Перейти к содержанию

Поймал шифровальщик no_more_ransom

Antarex47
 Share

Рекомендуемые сообщения

Antarex47 Новичок

Antarex47

Опубликовано
Опубликовано (изменено)

Здравсвуйте! 10.01.2017 г., поймал шивровальщик, теперь файлы которые были в ноутбуке на диске D: имеют расширение - no_more_ransom. Также появились Readme.txt  в кол.ве 10 шт. в корне на диске D: со следующим содержанием:

Baши файлы были зaшифpовaны.Чmoбы pacшифрoвать uх, Baм необходuмo оmпpавumь код:56DD232A1B714B34D0C2|0нa элекmронный aдpес Novikov.Vavila@gmail.com .Дaлее вы noлyчuте все необxодuмыe инсmрykцuu.Пoпыткu pacшuфровать caмocтoятельнo не пpuвeдyт нu к чeму, kромe безвoзврamной nотepи инфoрмацuu.Ecлu вы всё жe xоmите пonытаmься, тo npедваpиmeльно cделaйme резервные копuu файлoв, uнaчe в слyчaеuх uзмeнeния paсшифpoвka сmанem невoзмoжнoй ни nри кaкиx условuяx.Eсли вы не получuли oтвета по вышеуказанномy адpeсу в mечениe 48 чaсoв (и тoлькo в эmом cлyчaе!),вocnoльзyйтесь фopмoй обраmной связи. Эmo можнo сделaть двyмя cпoсoбaмu:1) Сkaчайme и ycmaновите Tor Browser пo сcылкe: https://www.torproject.org/download/download-easy.html.enВ aдрeсной cmpоke Tor Browser-a ввeдиme адpеc:http://cryptsen7fo43rr6.onion/и нажмumе Enter. Заrрyзиmся сmpaница с фoрмой oбpaтнoй cвязи.2) В любом бpаyзеpe пepeйдumе nо oднoмy из адpeсoв:http://cryptsen7fo43rr6.onion.to/http://cryptsen7fo43rr6.onion.cab/1.По Вашей инструкции провёл проверку ПК, Kaspersky Virus Removal Tool 2015.

2. Запустил файл AutoLogger.exe и следовавал выводимым рекомендациям.

3. Вложил в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip.

CollectionLog-2017.01.20-16.46.zip

Изменено пользователем Antarex47
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 StopService('SPS');
 DeleteService('SPS');
 TerminateProcessByName('c:\windows\system32\searchprotectservice.exe');
 DeleteFile('c:\windows\system32\searchprotectservice.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','AvgUninstallURL');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SafeWeb');
 DeleteFile('C:\Users\Slava\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3 Startup Task.job','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3.job','32');
 DeleteFile('C:\Windows\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}.job','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Multimedia\Manager','32');
 DeleteFile('C:\Users\Slava\AppData\Roaming\Adobe\Manager.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3 Startup Task','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb2','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
 DeleteFile('C:\Users\Slava\AppData\Local\Hostinstaller\2095678786_monster.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}','32');
 DeleteFile('C:\Windows\system32\Tasks\{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A}','32');
ExecuteSysClean;
RebootWindows(true);
end.
Внимание! Будет выполнена перезагрузка компьютера.
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

     

    move.gif

  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
Сделайте новые логи Автологгером.
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 StopService('SPS');
 DeleteService('SPS');
 TerminateProcessByName('c:\windows\system32\searchprotectservice.exe');
 DeleteFile('c:\windows\system32\searchprotectservice.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','AvgUninstallURL');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SafeWeb');
 DeleteFile('C:\Users\Slava\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3 Startup Task.job','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3.job','32');
 DeleteFile('C:\Windows\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}.job','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Multimedia\Manager','32');
 DeleteFile('C:\Users\Slava\AppData\Roaming\Adobe\Manager.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3 Startup Task','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb2','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
 DeleteFile('C:\Users\Slava\AppData\Local\Hostinstaller\2095678786_monster.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}','32');
 DeleteFile('C:\Windows\system32\Tasks\{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A}','32');
ExecuteSysClean;
RebootWindows(true);
end.
Внимание! Будет выполнена перезагрузка компьютера.
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

     

    move.gif

  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
Сделайте новые логи Автологгером.

 

Здравствуйте! Прилагаю логи после скрипта.

Check_Browsers_LNK.log

CollectionLog-2017.01.21-00.10.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

 

  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Спасибо. Отчёт прикрепил.

Отправляю отчёт AdwCleaner[s0].txt.после очистки AdwCleaner (by Xplode).

AdwCleanerS0.txt

AdwCleanerC0.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

Добрый день! Отчёт прикрепил. Спасибо.

Добрый день! Отчёт прикрепил. Спасибо.

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-18\...\Run: [] => 0
HKLM\...\Providers\ttvayntx: C:\Program Files\Mohgezovuse Renew\local32spl.dll
ShellExecuteHooks: No Name - {554789B4-DC68-11E6-8716-64006A5CFC23} - C:\Users\Slava\AppData\Roaming\Cojety\Stiwisehdaing.dll [121344 2017-01-22] ()
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction - Chrome <======= ATTENTION
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-19]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-19]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-01-19]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aohghmighlieiainnegkcijnfilokake [2015-02-05]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\bjgfnbgjnmeohehminfenoahkcddidpi [2016-02-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-15]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-03-29]
OPR Extension: (SearchWay) - C:\Users\Slava\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgldnknlljnfcfgchdijbjmmkdkmnabn [2017-01-16]
2017-01-19 14:04 - 2017-01-19 14:05 - 17628560 _____ (IObit                                                       ) C:\Users\Slava\AppData\Local\Temp\19F9.tmp.exe
2017-01-11 20:14 - 2015-01-26 17:59 - 0060296 _____ (Autodesk, Inc.) C:\Users\Slava\AppData\Local\Temp\AcDeltree.exe
2015-11-11 14:47 - 2015-11-11 14:47 - 0511488 _____ () C:\Users\Slava\AppData\Local\Temp\ACIS.dll
2017-01-19 14:04 - 2017-01-19 14:04 - 0887256 _____ (StarkIndastri                                               ) C:\Users\Slava\AppData\Local\Temp\adblocker.exe
2016-04-21 09:42 - 2016-04-21 09:42 - 0245480 _____ () C:\Users\Slava\AppData\Local\Temp\condefclean.exe
2017-01-19 14:04 - 2017-01-19 14:04 - 0075264 _____ () C:\Users\Slava\AppData\Local\Temp\DriverBoosterSetup.exe
2016-02-10 18:37 - 2016-02-10 18:37 - 0119808 _____ () C:\Users\Slava\AppData\Local\Temp\exereader.exe
2017-01-23 15:24 - 2017-01-23 15:24 - 0000000 _____ () C:\Users\Slava\AppData\Local\Temp\gow0vaib.dll
2016-12-09 23:16 - 2016-04-26 15:37 - 0246808 _____ (BlueStack Systems) C:\Users\Slava\AppData\Local\Temp\HD-Logger-Native.dll
2016-12-09 23:16 - 2016-04-26 15:39 - 0798232 _____ (BlueStack Systems, Inc.) C:\Users\Slava\AppData\Local\Temp\HD-RunAppTemp.exe
2016-07-05 19:00 - 2017-01-18 20:41 - 4167384 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\MailRuUpdater.exe
2016-09-02 09:59 - 2016-09-23 12:11 - 4157656 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\mrutmp.exe
2016-11-29 10:00 - 2016-11-29 10:00 - 0589824 _____ (__VENDOR__) C:\Users\Slava\AppData\Local\Temp\msihelper.dll
2016-07-18 21:31 - 2016-07-18 21:31 - 0178056 _____ (www.obnovi-soft.ru) C:\Users\Slava\AppData\Local\Temp\ObnoviSoft.exe
2016-12-28 14:34 - 2016-12-28 14:34 - 54325752 _____ (YANDEX LLC) C:\Users\Slava\AppData\Local\Temp\Setup-yabrowser.exe
2016-05-17 12:49 - 2016-10-12 19:01 - 41743488 _____ (Skype Technologies S.A.) C:\Users\Slava\AppData\Local\Temp\SkypeSetup.exe
2017-01-19 14:05 - 2017-01-19 14:05 - 0158011 _____ () C:\Users\Slava\AppData\Local\Temp\x4iaXx.dll
2016-05-31 14:14 - 2016-11-29 23:10 - 0501032 _____ (Yandex LLC) C:\Users\Slava\AppData\Local\Temp\yupdate-exec-yabrowser.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is4C2C.exe
2017-01-11 20:07 - 2006-05-24 15:10 - 0455600 _____ (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is535D.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8C86.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8E3B.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is9260.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_isC16E.exe
HKU\S-1-5-21-3172311882-3038231163-4230369034-1000\...\ChromeHTML: -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) <==== ATTENTION
Task: {1574CAB8-00DE-43D3-84EC-FCF9B273E2F2} - System32\Tasks\krutCnews => Chrome.exe hxxp://krut1news.ru/agarimsm
Task: {9738CC5D-6A47-4562-B0F2-55E9F0367407} - \SafeWeb -> No File <==== ATTENTION
Task: {B9C93FC3-22D1-4469-916F-8B2F5AB53AC2} - System32\Tasks\avastBCLRestartS-1-5-21-3172311882-3038231163-4230369034-1000 => Chrome.exe 
Task: {BBE8489F-3D97-40CA-A378-234A37EB02AA} - \{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A} -> No File <==== ATTENTION
Task: {DA8C92E9-A497-40F2-B933-D71BBD7958A1} - \SafeWeb2 -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-18\...\Run: [] => 0
HKLM\...\Providers\ttvayntx: C:\Program Files\Mohgezovuse Renew\local32spl.dll
ShellExecuteHooks: No Name - {554789B4-DC68-11E6-8716-64006A5CFC23} - C:\Users\Slava\AppData\Roaming\Cojety\Stiwisehdaing.dll [121344 2017-01-22] ()
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction - Chrome <======= ATTENTION
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-19]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-19]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-01-19]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aohghmighlieiainnegkcijnfilokake [2015-02-05]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\bjgfnbgjnmeohehminfenoahkcddidpi [2016-02-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-15]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-03-29]
OPR Extension: (SearchWay) - C:\Users\Slava\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgldnknlljnfcfgchdijbjmmkdkmnabn [2017-01-16]
2017-01-19 14:04 - 2017-01-19 14:05 - 17628560 _____ (IObit                                                       ) C:\Users\Slava\AppData\Local\Temp\19F9.tmp.exe
2017-01-11 20:14 - 2015-01-26 17:59 - 0060296 _____ (Autodesk, Inc.) C:\Users\Slava\AppData\Local\Temp\AcDeltree.exe
2015-11-11 14:47 - 2015-11-11 14:47 - 0511488 _____ () C:\Users\Slava\AppData\Local\Temp\ACIS.dll
2017-01-19 14:04 - 2017-01-19 14:04 - 0887256 _____ (StarkIndastri                                               ) C:\Users\Slava\AppData\Local\Temp\adblocker.exe
2016-04-21 09:42 - 2016-04-21 09:42 - 0245480 _____ () C:\Users\Slava\AppData\Local\Temp\condefclean.exe
2017-01-19 14:04 - 2017-01-19 14:04 - 0075264 _____ () C:\Users\Slava\AppData\Local\Temp\DriverBoosterSetup.exe
2016-02-10 18:37 - 2016-02-10 18:37 - 0119808 _____ () C:\Users\Slava\AppData\Local\Temp\exereader.exe
2017-01-23 15:24 - 2017-01-23 15:24 - 0000000 _____ () C:\Users\Slava\AppData\Local\Temp\gow0vaib.dll
2016-12-09 23:16 - 2016-04-26 15:37 - 0246808 _____ (BlueStack Systems) C:\Users\Slava\AppData\Local\Temp\HD-Logger-Native.dll
2016-12-09 23:16 - 2016-04-26 15:39 - 0798232 _____ (BlueStack Systems, Inc.) C:\Users\Slava\AppData\Local\Temp\HD-RunAppTemp.exe
2016-07-05 19:00 - 2017-01-18 20:41 - 4167384 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\MailRuUpdater.exe
2016-09-02 09:59 - 2016-09-23 12:11 - 4157656 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\mrutmp.exe
2016-11-29 10:00 - 2016-11-29 10:00 - 0589824 _____ (__VENDOR__) C:\Users\Slava\AppData\Local\Temp\msihelper.dll
2016-07-18 21:31 - 2016-07-18 21:31 - 0178056 _____ (www.obnovi-soft.ru) C:\Users\Slava\AppData\Local\Temp\ObnoviSoft.exe
2016-12-28 14:34 - 2016-12-28 14:34 - 54325752 _____ (YANDEX LLC) C:\Users\Slava\AppData\Local\Temp\Setup-yabrowser.exe
2016-05-17 12:49 - 2016-10-12 19:01 - 41743488 _____ (Skype Technologies S.A.) C:\Users\Slava\AppData\Local\Temp\SkypeSetup.exe
2017-01-19 14:05 - 2017-01-19 14:05 - 0158011 _____ () C:\Users\Slava\AppData\Local\Temp\x4iaXx.dll
2016-05-31 14:14 - 2016-11-29 23:10 - 0501032 _____ (Yandex LLC) C:\Users\Slava\AppData\Local\Temp\yupdate-exec-yabrowser.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is4C2C.exe
2017-01-11 20:07 - 2006-05-24 15:10 - 0455600 _____ (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is535D.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8C86.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8E3B.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is9260.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_isC16E.exe
HKU\S-1-5-21-3172311882-3038231163-4230369034-1000\...\ChromeHTML: -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) <==== ATTENTION
Task: {1574CAB8-00DE-43D3-84EC-FCF9B273E2F2} - System32\Tasks\krutCnews => Chrome.exe hxxp://krut1news.ru/agarimsm
Task: {9738CC5D-6A47-4562-B0F2-55E9F0367407} - \SafeWeb -> No File <==== ATTENTION
Task: {B9C93FC3-22D1-4469-916F-8B2F5AB53AC2} - System32\Tasks\avastBCLRestartS-1-5-21-3172311882-3038231163-4230369034-1000 => Chrome.exe 
Task: {BBE8489F-3D97-40CA-A378-234A37EB02AA} - \{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A} -> No File <==== ATTENTION
Task: {DA8C92E9-A497-40F2-B933-D71BBD7958A1} - \SafeWeb2 -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Добрый вечер! Fixlog.txt прикрепил.

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

AS: Windows Defender (Enabled - Out of date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). За расшифровкой обращайтесь в техподдержку вашего антивируса.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • yarosvent
      поймали шифровальщика
      От yarosvent
      Доброго,
      просим помочь расшифровать данные
    • LeraB
      Поймали шифровальщика на несколько серверов
      От LeraB
      Приветствую.
      Поймали шифровальщика, который работает до сих.
      Ничего не переустанавливали и не трогали, проверяем только доступность компьютеров, их работу и ищем, где он еще может работать. Если понятно, что шифровальщик еще где-то работает, то отключаем этот сервер/компьютер.
      Все, что можно спасти, копируем.
      Пострадала почти вся сеть, не только лок.пк и сервера, но и NAS (именно smb)
      Шифровальщик затронул большинство нужных файлов, но не все.
      Логи собрали с одного сервера, примеры файлов с него же.
      Файл шифровальщика пока найти не удалось, как и выяснить все остальное, кроме того, как оно работает с ночи примерно с 00:00 12.12.2024
      FRST.txt Addition.txt архив.zip
    • Алексей Андронов
      Поймали по почте шифровальщик-вымогатель
      От Алексей Андронов
      Добрый день!
       
      Поймали шифровальщика, который работает до сих пор на отключенном от интернета ПК.
      Ничего не переустанавливали и не трогали.
      Все, что можно спасти, копируем.
      Пострадал один ПК и один резервный сменный накопитель.
      Шифровальщик затронул большинство файлов.
      Предположительно получен по почте 02.12.24 под видом акта сверки расчетов
       
      Прошу помощи в излечении и расшифровке
       
      Во вложении логи FRST, архив с документами и запиской вымогателей и, предположительно, дроппер с которого произошло заражение и резидентный модуль
      архив.zip virus.zip Addition.txt FRST.txt
    • DeepX
      Поймали шифровальщика ELPACO-team
      От DeepX
      Прилетел шифровальщик elpaco-team. Зашифровал несколько серверов. Удалил теневые копии. Бэкапы Acronis зашифровал. Сервера в основном Windows Server 2008.
      Логи и примеры зашифрованных файлов прикладываю. Требований не обнаружили пока. Спасибо за помощь!
      Addition.txt FRST.txt files.zip
×
×
  • Создать...