Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Поймал шифровальщик no_more_ransom

Antarex47
 Поделиться

Рекомендуемые сообщения

Antarex47 Новичок

Antarex47

Опубликовано
Опубликовано (изменено)

Здравсвуйте! 10.01.2017 г., поймал шивровальщик, теперь файлы которые были в ноутбуке на диске D: имеют расширение - no_more_ransom. Также появились Readme.txt  в кол.ве 10 шт. в корне на диске D: со следующим содержанием:

Baши файлы были зaшифpовaны.Чmoбы pacшифрoвать uх, Baм необходuмo оmпpавumь код:56DD232A1B714B34D0C2|0нa элекmронный aдpес Novikov.Vavila@gmail.com .Дaлее вы noлyчuте все необxодuмыe инсmрykцuu.Пoпыткu pacшuфровать caмocтoятельнo не пpuвeдyт нu к чeму, kромe безвoзврamной nотepи инфoрмацuu.Ecлu вы всё жe xоmите пonытаmься, тo npедваpиmeльно cделaйme резервные копuu файлoв, uнaчe в слyчaеuх uзмeнeния paсшифpoвka сmанem невoзмoжнoй ни nри кaкиx условuяx.Eсли вы не получuли oтвета по вышеуказанномy адpeсу в mечениe 48 чaсoв (и тoлькo в эmом cлyчaе!),вocnoльзyйтесь фopмoй обраmной связи. Эmo можнo сделaть двyмя cпoсoбaмu:1) Сkaчайme и ycmaновите Tor Browser пo сcылкe: https://www.torproject.org/download/download-easy.html.enВ aдрeсной cmpоke Tor Browser-a ввeдиme адpеc:http://cryptsen7fo43rr6.onion/и нажмumе Enter. Заrрyзиmся сmpaница с фoрмой oбpaтнoй cвязи.2) В любом бpаyзеpe пepeйдumе nо oднoмy из адpeсoв:http://cryptsen7fo43rr6.onion.to/http://cryptsen7fo43rr6.onion.cab/1.По Вашей инструкции провёл проверку ПК, Kaspersky Virus Removal Tool 2015.

2. Запустил файл AutoLogger.exe и следовавал выводимым рекомендациям.

3. Вложил в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip.

CollectionLog-2017.01.20-16.46.zip

Изменено пользователем Antarex47
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 StopService('SPS');
 DeleteService('SPS');
 TerminateProcessByName('c:\windows\system32\searchprotectservice.exe');
 DeleteFile('c:\windows\system32\searchprotectservice.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','AvgUninstallURL');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SafeWeb');
 DeleteFile('C:\Users\Slava\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3 Startup Task.job','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3.job','32');
 DeleteFile('C:\Windows\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}.job','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Multimedia\Manager','32');
 DeleteFile('C:\Users\Slava\AppData\Roaming\Adobe\Manager.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3 Startup Task','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb2','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
 DeleteFile('C:\Users\Slava\AppData\Local\Hostinstaller\2095678786_monster.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}','32');
 DeleteFile('C:\Windows\system32\Tasks\{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A}','32');
ExecuteSysClean;
RebootWindows(true);
end.
Внимание! Будет выполнена перезагрузка компьютера.
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

     

    move.gif

  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
Сделайте новые логи Автологгером.
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 StopService('SPS');
 DeleteService('SPS');
 TerminateProcessByName('c:\windows\system32\searchprotectservice.exe');
 DeleteFile('c:\windows\system32\searchprotectservice.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','AvgUninstallURL');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SafeWeb');
 DeleteFile('C:\Users\Slava\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3 Startup Task.job','32');
 DeleteFile('C:\Windows\Tasks\ParetoLogic Update Version3.job','32');
 DeleteFile('C:\Windows\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}.job','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Multimedia\Manager','32');
 DeleteFile('C:\Users\Slava\AppData\Roaming\Adobe\Manager.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3','32');
 DeleteFile('C:\Windows\system32\Tasks\ParetoLogic Update Version3 Startup Task','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb','32');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb2','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
 DeleteFile('C:\Users\Slava\AppData\Local\Hostinstaller\2095678786_monster.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{195C1DC3-1082-0D96-DD62-38C52E99115A}','32');
 DeleteFile('C:\Windows\system32\Tasks\{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A}','32');
ExecuteSysClean;
RebootWindows(true);
end.
Внимание! Будет выполнена перезагрузка компьютера.
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

     

    move.gif

  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
Сделайте новые логи Автологгером.

 

Здравствуйте! Прилагаю логи после скрипта.

Check_Browsers_LNK.log

CollectionLog-2017.01.21-00.10.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

 

  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Спасибо. Отчёт прикрепил.

Отправляю отчёт AdwCleaner[s0].txt.после очистки AdwCleaner (by Xplode).

AdwCleanerS0.txt

AdwCleanerC0.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

Добрый день! Отчёт прикрепил. Спасибо.

Добрый день! Отчёт прикрепил. Спасибо.

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-18\...\Run: [] => 0
HKLM\...\Providers\ttvayntx: C:\Program Files\Mohgezovuse Renew\local32spl.dll
ShellExecuteHooks: No Name - {554789B4-DC68-11E6-8716-64006A5CFC23} - C:\Users\Slava\AppData\Roaming\Cojety\Stiwisehdaing.dll [121344 2017-01-22] ()
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction - Chrome <======= ATTENTION
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-19]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-19]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-01-19]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aohghmighlieiainnegkcijnfilokake [2015-02-05]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\bjgfnbgjnmeohehminfenoahkcddidpi [2016-02-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-15]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-03-29]
OPR Extension: (SearchWay) - C:\Users\Slava\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgldnknlljnfcfgchdijbjmmkdkmnabn [2017-01-16]
2017-01-19 14:04 - 2017-01-19 14:05 - 17628560 _____ (IObit                                                       ) C:\Users\Slava\AppData\Local\Temp\19F9.tmp.exe
2017-01-11 20:14 - 2015-01-26 17:59 - 0060296 _____ (Autodesk, Inc.) C:\Users\Slava\AppData\Local\Temp\AcDeltree.exe
2015-11-11 14:47 - 2015-11-11 14:47 - 0511488 _____ () C:\Users\Slava\AppData\Local\Temp\ACIS.dll
2017-01-19 14:04 - 2017-01-19 14:04 - 0887256 _____ (StarkIndastri                                               ) C:\Users\Slava\AppData\Local\Temp\adblocker.exe
2016-04-21 09:42 - 2016-04-21 09:42 - 0245480 _____ () C:\Users\Slava\AppData\Local\Temp\condefclean.exe
2017-01-19 14:04 - 2017-01-19 14:04 - 0075264 _____ () C:\Users\Slava\AppData\Local\Temp\DriverBoosterSetup.exe
2016-02-10 18:37 - 2016-02-10 18:37 - 0119808 _____ () C:\Users\Slava\AppData\Local\Temp\exereader.exe
2017-01-23 15:24 - 2017-01-23 15:24 - 0000000 _____ () C:\Users\Slava\AppData\Local\Temp\gow0vaib.dll
2016-12-09 23:16 - 2016-04-26 15:37 - 0246808 _____ (BlueStack Systems) C:\Users\Slava\AppData\Local\Temp\HD-Logger-Native.dll
2016-12-09 23:16 - 2016-04-26 15:39 - 0798232 _____ (BlueStack Systems, Inc.) C:\Users\Slava\AppData\Local\Temp\HD-RunAppTemp.exe
2016-07-05 19:00 - 2017-01-18 20:41 - 4167384 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\MailRuUpdater.exe
2016-09-02 09:59 - 2016-09-23 12:11 - 4157656 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\mrutmp.exe
2016-11-29 10:00 - 2016-11-29 10:00 - 0589824 _____ (__VENDOR__) C:\Users\Slava\AppData\Local\Temp\msihelper.dll
2016-07-18 21:31 - 2016-07-18 21:31 - 0178056 _____ (www.obnovi-soft.ru) C:\Users\Slava\AppData\Local\Temp\ObnoviSoft.exe
2016-12-28 14:34 - 2016-12-28 14:34 - 54325752 _____ (YANDEX LLC) C:\Users\Slava\AppData\Local\Temp\Setup-yabrowser.exe
2016-05-17 12:49 - 2016-10-12 19:01 - 41743488 _____ (Skype Technologies S.A.) C:\Users\Slava\AppData\Local\Temp\SkypeSetup.exe
2017-01-19 14:05 - 2017-01-19 14:05 - 0158011 _____ () C:\Users\Slava\AppData\Local\Temp\x4iaXx.dll
2016-05-31 14:14 - 2016-11-29 23:10 - 0501032 _____ (Yandex LLC) C:\Users\Slava\AppData\Local\Temp\yupdate-exec-yabrowser.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is4C2C.exe
2017-01-11 20:07 - 2006-05-24 15:10 - 0455600 _____ (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is535D.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8C86.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8E3B.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is9260.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_isC16E.exe
HKU\S-1-5-21-3172311882-3038231163-4230369034-1000\...\ChromeHTML: -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) <==== ATTENTION
Task: {1574CAB8-00DE-43D3-84EC-FCF9B273E2F2} - System32\Tasks\krutCnews => Chrome.exe hxxp://krut1news.ru/agarimsm
Task: {9738CC5D-6A47-4562-B0F2-55E9F0367407} - \SafeWeb -> No File <==== ATTENTION
Task: {B9C93FC3-22D1-4469-916F-8B2F5AB53AC2} - System32\Tasks\avastBCLRestartS-1-5-21-3172311882-3038231163-4230369034-1000 => Chrome.exe 
Task: {BBE8489F-3D97-40CA-A378-234A37EB02AA} - \{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A} -> No File <==== ATTENTION
Task: {DA8C92E9-A497-40F2-B933-D71BBD7958A1} - \SafeWeb2 -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на комментарий
Поделиться на другие сайты
Antarex47 Новичок

Antarex47

Опубликовано
  • Автор
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-18\...\Run: [] => 0
HKLM\...\Providers\ttvayntx: C:\Program Files\Mohgezovuse Renew\local32spl.dll
ShellExecuteHooks: No Name - {554789B4-DC68-11E6-8716-64006A5CFC23} - C:\Users\Slava\AppData\Roaming\Cojety\Stiwisehdaing.dll [121344 2017-01-22] ()
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction - Chrome <======= ATTENTION
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-19]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-19]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Slava\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-01-19]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\aohghmighlieiainnegkcijnfilokake [2015-02-05]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\bjgfnbgjnmeohehminfenoahkcddidpi [2016-02-21]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-01-22]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-15]
CHR Extension: (No Name) - C:\Users\Slava\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-03-29]
OPR Extension: (SearchWay) - C:\Users\Slava\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgldnknlljnfcfgchdijbjmmkdkmnabn [2017-01-16]
2017-01-19 14:04 - 2017-01-19 14:05 - 17628560 _____ (IObit                                                       ) C:\Users\Slava\AppData\Local\Temp\19F9.tmp.exe
2017-01-11 20:14 - 2015-01-26 17:59 - 0060296 _____ (Autodesk, Inc.) C:\Users\Slava\AppData\Local\Temp\AcDeltree.exe
2015-11-11 14:47 - 2015-11-11 14:47 - 0511488 _____ () C:\Users\Slava\AppData\Local\Temp\ACIS.dll
2017-01-19 14:04 - 2017-01-19 14:04 - 0887256 _____ (StarkIndastri                                               ) C:\Users\Slava\AppData\Local\Temp\adblocker.exe
2016-04-21 09:42 - 2016-04-21 09:42 - 0245480 _____ () C:\Users\Slava\AppData\Local\Temp\condefclean.exe
2017-01-19 14:04 - 2017-01-19 14:04 - 0075264 _____ () C:\Users\Slava\AppData\Local\Temp\DriverBoosterSetup.exe
2016-02-10 18:37 - 2016-02-10 18:37 - 0119808 _____ () C:\Users\Slava\AppData\Local\Temp\exereader.exe
2017-01-23 15:24 - 2017-01-23 15:24 - 0000000 _____ () C:\Users\Slava\AppData\Local\Temp\gow0vaib.dll
2016-12-09 23:16 - 2016-04-26 15:37 - 0246808 _____ (BlueStack Systems) C:\Users\Slava\AppData\Local\Temp\HD-Logger-Native.dll
2016-12-09 23:16 - 2016-04-26 15:39 - 0798232 _____ (BlueStack Systems, Inc.) C:\Users\Slava\AppData\Local\Temp\HD-RunAppTemp.exe
2016-07-05 19:00 - 2017-01-18 20:41 - 4167384 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\MailRuUpdater.exe
2016-09-02 09:59 - 2016-09-23 12:11 - 4157656 _____ (Mail.Ru) C:\Users\Slava\AppData\Local\Temp\mrutmp.exe
2016-11-29 10:00 - 2016-11-29 10:00 - 0589824 _____ (__VENDOR__) C:\Users\Slava\AppData\Local\Temp\msihelper.dll
2016-07-18 21:31 - 2016-07-18 21:31 - 0178056 _____ (www.obnovi-soft.ru) C:\Users\Slava\AppData\Local\Temp\ObnoviSoft.exe
2016-12-28 14:34 - 2016-12-28 14:34 - 54325752 _____ (YANDEX LLC) C:\Users\Slava\AppData\Local\Temp\Setup-yabrowser.exe
2016-05-17 12:49 - 2016-10-12 19:01 - 41743488 _____ (Skype Technologies S.A.) C:\Users\Slava\AppData\Local\Temp\SkypeSetup.exe
2017-01-19 14:05 - 2017-01-19 14:05 - 0158011 _____ () C:\Users\Slava\AppData\Local\Temp\x4iaXx.dll
2016-05-31 14:14 - 2016-11-29 23:10 - 0501032 _____ (Yandex LLC) C:\Users\Slava\AppData\Local\Temp\yupdate-exec-yabrowser.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is4C2C.exe
2017-01-11 20:07 - 2006-05-24 15:10 - 0455600 _____ (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is535D.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8C86.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is8E3B.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_is9260.exe
2006-05-24 15:10 - 2006-05-24 15:10 - 0455600 ____R (Macrovision Corporation) C:\Users\Slava\AppData\Local\Temp\_isC16E.exe
HKU\S-1-5-21-3172311882-3038231163-4230369034-1000\...\ChromeHTML: -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) <==== ATTENTION
Task: {1574CAB8-00DE-43D3-84EC-FCF9B273E2F2} - System32\Tasks\krutCnews => Chrome.exe hxxp://krut1news.ru/agarimsm
Task: {9738CC5D-6A47-4562-B0F2-55E9F0367407} - \SafeWeb -> No File <==== ATTENTION
Task: {B9C93FC3-22D1-4469-916F-8B2F5AB53AC2} - System32\Tasks\avastBCLRestartS-1-5-21-3172311882-3038231163-4230369034-1000 => Chrome.exe 
Task: {BBE8489F-3D97-40CA-A378-234A37EB02AA} - \{3D9D261F-5D3E-49EA-AA3E-77BC72E5D28A} -> No File <==== ATTENTION
Task: {DA8C92E9-A497-40F2-B933-D71BBD7958A1} - \SafeWeb2 -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Добрый вечер! Fixlog.txt прикрепил.

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

AS: Windows Defender (Enabled - Out of date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). За расшифровкой обращайтесь в техподдержку вашего антивируса.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • alexlaev
      Поймали шифровальщик
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • DanilDanil
      Поймал на VM шифровальщик. Предположительно Mimic (N3ww4v3)
      Автор DanilDanil
      Словил на VM шифровальщик. GPT в deepsearch предположил, что это mimic ( N3ww4v3) - на основе проанализированных зашифрованных файлов и оставленной злоумышленниками записке. Зашифрованны базы данных. Бэкапов не было...
      Есть ли возможность дешифровать? Вот это оставили злоумышленники. Зашифрованный файл прикрепить не могу, форум ограничивает.
      Important_Notice.txt
    • user344
      Поймал майнер или троян
      Автор user344
      Здравствуйте! Недавно компьютер в простое начинает переодически нагружаться до 100%, вентиляторы начинают крутить на полную в течении 5-10 минут, только начинаешь водить мышкой по рабочему столу, то сразу же нагрузка падает до дефолтных значений. Проверял лечащай утилитой др.веб и kvrt они вирусов не нашли.
      CollectionLog-2025.06.25-21.11.zip
    • Vklass
      Поймал вирус .encrypted
      Автор Vklass
      Зашифровали сервер, пропала недельная работа, прощу помощи  логи FRST в архиве 
      Вирус 2.zip
    • ViZorT
      Поймал шифровальщик blackpanther@mailum
      Автор ViZorT
      Поймали шифровальщик blackpanther@mailum.
      ОС не переустанавливалась.
      Прошу помощи.
      Файл шифровальщика, предположительно, удалось найти. Имеется архив с ним.
      Спасибо.
      Addition.txt Desktop.rar FRST.txt
×
×
  • Создать...