Поймал троян. Можно ли спасти зашифрованные файлы?

[Аркадий Бертулло]

Поймал троян. Вечером было все как обычно. Лег спать. Пришел друг в 2 часа ночи и сказал, что появилось окно в котором написано: Данная программа просит внести разрешение в компьютер... 

Встаю в 9 утра и вижу экран черный и написано: Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах README.txt, которые можно найти на любом из дисков. Где его поймал не знаю, но есть предположение за примерно за 8 часов пришло письмо от Сбербанка и там был прикреплен файл. Якобы от приставов, но там был договор займа, который ко мне ни как не относился. 

CollectionLog-2017.03.10-22.06.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Аркадий Бертулло]

Сделал все как вы сказали.

 

FRST64.zip

[thyrex]

После запуска файла из этого архива все зашифровалось C:\Users\Admin\Downloads\document_06032017_4458.zip ?

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
HKU\S-1-5-21-487792831-2632766202-1027910479-1001\...\Run: [ZetaGamesNews] => C:\Users\Admin\AppData\Local\ZetaGamesNews\zeta.exe [596640 2016-02-26] (Underberry lp)
Toolbar: HKU\S-1-5-21-487792831-2632766202-1027910479-1001 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  No File
Toolbar: HKU\S-1-5-21-487792831-2632766202-1027910479-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-487792831-2632766202-1027910479-1001 -> No Name - {093F479D-712E-46CD-9E06-62E734A05F68} -  No File
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
2017-03-07 02:15 - 2017-03-10 14:05 - 00004416 _____ C:\Users\Admin\Desktop\README7.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 06220854 _____ C:\Users\Admin\AppData\Roaming\4CCF96094CCF9609.bmp
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README9.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README8.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README6.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README5.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README4.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README3.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README2.txt
2017-03-07 02:15 - 2017-03-07 02:15 - 00004190 _____ C:\Users\Admin\Desktop\README10.txt
2017-03-06 18:59 - 2017-03-10 13:24 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-03-06 18:59 - 2017-03-10 13:24 - 00000000 __SHD C:\ProgramData\System32
2017-03-06 18:48 - 2017-03-10 21:26 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-03-06 18:48 - 2017-03-10 21:26 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Admin\AppData\Local\ZetaGamesNews
2017-03-07 00:41 - 2016-02-04 10:48 - 00000000 ____D C:\Users\Admin\AppData\Local\ZetaGamesViewer
2017-03-10 13:24 - 2017-03-10 13:24 - 0887808 _____ (Microsoft Corporation) C:\Users\Admin\AppData\Local\Temp\8085D854.exe
2017-02-18 19:37 - 2017-02-18 19:39 - 0537176 _____ () C:\Users\Admin\AppData\Local\Temp\878152678.exe
2017-03-10 13:24 - 2017-03-10 13:24 - 1497600 _____ () C:\Users\Admin\AppData\Local\Temp\B9FBFDBD.exe
2017-03-10 13:24 - 2017-03-10 13:24 - 1032704 _____ (Microsoft Corporation) C:\Users\Admin\AppData\Local\Temp\DA472DB6.exe
2016-02-29 19:24 - 2016-02-29 19:24 - 27849360 _____ (Underberry lp) C:\Users\Admin\AppData\Local\Temp\nsc2435.tmp.exe
2016-02-29 20:24 - 2016-02-29 20:25 - 27849360 _____ (Underberry lp) C:\Users\Admin\AppData\Local\Temp\nsu3C77.tmp.exe
C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Амиго
C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Интернет.lnk
C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет.lnk
C:\Users\Admin\AppData\Local\Amigo
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[Аркадий Бертулло]

Сделал.

Fixlog.txt

[thyrex]

С расшифровкой помочь не сможем

[Аркадий Бертулло]

 А реально вообще это расшифровать? Или нет?

[thyrex]

На данный момент все вирлабы бессильны и трудно сказать, будет ли доступной когда-нибудь расшифровка

[Аркадий Бертулло]

Спасибо за помощь