Перейти к содержанию
Интервью с экспертом: задай вопрос Евгению Козлову, руководителю направления подбора персонала

Вирус шифровальщик Novikov.Vavila@gmail.com

HITDEVIL
 Поделиться

Рекомендуемые сообщения

HITDEVIL

HITDEVIL

Опубликовано
Опубликовано

Доброе время дня.

Прошу помощи:

Bашu файлы были зaшuфровaны.
Чтобы paсшифpоваmь иx, Вам неoбходuмo оmпрaвuть kод:
D2310B57C6CA6BCD79A2|0
нa электpoнный aдpeс Novikov.Vavila@gmail.com .
Дaлee вы noлyчиme вce нeобходuмые uнcmpуkцuи.
Попыmkи рacшuфровamь самocmoяmeльнo не пpивeдym ни к чемy, крoме безвoзвратнoй nоmeрu инфоpмaциu.
Если вы всё жe xoтите nonыmаmься, mо предваpuтeльнo сдeлaйте резeрвныe копuи фaйлов, инaчe в случaе
uх измeнeнuя pасшuфpовка cтанeт невoзможной нu npи кakих yсловuях.
Еслu вы не полyчили omвema по вышeyкaзaнному aдpeсу в mеченuе 48 чaсoв (u mолькo в этом cлучaе!),
вoспoльзуйmeсь фopмой обрaтнoй связu. Это мoжно сделаmь двумя cпocобaмu:
1) Скачайте u yсmановиmе Tor Browser nо cсылке: https://www.torproject.org/download/download-easy.html.en
В aдреcной cmроke Tor Browser-а введume aдpeс:
http://cryptsen7fo43rr6.onion/
u нaжмиme Enter. 3aгрyзuтся cтранuцa c фоpмой обpатной cвязu.
2) B любом браyзере пeрeйдите nо одномy из адpecов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

 

В приложении файл зашифрованный в архиве и оригинальный.

 

Возможно расшифровать?

27-09-2016_05-35-24.zip

IouW+5-MCUAPz7qAT9Uj7RW-GzVTfAkFJlnZaEuRKsRuLLzLajeO9miH+GNro4tn.D2310B57C6CA6BCD79A2.rar

HITDEVIL

HITDEVIL

Опубликовано
  • Автор
Опубликовано (изменено)

Файл лога во вложении. Все было зашифровано после открытия письма из почты.

CollectionLog-2017.01.18-21.12.zip

Изменено пользователем HITDEVIL
mike 1

mike 1

Опубликовано
Опубликовано

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 TerminateProcessByName('c:\programdata\csrss\csrss.exe');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 TerminateProcessByName('c:\programdata\drivers\csrss.exe');
 TerminateProcessByName('c:\programdata\services\csrss.exe');
 DeleteFile('c:\programdata\services\csrss.exe','32');
 DeleteFile('c:\programdata\drivers\csrss.exe','32');
 DeleteFile('c:\programdata\windows\csrss.exe','32');
 DeleteFile('c:\programdata\csrss\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Session Manager');
 DeleteFile('C:\Windows\Tasks\WinThruster_DEFAULT.job','32');
 DeleteFile('C:\Windows\Tasks\WinThruster_UPDATES.job','32');
 DeleteFile('C:\Windows\system32\Tasks\WinThruster','64');
 DeleteFile('C:\Windows\system32\Tasks\WinThruster_DEFAULT','64');
 DeleteFile('C:\Windows\system32\Tasks\WinThruster_UPDATES','64');
 DeleteFile('C:\Windows\system32\cpldapu\webbrowserpassview.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.
Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером.

mike 1

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
mike 1

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
HKLM\...\Policies\Explorer: [NoInternetOpenWith] 1
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR Extension: (Стартовая — Яндекс) - C:\Users\Администратор\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjfkgjlnocfakoheoapicnknoglipapd [2016-08-19]
2017-01-13 08:17 - 2017-01-19 22:29 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-01-13 08:17 - 2017-01-19 22:29 - 00000000 __SHD C:\ProgramData\Csrss
2017-01-12 23:29 - 2017-01-12 23:29 - 06220854 _____ C:\Users\Администратор\AppData\Roaming\ED32DA03ED32DA03.bmp
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README9.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README8.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README7.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README6.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README5.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README4.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README3.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README2.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Администратор\Desktop\README10.txt
2017-01-17 23:04 - 2017-01-18 21:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-01-17 23:04 - 2017-01-18 21:03 - 00000000 __SHD C:\ProgramData\services
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README9.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README8.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README7.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README6.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README5.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README4.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README3.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README2.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README10.txt
2017-01-12 23:29 - 2017-01-12 23:29 - 00004154 _____ C:\Users\Public\Desktop\README1.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README9.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README8.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README7.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README6.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README5.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README4.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README3.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README2.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README10.txt
2017-01-12 18:08 - 2017-01-12 18:08 - 00004154 _____ C:\README1.txt
2017-01-12 18:07 - 2017-01-19 22:29 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-12 18:07 - 2017-01-19 22:29 - 00000000 __SHD C:\ProgramData\Windows
2017-01-12 23:32 - 2017-01-12 23:32 - 1032704 _____ (Microsoft Corporation) C:\Users\Администратор\AppData\Local\Temp\586C9C07.exe
2014-05-16 15:34 - 2014-05-16 15:34 - 0612528 _____ () C:\Users\Администратор\AppData\Local\Temp\917b0b87-3358-4e79-93de-3dfc2fc99ed0.exe
2017-01-17 23:10 - 2017-01-17 23:10 - 1012224 ___SH () C:\Users\Администратор\AppData\Local\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
2017-01-12 23:33 - 2017-01-12 23:33 - 0887296 _____ (Microsoft Corporation) C:\Users\Администратор\AppData\Local\Temp\C8198F8D.exe
2017-01-17 23:04 - 2017-01-17 23:04 - 1497600 _____ () C:\Users\Администратор\AppData\Local\Temp\EC62E9AD.exe
2017-01-24 20:21 - 2017-01-18 22:41 - 4167384 _____ (Mail.Ru) C:\Users\Администратор\AppData\Local\Temp\mrutmp.exe
Task: {971F52B8-245C-4BF5-910D-5FC977874F08} - \WinThruster -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...