ransom.shade заражение компьютера файлами no_more_ransom

3 апреля, 2017

Супруга получила письмо на почтовый ящик от неизвестного пользователя, после открытия личные файлы, хранящиеся на компьютеры были зашифрованы вирусом "no_more_ransom", кроме того появилось текстовое сообщение от взломщиков, в котором они предлагали свои услуги по расшифровке. Просьба оказать содействие в данной проблеме.

CollectionLog-2017.04.03-23.59.zip

4 апреля, 2017

Здравствуйте!

Через Панель управления - Удаление программ - удалите нежелательное ПО:

amuleC

amulesw

Unity Web Player

WinSnare

Дополнительно:

Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

4 апреля, 2017

Здравствуйте! Все операции выполнены согласно данным инструкциям. Направляю Вам отчеты.

AdwCleanerC3.txt

AdwCleanerS2.txt

4 апреля, 2017

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

4 апреля, 2017

Закончил с FRST64, отправляю отчеты:

Addition.txt

FRST.txt

Shortcut.txt

5 апреля, 2017

Снова набрали адвари, будьте осторожнее.

Через Панель управления - Удаление программ - удалите нежелательное ПО:

amuleC

aMuleCustom

AnySend

BikaQ Rss

deskapp

FlvPlayer

InterHop

MediaGet

Reimage Protector

YAC(Yet Another Cleaner!)

Служба автоматического обновления программ

Что не сможете удалить стандартно, пробуйте через Revo Uninstall

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
CloseProcesses:
IFEO\taskmgr.exe: [Debugger] 
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.amisites.com/?type=hp&ts=1485171353&z=46cb49a842a16b27d13f6b0gfzdb4w0gam7gdc4zcb&from=archer1028&uid=TOSHIBAXMQ01ABD075_63LCP7KVTXX63LCP7KVT
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.nuesearch.com/search/?type=ds&ts=1473243108&z=19aee620f3443fef1ed3229g0zfm1c9odz2c9gbe3w&from=che0812&uid=TOSHIBAXMQ01ABD075_63LCP7KVTXX63LCP7KVT&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.amisites.com/?type=hp&ts=1485171353&z=46cb49a842a16b27d13f6b0gfzdb4w0gam7gdc4zcb&from=archer1028&uid=TOSHIBAXMQ01ABD075_63LCP7KVTXX63LCP7KVT
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.nuesearch.com/search/?type=ds&ts=1473243108&z=19aee620f3443fef1ed3229g0zfm1c9odz2c9gbe3w&from=che0812&uid=TOSHIBAXMQ01ABD075_63LCP7KVTXX63LCP7KVT&q={searchTerms}
SearchScopes: HKU\S-1-5-21-858532892-314037124-2183607722-1002 -> {D30B948D-4A7D-4FF6-BEB2-B8B53ED4F124} URL = hxxp://www.search.ask.com/web?tpid=ADAP-C2-G&o=APN11416&pf=V7&p2=^BBO^YYYYYY^BZ^RU&gct=&itbv=12.37.0.2805&apn_uid=1CE135A7-B002-4B33-807C-FF62F453ABC1&apn_ptnrs=^BBO&apn_dtid=^YYYYYY^BZ^RU&apn_dbr=microsoftedge.exe_6_25.10586.0.0&doi=2015-12-29&trgb=CR&q={searchTerms}&psv=&pt=tb
SearchScopes: HKU\S-1-5-21-858532892-314037124-2183607722-1002 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B1A97B405-3CF1-46F9-8E13-4112FA1294DA%7D&gp=812258
Edge HomeButtonPage: HKU\S-1-5-21-858532892-314037124-2183607722-1002 -> hxxp://www.nuesearch.com/?type=hp&ts=1473243108&z=19aee620f3443fef1ed3229g0zfm1c9odz2c9gbe3w&from=che0812&uid=TOSHIBAXMQ01ABD075_63LCP7KVTXX63LCP7KVT
FF Extension: (SimilarWeb) - C:\Users\HP-PC\AppData\Roaming\Firefox\Firefox\Profiles\o4y1x8z1.default\Extensions\@DA3566E2-F709-11E5-8E87-A604BC8E7F8B.xpi [2017-03-30] [not signed]
HKU\S-1-5-21-858532892-314037124-2183607722-1002\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Bigold\Application\chrome.exe (Google Inc.) <==== ATTENTION
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Users\Все пользователи\WinTools
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\clean
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\ProgramData\WinTools
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\zona
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\WinArcher
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\reports
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\Mail.Ru
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\Gubed
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\Gub
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\Firefox
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\f09er35s
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\Explorer
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\deskapp
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\BikaQRss
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\amulell
2017-04-04 19:14 - 2017-04-04 19:14 - 00000000 ____D C:\Program Files (x86)\amuleCexx
2017-04-04 19:14 - 2017-03-31 21:33 - 00000000 _____ C:\Users\Public\Documents\report.dat
2017-04-04 19:14 - 2017-03-31 21:08 - 00000040 _____ C:\Program Files (x86)\settings.dat
2017-04-04 19:14 - 2017-03-31 15:04 - 00000000 _____ C:\Users\Public\Documents\temp.dat
2017-04-04 19:14 - 2016-08-21 22:48 - 00000191 _____ C:\Users\HP-PC\Desktop\Искать в Интернете.url
2017-04-04 19:14 - 2015-12-29 22:20 - 00001021 _____ C:\Users\Public\Desktop\FlvPlayer.lnk
2017-04-04 19:14 - 2015-10-27 23:56 - 00000148 _____ C:\WINDOWS\Reimage.ini
2017-04-04 19:13 - 2017-04-04 19:53 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\aMule
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\Все пользователи\WinSAPSvc
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\Все пользователи\Reimage Protector
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\Все пользователи\QQBrowser
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\Все пользователи\Mail.Ru
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\Все пользователи\dgjdg
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\Все пользователи\apn
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\Documents\Mobogenie
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\zona
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\WinSnare
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\WinSAPSvc
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MediaGet2
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ASPackage
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\MailProducts
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\Kyubey
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\HPStocker
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\Ghuqeght
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\FlvPlayer
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\Elex-tech
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\eCyber
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Roaming\ASPackage
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\LocalLow\torchimeshmoviestoolbar
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Local\Hostinstaller
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Local\GeoLocator
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\WinSAPSvc
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\Reimage Protector
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\QQBrowser
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\qksee
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlvPlayer
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\BikaQ
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\Mail.Ru
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\dgjdg
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\ProgramData\apn
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Program Files\wwchromek3
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Program Files\WiperSoft
2017-04-04 19:13 - 2017-04-04 19:13 - 00000000 ____D C:\Program Files (x86)\Elex-tech
2017-04-04 19:12 - 2017-04-04 19:13 - 00000000 ____D C:\Users\HP-PC\AppData\Local\ZaxarGameBrowser
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Users\Все пользователи\7winp7
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Users\HP-PC\AppData\Local\Xpom
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Users\HP-PC\AppData\Local\Nichrome
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Users\HP-PC\AppData\Local\MediaGet2
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Users\HP-PC\AppData\Local\Media Get LLC
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Users\HP-PC\AppData\Local\Mail.Ru
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\ProgramData\7winp7
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Program Files (x86)\WinSnare(4.4.3)
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Program Files (x86)\WinSnare(4.1.0)
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Program Files (x86)\WinSnare(4.0.9)
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Program Files (x86)\WinSnare(4.0.8)
2017-04-04 19:12 - 2017-04-04 19:12 - 00000000 ____D C:\Program Files (x86)\80523E7C-1469980733-E211-8D0A-D732D919D6B1
2017-03-31 13:09 - 2017-03-31 13:13 - 00000000 ____D C:\Program Files\MK
2017-03-30 18:04 - 2017-03-30 23:40 - 00000000 __SHD C:\Users\Все пользователи\services
2017-03-30 18:04 - 2017-03-30 23:40 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-03-30 18:04 - 2017-03-30 23:40 - 00000000 __SHD C:\ProgramData\services
2017-03-30 18:04 - 2017-03-30 23:40 - 00000000 __SHD C:\ProgramData\Csrss
2017-03-30 13:20 - 2017-03-30 13:20 - 03148854 _____ C:\Users\HP-PC\AppData\Roaming\DEE798E0DEE798E0.bmp
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README9.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README8.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README7.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README6.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README5.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README4.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README3.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README2.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README10.txt
2017-03-30 13:19 - 2017-03-30 13:19 - 00004186 _____ C:\Users\HP-PC\Desktop\README1.txt
2017-03-30 12:18 - 2017-03-30 23:40 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-03-30 12:18 - 2017-03-30 23:40 - 00000000 __SHD C:\ProgramData\Windows
2017-03-28 07:27 - 2017-03-28 07:27 - 00000000 ____D C:\Users\HP-PC\.zaxargamesteam
2017-03-28 07:27 - 2017-03-28 07:27 - 00000000 ____D C:\Users\HP-PC\.ZaxarGameBrowser
2017-03-17 16:47 - 2017-03-17 16:47 - 00000000 ____D C:\Program Files (x86)\58CBBECB_cacayima
2017-03-16 18:49 - 2017-03-17 15:49 - 00000000 ____D C:\Program Files\wwchromek4
2017-03-15 22:50 - 2017-03-15 22:50 - 00000000 ____D C:\Program Files (x86)\58C970EB_cacayima
2017-03-14 15:46 - 2017-03-30 15:42 - 00000000 ____D C:\Program Files (x86)\n1
2017-03-13 17:22 - 2017-03-13 17:22 - 00000000 ____D C:\Program Files (x86)\58C680F9_cacayima
2017-03-09 15:42 - 2017-03-09 15:42 - 00000000 ____D C:\Program Files (x86)\58C12370_cacayima
2017-03-07 19:05 - 2017-03-07 19:05 - 00000000 ____D C:\Program Files (x86)\58BEB011_cacayima
Task: {9C4DCCDF-B467-47B4-8F98-FC085A68D911} - \Stobotion Adapter -> No File <==== ATTENTION
FirewallRules: [{B8C5E4CF-BE74-4259-90F4-3DD9DCE61377}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
FirewallRules: [{8314D059-C9C8-4412-A8EC-E425F1047EB3}] => (Allow) C:\Users\HP-PC\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{808DFF91-3387-4E23-A851-D719127A3C8F}] => (Allow) C:\Users\HP-PC\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{27A4CD37-6D20-427B-B5CC-9EA6FCD8D6EF}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxCommand.exe
FirewallRules: [{A4E4B79B-AF26-45D3-A9ED-D59828F91E55}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
FirewallRules: [{3B9F2A5C-EA07-4408-A132-C67977E38485}] => (Allow) C:\Program Files (x86)\Bigold\Application\chrome.exe
FirewallRules: [{9EE4D3C0-3628-4FF1-9BE5-1F61E384C841}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe
FirewallRules: [{E0AEB14D-EC5B-424F-9C47-D4D0D03682FD}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Повторите еще раз лог сканирования AdwCleaner [sx]

Изменено 5 апреля, 2017 пользователем Sandor

5 апреля, 2017

Доброго времени суток! Адварь вроде поубивал при помощи Рево, в стандартном Удалении программ просто многое не видел, а некоторые не удалялись в стандарте. Скрипт в Farbar готов направляю лог Вам во вложении.

Fixlog.txt

5 апреля, 2017

что-то ещё беспокоит?

с расшифровкой не поможем.

6 апреля, 2017

Нет спасибо, больше ничего...а куда еще можно обратиться за расшифровкой...?

6 апреля, 2017

Увы, в вирлабах инструмента пока нет. Если небольшие объемы, можете отложить до лучших времен.

На будущее - делайте резервные копии.

В завершение:

1.

Пожалуйста, запустите adwcleaner.exe
В меню File (Файл) - выберите Uninstall (Деинсталлировать).
Подтвердите удаление, нажав кнопку: Да.

Остальные утилиты лечения и папки можно просто удалить.

2. Проверьте уязвимые места.

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

6 апреля, 2017

Спасибо за помощь. ТХТ в приложении.

SecurityCheck.txt

7 апреля, 2017

------------------------------- [ Windows ] -------------------------------

Запрос на повышение прав для администраторов отключен

^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.4.5.41202 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

Прочтите и выполните Рекомендации после удаления вредоносного ПО

ransom.shade заражение компьютера файлами no_more_ransom

Рекомендуемые сообщения

Михаил55

Sandor

Михаил55

Sandor

Михаил55

Sandor

Михаил55

Roman_Five

Михаил55

Sandor

Михаил55

Sandor

Пожалуйста, войдите, чтобы комментировать

Похожий контент

Обзор

Активность

Магазин

Kaspersky Support Forum