SPORA зашифровала файлы на компьютере

[Петр290663]

День добрый! после открытия вложенного файла из письма начались проблемы и в конце-концов оказались зашифрованные файлы на компьютере.

 

 [удалено]

 

Дополнительно отправляю результаты сканирования Farbar.

CollectionLog-2017.02.15-15.44.zip

Addition.txt

FRST.txt

[Sandor]

Здравствуйте!

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\Users\Андрей\Desktop\ДОКУМЕНТЫ.lnk', '');
 QuarantineFile('C:\Users\Андрей\Desktop\Корабли.lnk', '');
 QuarantineFile('C:\Users\Андрей\Desktop\МУЗЫКА.lnk', '');
 QuarantineFile('C:\Users\Андрей\Desktop\ПЕРЕПЕЛА.lnk', '');
 QuarantineFile('%temp%\07bc4b6edd68769e.exe', '');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Петр290663]

День добрый! Отправляю файлы отчетов  работы FARBAR

FRST.txt

Addition.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKU\S-1-5-21-3610277037-178475284-3904116039-1001\...\Run: [MailRuUpdater] => C:\Users\Андрей\AppData\Local\Mail.Ru\MailRuUpdater.exe [4167384 2017-01-19] (Mail.Ru) <===== ATTENTION
Startup: C:\Users\Андрей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RUF98-F5FZE-HTFGF-TXZHT-AROTK-ZRGTH-GOYYY.html [2017-02-15] ()
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR Extension: (Яндекс) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Default\Extensions\necfmkplpminfjagblfabggomdpaakan [2016-11-03]
2017-02-15 11:48 - 2017-02-15 11:48 - 00000940 _____ C:\Program Files (x86).lnk
2017-02-15 11:48 - 2017-02-15 11:48 - 00000928 _____ C:\Program Files.lnk
2017-02-15 11:48 - 2017-02-15 11:48 - 00000918 _____ C:\PerfLogs.lnk
2017-02-15 11:48 - 2017-02-15 11:48 - 00000916 _____ C:\Windows.lnk
2017-02-15 11:48 - 2017-02-15 11:48 - 00000912 _____ C:\Users.lnk
2017-02-15 11:48 - 2017-02-15 08:50 - 00073728 ____H C:\07bc4b6edd68769e.exe
2017-02-15 11:43 - 2017-02-15 11:43 - 00000934 _____ C:\Users\Андрей\Desktop\ДОКУМЕНТЫ.lnk
2017-02-15 11:43 - 2017-02-15 11:43 - 00000932 _____ C:\Users\Андрей\Desktop\ПЕРЕПЕЛА.lnk
2017-02-15 11:43 - 2017-02-15 11:43 - 00000930 _____ C:\Users\Андрей\Desktop\Корабли.lnk
2017-02-15 11:43 - 2017-02-15 11:43 - 00000928 _____ C:\Users\Андрей\Desktop\МУЗЫКА.lnk
2017-02-15 08:51 - 2017-02-15 08:51 - 00016715 _____ C:\Users\Андрей\AppData\Roaming\RUF98-F5FZE-HTFGF-TXZHT-AROTK-ZRGTH-GOYYY.html
2017-02-15 08:51 - 2017-02-15 08:51 - 00001088 _____ C:\Users\Андрей\AppData\Roaming\RUF98-F5FZE-HTFGF-TXZHT-AROTK-ZRGTH-GOYYY
2017-02-15 08:50 - 2017-02-15 11:43 - 02560904 _____ C:\Users\Андрей\AppData\Roaming\4043169424
2017-02-03 09:56 - 2016-10-07 10:23 - 00000000 ____D C:\Users\Андрей\AppData\Local\Amigo
2017-02-15 08:50 - 2017-02-15 08:50 - 0073728 _____ () C:\Users\Андрей\AppData\Roaming\u.exe
C:\Users\Андрей\AppData\Local\Mail.Ru\MailRuUpdater.exe
2017-02-15 13:35 - 2017-02-16 09:00 - 0073728 _____ () C:\Users\Андрей\AppData\Local\Temp\07bc4b6edd68769e.exe
2016-10-08 10:26 - 2016-10-11 13:54 - 49755880 _____ (Mail.Ru) C:\Users\Андрей\AppData\Local\Temp\amigo_setup.exe
2017-02-15 15:13 - 2017-02-15 15:13 - 0181544 _____ () C:\Users\Андрей\AppData\Local\Temp\downloader_upd.exe
2016-11-07 10:49 - 2016-11-07 10:49 - 0065536 _____ () C:\Users\Андрей\AppData\Local\Temp\Execute2App.exe
2016-11-28 10:11 - 2016-11-29 08:44 - 0000000 ____D () C:\Users\Андрей\AppData\Local\Temp\Explorer.EXE
FirewallRules: [{854C45AD-ABE6-4EFD-B669-D4F65772ED4E}] => (Allow) C:\Users\Андрей\AppData\Local\Amigo\Application\amigo.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Петр290663]

Добрый вечер! Высылаю файл Fixlog.txt

 

Заранее благодарен!

Fixlog.txt

[Sandor]

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Служба автоматического обновления программ

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[vad99]

День добрый!
Вирус зашифровал файлы на компьютере. world, excel и pdf.
Возможно их расшифровать?

Файлы созданные вирусом прикрепил.

Новая папка.rar

README1.txt

[Sandor]

@vad99, здравствуйте!

 

Не пишите в чужой теме, создайте свою. Прочтите и выполните Порядок оформления запроса о помощи

[Петр290663]

День добрый!

Просканировал ПК AdwCleaner, было 77 угроз.

Отчеты прилагаю.

 

Заранее благодарен!

AdwCleanerC0.txt

AdwCleanerS0.txt

AdwCleanerS1.txt

[Sandor]

Вымогатель, его следы и адварь очищены. С расшифровкой, увы, помочь не сможем.

[Петр290663]

День добрый еще раз!

Но система не видит основной диск С: как будто там ничего нет...

И почти все рисунки и фотографии тоже недоступны...

в Word файле вид диска С: в проводнике...

 

Изображение диска С.docx

[Sandor]

C:\AdwCleaner\AdwCleaner[C0].txt

Логи ведь находятся на диске С:

 

Вы пишете здесь с этого компьютера или с другого?

[Петр290663]

С этого компьютера, который заражен...

 

Какой хоть был вирус?

[Sandor]

Название в Вашем заголовке темы, Spora.

 

Пожалуйста, запустите adwcleaner.exe

В меню File (Файл) - выберите Uninstall (Деинсталлировать).

Подтвердите удаление, нажав кнопку: Да.

[Sandor]

@resistbeer, здравствуйте!

 

1. Не пишите в чужих темах, Вы нарушаете правила раздела.

 

2. Не существует универсального средства расшифровки. В каждом случае заражения инструмент уникальный.