Перейти к содержанию
Интервью с экспертом: задай вопрос Евгению Козлову, руководителю направления подбора персонала

Зашифрованы файлы. doc xls dbf. Расширения не изменены.

Алекс911
 Поделиться

Рекомендуемые сообщения

Алекс911

Алекс911

Опубликовано
Опубликовано

Добрый день!

24.01.2017  шифровальщик прошелся по компьютеру пользователя, а так же по всем доступным сетевым папкам. Зашифрованными оказались документы с расширениями .doc, .docx, .xls, .xlsx. Внешне файлы не изменились (не сменили расширение) пострадало только содержимое. Повреждение выглядит как сбой кодировки. 

 

на диске нашел файл: RU996-5COOH-FKTKF-XTZTK-EGZTK-XKETX-GHXYY.KEY. дата файла совпадает с временем начала шифрования файлов. 

 

буду рад помощи

 

 

CollectionLog-2017.01.25-15.28.zip

Дмитрий Березовский

Дмитрий Березовский

Опубликовано
Опубликовано (изменено)

Тоже поймали этот вирус. На рабочем столе остались два файла. Пожалуйста помогите разобраться

Изменено пользователем Sandor
Убрал подозрительный файл
Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Не пишите, пожалуйста, в чужой теме.

 

1. Ярлык

C:\Users\Елена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

2.

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

@Дмитрий Березовский, не пишите в чужой теме. Создайте свою, прочтите и выполните Порядок оформления запроса о помощи

Sandor

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Все утилиты лечения следует запускать правой кнопкой от имени администратора

Ran by Елена (ATTENTION: The user is not administrator) on KPK_SRV (25-01-2017 16:47:54)

Переделайте, пожалуйста.
Sandor

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\defaults\pref\!71355FAFABDCB538B51B041F7782E8DE7135.js [2015-09-08] <==== ATTENTION
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\71355FAFABDCB538B51B041F7782E8DE7135 [2015-09-08] <==== ATTENTION
2017-01-24 15:58 - 2017-01-24 15:58 - 00000000 ____D C:\Users\Все пользователи\s1oc
2017-01-24 15:58 - 2017-01-24 15:58 - 00000000 ____D C:\ProgramData\s1oc
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\Users\Все пользователи\s9tc
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\Users\Все пользователи\s6q0
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\ProgramData\s9tc
2017-01-24 15:56 - 2017-01-24 15:56 - 00000000 ____D C:\ProgramData\s6q0
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\Users\Все пользователи\s7o4
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\Users\Все пользователи\s5u8
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\ProgramData\s7o4
2017-01-24 15:55 - 2017-01-24 15:55 - 00000000 ____D C:\ProgramData\s5u8
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\Users\Все пользователи\s9pk
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\Users\Все пользователи\s8ug
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\ProgramData\s9pk
2017-01-24 15:54 - 2017-01-24 15:54 - 00000000 ____D C:\ProgramData\s8ug
2017-01-24 15:50 - 2017-01-24 15:50 - 00000000 ____D C:\Users\Все пользователи\s44s
2017-01-24 15:50 - 2017-01-24 15:50 - 00000000 ____D C:\ProgramData\s44s
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\Users\Все пользователи\s8l0
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\Users\Все пользователи\s5is
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\ProgramData\s8l0
2017-01-24 15:48 - 2017-01-24 15:48 - 00000000 ____D C:\ProgramData\s5is
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\Users\Все пользователи\s9oc
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\Users\Все пользователи\s90g
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\Users\Все пользователи\s3mg
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\ProgramData\s9oc
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\ProgramData\s90g
2017-01-24 15:47 - 2017-01-24 15:47 - 00000000 ____D C:\ProgramData\s3mg
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\Users\Все пользователи\s794
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\Users\Все пользователи\s4ho
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\ProgramData\s794
2017-01-24 15:46 - 2017-01-24 15:46 - 00000000 ____D C:\ProgramData\s4ho
2017-01-24 09:03 - 2017-01-24 09:03 - 00001088 ___RH C:\Users\Елена\AppData\Roaming\RU996-5COOH-FKTKF-XTZTK-EGZTK-XKETX-GHXYY.KEY
2017-01-24 09:03 - 2017-01-24 09:03 - 00001088 _____ C:\Users\Елена\Desktop\RU996-5COOH-FKTKF-XTZTK-EGZTK-XKETX-GHXYY.KEY
2017-01-24 09:00 - 2017-01-24 09:04 - 08611480 _____ C:\Users\Елена\AppData\Roaming\3436533438
2017-01-24 09:00 - 2017-01-24 09:00 - 0113152 _____ () C:\Users\Елена\AppData\Local\Temp\sp1ex.exe
2017-01-25 10:33 - 2017-01-25 10:33 - 0612528 _____ () C:\Users\Администратор\AppData\Local\Temp\917b0b87-3358-4e79-93de-3dfc2fc99ed0.exe
Task: {2134FB8B-D025-4892-BE17-DA6E2C3EF1E7} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6.exe <==== ATTENTION
Task: {363B2C76-6585-49AC-99C2-BA2D14DE7C8C} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4.exe <==== ATTENTION
Task: {C3C31B66-37FD-47A2-B18F-9B0BEA06F041} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7.exe <==== ATTENTION
Task: {E73DC89F-A7BF-45AB-8AAB-7FDE4453F47A} - System32\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5 => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-6.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-1-7.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-4.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5_user.job => C:\Program Files (x86)\CinemaPlus12bV03.02\acbcce65-f4f6-4207-a9f4-1aeaa4a617ab-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\AGYVV.job => C:\Users\�����\AppData\Roaming\AGYVV.exe <==== ATTENTION
Task: C:\Windows\Tasks\QIQWO.job => C:\Users\�����\AppData\Roaming\QIQWO.exe <==== ATTENTION
Task: C:\Windows\Tasks\SJMIZIVB.job => C:\Users\�����\AppData\Roaming\SJMIZIVB.exe <==== ATTENTION
Task: C:\Windows\Tasks\SOJJKC.job => C:\Users\�����\AppData\Roaming\SOJJKC.exe <==== ATTENTION
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Система очищена. С расшифровкой помочь не сможем.

 

В завершение:

1.

  • Пожалуйста, запустите adwcleaner.exe
  • В меню File (Файл) - выберите Uninstall (Деинсталлировать).
  • Подтвердите удаление, нажав кнопку: Да.
Папку C:\FRST пока не удаляйте.

 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...