ransom.shade Документы на компьютере были зашифрованы вредоносным ПО

[IlyaK]

Здравствуйте!

На электронную почту сотрудника пришло письмо с подозрительным содержимым.

Сотрудник открыл скрипт и все важные документы (форматов: .doc, .xls, базы данных 1С и прочее) были зашифрованы.

Компьютер был проверен программой KVRT, были найдены вирусы, но не факт, что это именно тот, который зашифровал данные. Хотелось бы быть уверенным, что скрипт больше не работает!

Помогите пожалуйста дешифровать данные!

Высылаю лог сборщика.

CollectionLog-2017.03.03-09.43.zip

Отчеты.zip

Изменено 3 марта, 2017 пользователем IlyaK

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[IlyaK]

Отправляю отчеты из программы FRST!

Отчеты.zip

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2017-03-02 16:10 - 2017-03-02 16:10 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-03-02 16:10 - 2017-03-02 16:10 - 00000000 __SHD C:\ProgramData\Csrss
2017-03-02 16:09 - 2017-03-02 16:09 - 03148854 _____ C:\Users\учитель\AppData\Roaming\CA2C53A6CA2C53A6.bmp
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README9.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README8.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README7.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README6.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README5.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README4.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README3.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README2.txt
2017-03-02 16:09 - 2017-03-02 16:09 - 00004170 _____ C:\Users\учитель\Рабочий стол\README10.txt
2017-03-02 14:34 - 2017-03-02 15:31 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-03-02 14:34 - 2017-03-02 15:31 - 00000000 __SHD C:\ProgramData\Windows
2017-03-02 16:10 - 2017-03-02 16:10 - 0167490 _____ () C:\Users\учитель\AppData\Local\Temp\0A4F4CBD.exe
Task: {0CE31CF3-ECBB-4096-8091-2CBB3D82F114} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {13FD5582-9C99-4320-B1E8-92C69CE8D75A} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {19CA4D50-A393-4281-B59D-2D3E66E72004} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {363D0B21-852C-4160-BAC7-D6EEFA4E324B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {4268222C-EAF5-4D11-8B25-39D59B694F7F} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {48538B1A-B3CE-4A14-9547-543AD60858AD} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {48AD21B6-DDC0-40C3-8E07-9D27D0A74A96} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {5715F38C-C6B4-4664-910A-D4802FB45A2F} - \WPD\SqmUpload_S-1-5-21-3024268931-299386801-3020208083-1001 -> No File <==== ATTENTION
Task: {60714DE3-B1EC-4A4F-B9D5-1EE406AD7EE8} - \Microsoft\Windows\Setup\GWXTriggers\Time-Weekend -> No File <==== ATTENTION
Task: {81D937D2-8D81-4CD1-9289-C1567C7A1DED} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {84EDCCC3-5DBE-49D0-B0AB-0B6DA70E4F65} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {950F3FD8-26C3-4519-9808-6235307B30B6} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {98E6AA45-EB01-432C-8BC0-C8707CD38191} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {9C30C6C9-E1A0-4D66-B07E-6C0830DBAC4E} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {C444DE61-023F-4637-9994-26B20B5C9E63} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {EAB2DD65-44BF-4E50-9DFB-1CF464E87661} - \Microsoft\Windows\Setup\gwx\rundetector -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[IlyaK]

Все сделал. Отправляю вам документ!

Fixlog.zip

[thyrex]

С расшифровкой помочь не сможем