Зашифрованы файлы. doc xls dbf. Расширения не изменены.

[Алекс911]

Добрый день!

24.01.2017  шифровальщик прошелся по компьютеру пользователя, а так же по всем доступным сетевым папкам. Зашифрованными оказались документы с расширениями .doc, .docx, .xls, .xlsx. Внешне файлы не изменились (не сменили расширение) пострадало только содержимое. Повреждение выглядит как сбой кодировки. 

 

на диске нашел файл: RU996-5COOH-FKTKF-XTZTK-EGZTK-XKETX-GHXYY.KEY. дата файла совпадает с временем начала шифрования файлов. 

 

буду рад помощи

 

 

CollectionLog-2017.01.25-15.28.zip

[Дмитрий Березовский]

Тоже поймали этот вирус. На рабочем столе остались два файла. Пожалуйста помогите разобраться

Изменено 25 января, 2017 пользователем Sandor
Убрал подозрительный файл

[Sandor]

Здравствуйте!

 

Не пишите, пожалуйста, в чужой теме.

 

1. Ярлык

C:\Users\Елена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

2.

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

@Дмитрий Березовский, не пишите в чужой теме. Создайте свою, прочтите и выполните Порядок оформления запроса о помощи

[Алекс911]

Данные собрал.

AdwCleanerS0.txt

ClearLNK-25.01.2017_16-11.log

[Sandor]

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
  • Политики IE
  • Политики Chrome

    и нажмите Ok.

• Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Алекс911]

данные собрал

Addition.txt

AdwCleanerC0.txt

FRST.txt

Shortcut.txt

[Sandor]

Все утилиты лечения следует запускать правой кнопкой от имени администратора

Ran by Елена (ATTENTION: The user is not administrator) on KPK_SRV (25-01-2017 16:47:54)

Переделайте, пожалуйста.

[Алекс911]

Готово. 

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\defaults\pref\!71355FAFABDCB538B51B041F7782E8DE7135.js [2015-09-08] <==== ATTENTION
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\71355FAFABDCB538B51B041F7782E8DE7135 [2015-09-08] <==== ATTENTION
2017-01-24 15:58 - 2017-01-24 15:58 - 00000000 ____D C:\Users\Все пользователи\s1oc
2017-01-24 15:58 - 2017-01-24 15:58 - 00000000 ____D C:\ProgramData\s1oc
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\Users\Все пользователи\s9tc
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\Users\Все пользователи\s6q0
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\ProgramData\s9tc
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\ProgramData\s6q0
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\Users\Все пользователи\s7o4
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\Users\Все пользователи\s5u8
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\ProgramData\s7o4
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\ProgramData\s5u8
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\Users\Все пользователи\s9pk
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\Users\Все пользователи\s8ug
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\ProgramData\s9pk
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\ProgramData\s8ug
2017-01-24 15:50 - 2017-01-24 15:50 - 00000000 ____D C:\Users\Все пользователи\s44s
2017-01-24 15:50 - 2017-01-24 15:50 - 00000000 ____D C:\ProgramData\s44s
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\Users\Все пользователи\s8l0
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\Users\Все пользователи\s5is
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\ProgramData\s8l0
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\ProgramData\s5is
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\Users\Все пользователи\s9oc
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\Users\Все пользователи\s90g
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\Users\Все пользователи\s3mg
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\ProgramData\s9oc
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\ProgramData\s90g
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\ProgramData\s3mg
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\Users\Все пользователи\s794
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\Users\Все пользователи\s4ho
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\ProgramData\s794
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\ProgramData\s4ho
2017-01-24 09:03 - 2017-01-24 09:03 - 00001088 ___RH C:\Users\Елена\AppData\Roaming\RU996-5COOH-FKTKF-XTZTK-EGZTK-XKETX-GHXYY.KEY
2017-01-24 09:03 - 2017-01-24 09:03 - 00001088 _____ C:\Users\Елена\Desktop\RU996-5COOH-FKTKF-XTZTK-EGZTK-XKETX-GHXYY.KEY
2017-01-24 09:00 - 2017-01-24 09:04 - 08611480 _____ C:\Users\Елена\AppData\Roaming\3436533438
2017-01-24 09:00 - 2017-01-24 09:00 - 0113152 _____ () C:\Users\Елена\AppData\Local\Temp\sp1ex.exe
2017-01-25 10:33 - 2017-01-25 10:33 - 0612528 _____ () C:\Users\Администратор\AppData\Local\Temp\917b0b87-3358-4e79-93de-3dfc2fc99ed0.exe
Task: {2134FB8B-D025-4892-BE17-DA6E2C3EF1E7} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6.exe <==== ATTENTION
Task: {363B2C76-6585-49AC-99C2-BA2D14DE7C8C} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4.exe <==== ATTENTION
Task: {C3C31B66-37FD-47A2-B18F-9B0BEA06F041} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7.exe <==== ATTENTION
Task: {E73DC89F-A7BF-45AB-8AAB-7FDE4453F47A} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5_user.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\AGYVV.job => C:\Users\�����\AppData\Roaming\AGYVV.exe <==== ATTENTION
Task: C:\Windows\Tasks\QIQWO.job => C:\Users\�����\AppData\Roaming\QIQWO.exe <==== ATTENTION
Task: C:\Windows\Tasks\SJMIZIVB.job => C:\Users\�����\AppData\Roaming\SJMIZIVB.exe <==== ATTENTION
Task: C:\Windows\Tasks\SOJJKC.job => C:\Users\�����\AppData\Roaming\SOJJKC.exe <==== ATTENTION
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Алекс911]

"C:\Users\�����\AppData\Roam"

 

так и оставить значки?

готов

Fixlog.txt

[Sandor]

Система очищена. С расшифровкой помочь не сможем.

 

В завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню File (Файл) - выберите Uninstall (Деинсталлировать).
• Подтвердите удаление, нажав кнопку: Да.

Папку C:\FRST пока не удаляйте.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.