no_more_ransom вирус

[Bahitzhan Myktybekov]

Здравствуйте
помогите мне
случайно открыл файл с расширением .js

пришла по почте. якобы от Сбербанка

и все файлы в одной папке моего переносного диска зашифровались
в основном это документы (форматы doc,docx, pdf, xls)

в корневом каталоге переносного диска появился файл read.me

Текст злоумышленника:

________________________________________________________________________
Bашu фaйлы былu зaшифровaны.
Чmобы раcшифрoваmь uх, Bам неoбхoдимо оmправить koд:
AB8CD4E406A4A9DF4D3D|791|6|40
нa элеkmpонный адреc lukyan.sazonov26@gmail.com .
Дaлеe вы пoлyчитe вcе необxодuмыe uнcmpykцuu.
Пoпыткu рacшuфрoвать сaмоcтoяmельно нe npuвeдуm нu k чемy, кроме бeзвозвpaтной noтери uнфopмацuи.
Eслu вы вcё же хoтите noпытаться, mо nрeдвaрumeльнo сдeлайmе резeрвные koпuu фaйлов, иначe в cлучае
иx измeнения раcшuфpoвka стaнeт невoзмoжнoй ни пpu kакиx ycловuяx.
Еслu вы не пoлучuлu оmветa по вышeykазaннoму адpеcу в mечeнue 48 часов (u толькo в эmом слyчaе!),
восnoльзуйтeсь формoй обрaтной cвязи. Эmo можнo cделamь двумя cпоcoбaми:
1) Скaчaйmе и yсmанoвumе Tor Browser по ссылке: https://www.torproje...ad-easy.html.en
B aдресной cmpоке Tor Browser-a ввeдите aдpеc:
http://cryptsen7fo43rr6.onion/
и нaжмите Enter. Зarpузumcя сmрaнuцa с фoрмой обрaтнoй связu.
2) B любом бpaузеpе nepeйдuте пo oдномy из адpecов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
AB8CD4E406A4A9DF4D3D|791|6|40
to e-mail address lukyan.sazonov26@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
https://www.torproject.org/download/download-easy.html.en
Install it and type the following address into the address bar:
http://cryptsen7fo43rr6.onion/
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/
_________________________________________________________________________

что делать?
С уважением

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[Bahitzhan Myktybekov]

исправил

CollectionLog-2017.02.15-18.11.zip

[Sandor]

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Bahitzhan Myktybekov]

Здравствуйте

Прикрепил

 

С уважением

Это после проверки Farbar

 

С уважением

ClearLNK-17.02.2017_09-19.log

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Включите Восстановление системы.

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-2544390377-400526025-1603539357-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BFEEAC067-B0DC-46BE-9B75-7EF2534E692B%7D&gp=789219
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxp://www.austriavisa-russia.com/","hxxp://www.vfsglobal.com/Croatia/russia/"
CHR Extension: (Mail.Ru) - C:\Users\bahitzhan\AppData\Local\Google\Chrome\User Data\Default\Extensions\bgcifljfapbhgiehkjlckfjmgeojijcb [2016-05-23]
CHR Extension: (The Safe Surfing) - C:\Users\bahitzhan\AppData\Local\Google\Chrome\User Data\Default\Extensions\kcknbenjnkkjknphmnidanjifbgphjke [2016-04-01]
CHR Extension: (Яндекс) - C:\Users\bahitzhan\AppData\Local\Google\Chrome\User Data\Default\Extensions\laddjijkcfpakbbnnedbhnnciecidncp [2016-12-13]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\bahitzhan\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbjjfiihgfegniolckphpnfaokdkbmdm [2016-05-23]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\bahitzhan\AppData\Local\Google\Chrome\User Data\Default\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-11-14]
2017-02-15 09:39 - 2017-02-15 09:39 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-02-15 09:39 - 2017-02-15 09:39 - 00000000 __SHD C:\ProgramData\System32
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README9.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README8.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README7.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README6.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README5.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README4.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README3.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README2.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README10.txt
2017-02-15 09:38 - 2017-02-15 09:38 - 00004190 _____ C:\README1.txt
2017-02-15 09:28 - 2017-02-15 09:28 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-02-15 09:28 - 2017-02-15 09:28 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Bahitzhan Myktybekov]

С уважением

Fixlog.txt

[Sandor]

Создайте запрос на расшифровку.

[Bahitzhan Myktybekov]

Я Вас понял

У меня корпоративная лицензия на Ваш продукт

поэтому я создам соответствующий запрос через наш IT отдел

но вот что я не понял:

файл fixlist.txt помог мне подчистить диск С, где были, в том числе и файлы readme1...10

Но такие же файлы у меня находятся в переносном жестком диске...

да и пострадавшие файлы находятся в этом же переносном жестком диске

не надо ли делать какие-то действия касаемо этого диска?

С уважением,

[Sandor]

Нет, не надо.