Зашифрованы файлы на ПК

[AndreyRTN2 0]

Доброго времени суток.

 

Сегодня при загрузке компьютера было обнаружены зашифрованные файлы с расширением

"различные символы".NO_MORE_RANSOM множеством файлов README и черным экраном с оповещением о заражении.

Kaspersky Endpoint Security 10 обнаружил trojan-ransom.win32.shade

 

Заражение произошло при клике по ссылке в почте якобы от сбербанка.

 

Прошу помочь в решении проблемы

 

 

Addition.txt

FRST.txt

[regist 618]

Порядок оформления запроса о помощи
 

[AndreyRTN2 0]

Проверил систему на вирусы при помощи Kaspersky Virus Removal Tool 2015;

Данные Autologger'а прикрепил 

CollectionLog-2017.05.15-17.51.zip

[regist 618]

Не стоит вестись на подобные разводы  @Владимир Норицин,  просто мошенник, который хочет заработать на вашем горе.

@AndreyRTN2, - Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[AndreyRTN2 0]

прикрепил

Addition+FRST+Shortcut.rar

[regist 618]

1)

Java(TM) 6 Update 17 (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F83216017FF}) (Version: 6.0.170 - Sun Microsystems, Inc.)

это устаревшая - дрявая версия Java, деинсталируйте её.

 

2)

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{00b02060-f1f7-492d-a778-d4d2713fabd8}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{2967905f-ecf3-409f-8019-25b5fccfe72b}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{299d01f2-df53-4711-8286-1d450e29df33}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{32e34c63-2013-4ee9-b4fb-3bf4aa33aa25}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{38b45e1d-d9e4-40c0-bc24-d483b002c3a9}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{43ddb8b2-8cf7-4d13-af6f-d42b19b8da53}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{60940425-4085-4f11-ab34-b9dacd636f4b}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{61a955b5-06dc-4371-bae4-c228777d6d87}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{680849bc-b86d-4669-9219-ad9ac13e4ddc}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{7b7c1f93-8199-4da7-88eb-e25a222c7a15}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{85704148-a6c0-4a36-bb16-601a32bc345a}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{8867b89d-cf00-4120-ab72-2ae68678ee63}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{930e573d-7b3f-4325-b6f4-afc57d96f241}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{acad8a98-286a-420b-9fa3-02c0593917c9}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{b524799f-1122-4978-ad75-514c406b08b5}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{bf3c66ee-7d7c-43ec-a361-613096d098a0}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{c0d9e8de-0c5f-45a4-9412-095993179c52}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{c127373e-5025-4630-a5be-23c4d86ac559}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{c67f5a68-7773-45de-9ca5-2c8a0cbb9d42}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{cbb584c0-d082-4ea4-930f-1a395092c8fa}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{ce3cc09b-5e51-47fe-88e6-ca2068d12657}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{cfe33012-70f5-428e-bedc-b26bf237e21c}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{ea31ff63-b2b7-468b-b83a-585632d1f4d4}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{f421a744-f2b7-4f8b-a540-2b5ecb8c10b4}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{fb668c1b-efe4-457c-9923-e0144150e9e1}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
  CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{fd8bec61-dc98-4d29-8194-022271386a90}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_8841_1b.tmp (1C)
  HKLM\...\Run: [] => [X]
  GroupPolicyScripts: Restriction <======= ATTENTION
  2017-05-15 11:08 - 2017-05-15 11:08 - 00078848 _____ C:\Users\LTimokhova\AppData\Local\GDIPFONTCACHEV1.DAT
  2017-05-15 10:33 - 2017-05-15 10:33 - 04320054 _____ C:\Users\LTimokhova\AppData\Roaming\E0E969DEE0E969DE.bmp
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README9.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README8.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README7.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README6.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README5.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README4.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README3.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README2.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README10.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README1.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README9.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README8.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README7.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README6.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README5.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README4.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README3.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README2.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README10.txt
  2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README1.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README9.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README8.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README7.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README6.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README5.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README4.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README3.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README2.txt
  2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README10.txt
  2017-05-12 11:18 - 2017-05-15 14:43 - 00000000 __SHD C:\ProgramData\Windows
  
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.[/code]
 

Изменено 16 мая, 2017 пользователем regist

[AndreyRTN2 0]

Прикрепил Fixlog.txt

Fixlog.txt

[regist 618]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

С расшифровкой не сможем помочь.