Сергей Бульдяев 0 Опубликовано 30 января, 2017 Share Опубликовано 30 января, 2017 (изменено) Добрый день! Поймали шифровалищика Trojan-Ransom.Win32.Xorist.ln. Зашифровал данные документы, изображения, ярлыки ит.д. Троян, полагаю, что пришел по почте. Пробовал воспользоваться утилитой XoristDecryptor , но не помогла. Логи приложил. CollectionLog-2017.01.30-16.08.zip Изменено 30 января, 2017 пользователем Сергей Бульдяев Ссылка на сообщение Поделиться на другие сайты
Soft 1 451 Опубликовано 30 января, 2017 Share Опубликовано 30 января, 2017 Порядок оформления запроса о помощи Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 30 января, 2017 Автор Share Опубликовано 30 января, 2017 Порядок оформления запроса о помощи Исправил описание и вложил логи от AutoLogger Ссылка на сообщение Поделиться на другие сайты
mike 1 1 044 Опубликовано 30 января, 2017 Share Опубликовано 30 января, 2017 Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе. Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи. Здравствуйте! Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО. Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт): begin RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0); QuarantineFile('C:\Users\user\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\copidelete.vbs',''); QuarantineFile('C:\ProgramData\Windows\svchost.VBS',''); TerminateProcessByName('C:\Users\user\system\64\msconfig.exe'); QuarantineFile('C:\Users\user\system\64\msconfig.exe',''); QuarantineFile('c:\users\user\appdata\local\nss\mychat client\mcclient.exe',''); DeleteFile('C:\Users\user\system\64\msconfig.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MinerGateGui'); DeleteFile('C:\ProgramData\Windows\svchost.VBS','32'); DeleteFile('C:\Users\user\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\copidelete.vbs','32'); DeleteFile('C:\Windows\system32\Tasks\system','64'); ExecuteSysClean; RebootWindows(true); end. Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ: begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end. quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.1. В заголовке письма напишите "Карантин". 2. В письме напишите ссылку на Вашу тему. 3. Прикрепите файл карантина и нажмите "Отправить" Сделайте новые логи Автологгером. Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 31 января, 2017 Автор Share Опубликовано 31 января, 2017 Сделайте новые логи Автологгером. На почту отправил. Новые логи приложил. CollectionLog-2017.01.31-10.44.zip Ссылка на сообщение Поделиться на другие сайты
mike 1 1 044 Опубликовано 31 января, 2017 Share Опубликовано 31 января, 2017 Сделайте лог полного сканирования MBAM https://safezone.cc/threads/faq-po-rabote-s-malwarebytes-anti-malware-v-3.28958/ Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 1 февраля, 2017 Автор Share Опубликовано 1 февраля, 2017 Сделайте лог полного сканирования MBAM https://safezone.cc/threads/faq-po-rabote-s-malwarebytes-anti-malware-v-3.28958/ Сделал Лог полного сканирования.txt Ссылка на сообщение Поделиться на другие сайты
mike 1 1 044 Опубликовано 1 февраля, 2017 Share Опубликовано 1 февраля, 2017 Мда, бардак какой, там еще и второй шифровальщик поработал. Удалите в MBAM все, кроме: Файл: 47 Backdoor.Agent, C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE, Проигнорировано пользователем, [149], [216982],1.0.1148 Проверьте эти файлы на virustotal C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме. Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 2 февраля, 2017 Автор Share Опубликовано 2 февраля, 2017 Мда, бардак какой, там еще и второй шифровальщик поработал. Удалите в MBAM все, кроме: Файл: 47 Backdoor.Agent, C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE, Проигнорировано пользователем, [149], [216982],1.0.1148 Проверьте эти файлы на virustotal C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме. https://www.virustotal.com/ru/file/0f6f1082c6935db9626cdfebee1d58b0e79abf26c005e8594279ff20e887f3ef/analysis/1486014659/ Ссылка на сообщение Поделиться на другие сайты
mike 1 1 044 Опубликовано 2 февраля, 2017 Share Опубликовано 2 февраля, 2017 C:\PROGRAMDATA\WINDOWSУдалите вручную. Скачайте Farbar Recovery Scan Tool Запустите Farbar Recovery Scan Tool двойным щелчком от имени Администратора. Когда программа запустится, скопируйте следующую информацию в окно поиска: *.cbf Нажмите кнопку Search Files и подождите. Программа создаст лог-файл (Search.txt). Пожалуйста, прикрепите его в следующем сообщении! Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 3 февраля, 2017 Автор Share Опубликовано 3 февраля, 2017 C:\PROGRAMDATA\WINDOWSУдалите вручную. Скачайте Farbar Recovery Scan Tool Запустите Farbar Recovery Scan Tool двойным щелчком от имени Администратора. Когда программа запустится, скопируйте следующую информацию в окно поиска: *.cbf Нажмите кнопку Search Files и подождите. Программа создаст лог-файл (Search.txt). Пожалуйста, прикрепите его в следующем сообщении! А есть возможность расшифровать файлы после данных шифровальщиков? Search.txt Ссылка на сообщение Поделиться на другие сайты
mike 1 1 044 Опубликовано 3 февраля, 2017 Share Опубликовано 3 февраля, 2017 А есть возможность расшифровать файлы после данных шифровальщиков? Те файлы, которые имеют расширение cbf нет, а второй возможно. Пришлите пару оригинал/шифрованный одного и того же файла. Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 6 февраля, 2017 Автор Share Опубликовано 6 февраля, 2017 А есть возможность расшифровать файлы после данных шифровальщиков? Те файлы, которые имеют расширение cbf нет, а второй возможно. Пришлите пару оригинал/шифрованный одного и того же файла. Прикрепил оригинал + два файла которые появились после второго шифровальщика вместо оригинального файла. На восстановление.zip Ссылка на сообщение Поделиться на другие сайты
thyrex 1 411 Опубликовано 6 февраля, 2017 Share Опубликовано 6 февраля, 2017 Вас просили прислать файлы после работы шифровальщика Trojan-Ransom.Win32.Xorist.ln Ссылка на сообщение Поделиться на другие сайты
Сергей Бульдяев 0 Опубликовано 6 февраля, 2017 Автор Share Опубликовано 6 февраля, 2017 Вас просили прислать файлы после работы шифровальщика Trojan-Ransom.Win32.Xorist.ln К сожалению у меня не осталось файлов после первого шифрования. Есть только то, что прислал в предыдущем сообщении. Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти