ransom.shade зашифрованы файлы, новое расширение no_more_ransom

[Iceka]

здравствуйте!

победило (сгубило) любопытство - открыла  вирусный файл с сайта корректорского агентства. вирус заблокировал один диск полностью, на другом только часть документов (одну папку) и был уничтожен антивируской. файлы виндос и иные исполняемые  не тронуты. только файлы  офиса, pdf и изображений, причем только в  одной наибольшей папке. файлы поменяли названия на набор символов (букв, цифр) и все имеют расширение no_more_ransom (пример имени SzEkHqO-Nh13TxXb3TqSG-jHLqtwYR6ghLCrpIaHV9M=.4E1F0FED0A15CDC39EBD.no_more_ransom )

 так же в корневом каталоге каждого диска несколько файлов с README1.txt  (номер на конце от 1 до 10) , емайл из файла -  gervasiy.menyaev@gmail.com 

 

тест антивирусами, а частности Kaspersky Virus Removal Tool 2015 наличие вирусов не показал.

CollectionLog-2017.03.01-10.42.zip

README1.txt

[sdtu.nz]

Та же байда. Пользователь в организации словил шифровальщика. Но есть несколько файлов зашифрованных и их  xls оригиналов которые вирус не успел удалить а только убрать расширение. Может сотрудникам Касперского это поможет раскодировать...??? вот только куда их скинуть им?

[Sandor]

@sdtu.nz, не пишите в чужой теме. Создайте свою и, если нужна помощь, выполните Порядок оформления запроса о помощи

 

@Iceka, здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Windows\system32\drivers\{1bdc2c72-ee9f-4712-bc8d-9e9f957080e2}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{458639bd-68ee-4273-bbab-5c062f563d3b}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{645cdede-1bea-456e-9de9-65f184313502}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{8ebc28a2-0eec-4503-8299-d9ab3df68568}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{d2016952-a5e4-488e-bc66-1499bf686a8a}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{dcdd20f6-dcc3-4788-be49-c9fbacb2dae7}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{f51668dd-f93c-4fee-a9fd-55c8481780d4}w.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\{f5598bc7-a9c4-4bd0-8ca5-3b6319e94b10}w.sys', '');
 DeleteFile('C:\Windows\system32\drivers\{1bdc2c72-ee9f-4712-bc8d-9e9f957080e2}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{458639bd-68ee-4273-bbab-5c062f563d3b}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{645cdede-1bea-456e-9de9-65f184313502}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{8ebc28a2-0eec-4503-8299-d9ab3df68568}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{d2016952-a5e4-488e-bc66-1499bf686a8a}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{dcdd20f6-dcc3-4788-be49-c9fbacb2dae7}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{f51668dd-f93c-4fee-a9fd-55c8481780d4}w.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{f5598bc7-a9c4-4bd0-8ca5-3b6319e94b10}w.sys', '32');
 DeleteService('{1bdc2c72-ee9f-4712-bc8d-9e9f957080e2}w');
 DeleteService('{458639bd-68ee-4273-bbab-5c062f563d3b}w');
 DeleteService('{645cdede-1bea-456e-9de9-65f184313502}w');
 DeleteService('{8ebc28a2-0eec-4503-8299-d9ab3df68568}w');
 DeleteService('{d2016952-a5e4-488e-bc66-1499bf686a8a}w');
 DeleteService('{dcdd20f6-dcc3-4788-be49-c9fbacb2dae7}w');
 DeleteService('{f51668dd-f93c-4fee-a9fd-55c8481780d4}w');
 DeleteService('{f5598bc7-a9c4-4bd0-8ca5-3b6319e94b10}w');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.