помнит, что мог скачивать и открывать.

Файлы зашифровались, вот такое сообщение в txt с требованиями:

 

Baши файлы былu зaшифрoваны.
Чтoбы рacшифрoвaть ux, Вaм нeобхoдuмo отпрaвuть кoд:
33FB1FF40C9D4F0416EB|0
на элekmронный адреc yvonne.vancese1982@gmail.com .
Дaлее вы nолучume вce нeoбxoдuмые uнcmpуkцuu.
Пoпыmки pаcшuфpoваmь сaмоcтoяmельнo нe npивeдут нu к чемy, kpoме безвoзвpaтнoй потeри информaцuи.
Еcли вы всё же хoтиmе попыmaтьcя, то пpeдваpиmельнo сдeлайте pезервные koпuu файлoв, инaче в cлучае
ux uзменения рacшuфрoвкa cmанeт нeвoзможной нu npu каких условияx.
Еcли вы не пoлyчuлu omвema nо вышeykазаннoмy aдресy в mеченuе 48 чaсoв (и толькo в этом случaе!),
вocпользyйmеcь фoрмой обpamнoй cвязи. Этo можно cдeлamь двумя cnocoбамu:
1) Скачaйтe и yсmановuте Tor Browser пo cсылкe: https://www.torproject.org/download/download-easy.html.en
В aдрeсной стpокe Tor Browser-а ввeдumе aдрeс:
http://cryptsen7fo43rr6.onion/
и нaжмume Enter. 3arрузиmcя сmpаницa c фoрмой oбpатной связи.
2) B любoм бpayзepе nерeйдumе пo oднoму uз aдpеcов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

 

 

Прикрепляю логи:

CollectionLog-2016.12.15-10.58.zip

[Sandor]

Здравствуйте!

 

что именно стало причиной?

Скорее всего запуск вложенного в письмо файла.

 

Антивирус Касперского 6.0 для Windows Workstations - версия устарела и не поддерживается. Обновите до KES10

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[60roos]

Прикрепил необходимые отчеты программ:

Addition.txt

FRST.txt

Shortcut.txt

ClearLNK-15.12.2016_11-57.log

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
() C:\Users\0370~1\AppData\Local\Temp\nagrest.exe
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\51snb1hx.default -> @Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\51snb1hx.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\51snb1hx.default -> hxxps://mail.ru/cnt/11956636?fr=ffhp1.0.2&gp=811013
FF Keyword.URL: Mozilla\Firefox\Profiles\51snb1hx.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BC33E7833-1CED-40BE-941F-752A9A84F1C8%7D&gp=811014
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Приемная\AppData\Roaming\Mozilla\Firefox\Profiles\51snb1hx.default\Extensions\homepage@mail.ru [2016-04-22]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Приемная\AppData\Roaming\Mozilla\Firefox\Profiles\51snb1hx.default\Extensions\search@mail.ru [2016-04-22]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Приемная\AppData\Roaming\Mozilla\Firefox\Profiles\51snb1hx.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-04-22]
2016-12-14 13:53 - 2016-12-15 09:35 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-14 13:53 - 2016-12-15 09:35 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Приемная\AppData\Local\Temp\1VuECAXfVdAT.exe
C:\Users\Приемная\AppData\Local\Temp\B5ngBfwEjmrk.exe
C:\Users\Приемная\AppData\Local\Temp\ehnpkgHMC0at.exe
C:\Users\Приемная\AppData\Local\Temp\f9K97a5XQmOa.exe
C:\Users\Приемная\AppData\Local\Temp\hnhot3SnQPE8.exe
C:\Users\Приемная\AppData\Local\Temp\hOBKL1sU2Oc8.exe
C:\Users\Приемная\AppData\Local\Temp\i90lqjZZd5J9.exe
C:\Users\Приемная\AppData\Local\Temp\k2np7oo45Aql.exe
C:\Users\Приемная\AppData\Local\Temp\KFpWfLC4Ee35.exe
C:\Users\Приемная\AppData\Local\Temp\l68llwEYRtsK.exe
C:\Users\Приемная\AppData\Local\Temp\nagrest.exe
C:\Users\Приемная\AppData\Local\Temp\nK90SfLf22cK.exe
C:\Users\Приемная\AppData\Local\Temp\pM9DAwBnnGhQ.exe
C:\Users\Приемная\AppData\Local\Temp\PPUO9KXQ6y5I.exe
C:\Users\Приемная\AppData\Local\Temp\syEEAe6J2ysn.exe
C:\Users\Приемная\AppData\Local\Temp\ucraWuR6VW0A.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[60roos]

прикрепил Fixlog.

Fixlog.txt

[Sandor]

При наличии лицензии на антивирус Касперского создайте запрос на расшифровку.