Перейти к содержанию

Зашифрованы файлы на ПК

AndreyRTN2
 Поделиться

Рекомендуемые сообщения

AndreyRTN2

AndreyRTN2

Опубликовано
Опубликовано

Доброго времени суток.

 

Сегодня при загрузке компьютера было обнаружены зашифрованные файлы с расширением

"различные символы".NO_MORE_RANSOM множеством файлов README и черным экраном с оповещением о заражении.

Kaspersky Endpoint Security 10 обнаружил trojan-ransom.win32.shade

 

Заражение произошло при клике по ссылке в почте якобы от сбербанка.

 

Прошу помочь в решении проблемы

 

 

Addition.txt

FRST.txt

regist

regist

Опубликовано
Опубликовано

Не стоит вестись на подобные разводы  @Владимир Норицин,  просто мошенник, который хочет заработать на вашем горе.


@AndreyRTN2, - Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

  • Согласен 2
regist

regist

Опубликовано
Опубликовано (изменено)

1) 

Java(TM) 6 Update 17 (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F83216017FF}) (Version: 6.0.170 - Sun Microsystems, Inc.)
это устаревшая - дрявая версия Java, деинсталируйте её.

 

2)

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{00b02060-f1f7-492d-a778-d4d2713fabd8}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{2967905f-ecf3-409f-8019-25b5fccfe72b}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{299d01f2-df53-4711-8286-1d450e29df33}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{32e34c63-2013-4ee9-b4fb-3bf4aa33aa25}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{38b45e1d-d9e4-40c0-bc24-d483b002c3a9}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{43ddb8b2-8cf7-4d13-af6f-d42b19b8da53}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{60940425-4085-4f11-ab34-b9dacd636f4b}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{61a955b5-06dc-4371-bae4-c228777d6d87}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{680849bc-b86d-4669-9219-ad9ac13e4ddc}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{7b7c1f93-8199-4da7-88eb-e25a222c7a15}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{85704148-a6c0-4a36-bb16-601a32bc345a}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{8867b89d-cf00-4120-ab72-2ae68678ee63}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{930e573d-7b3f-4325-b6f4-afc57d96f241}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{acad8a98-286a-420b-9fa3-02c0593917c9}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{b524799f-1122-4978-ad75-514c406b08b5}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{bf3c66ee-7d7c-43ec-a361-613096d098a0}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{c0d9e8de-0c5f-45a4-9412-095993179c52}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{c127373e-5025-4630-a5be-23c4d86ac559}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_CBD8_12.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{c67f5a68-7773-45de-9ca5-2c8a0cbb9d42}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{cbb584c0-d082-4ea4-930f-1a395092c8fa}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{ce3cc09b-5e51-47fe-88e6-ca2068d12657}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_142E_244.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{cfe33012-70f5-428e-bedc-b26bf237e21c}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{ea31ff63-b2b7-468b-b83a-585632d1f4d4}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_C5CD_ae5.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{f421a744-f2b7-4f8b-a540-2b5ecb8c10b4}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_DE9E_72a.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{fb668c1b-efe4-457c-9923-e0144150e9e1}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_EE08_13.tmp => No File
CustomCLSID: HKU\S-1-5-21-1040301456-1904099632-1767306143-1134_Classes\CLSID\{fd8bec61-dc98-4d29-8194-022271386a90}\InprocServer32 -> C:\Users\LTimokhova\AppData\Local\Temp\v8_8841_1b.tmp (1C)
HKLM\...\Run: [] => [X]
GroupPolicyScripts: Restriction <======= ATTENTION
2017-05-15 11:08 - 2017-05-15 11:08 - 00078848 _____ C:\Users\LTimokhova\AppData\Local\GDIPFONTCACHEV1.DAT
2017-05-15 10:33 - 2017-05-15 10:33 - 04320054 _____ C:\Users\LTimokhova\AppData\Roaming\E0E969DEE0E969DE.bmp
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README9.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README8.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README7.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README6.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README5.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README4.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README3.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README2.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README10.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\Public\Desktop\README1.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README9.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README8.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README7.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README6.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README5.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README4.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README3.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README2.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README10.txt
2017-05-15 10:33 - 2017-05-15 10:33 - 00004162 _____ C:\Users\LTimokhova\Desktop\README1.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README9.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README8.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README7.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README6.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README5.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README4.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README3.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README2.txt
2017-05-12 11:19 - 2017-05-12 11:19 - 00004162 _____ C:\README10.txt
2017-05-12 11:18 - 2017-05-15 14:43 - 00000000 __SHD C:\ProgramData\Windows

Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.[/code]
 

Изменено пользователем regist
regist

regist

Опубликовано
Опубликовано

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

С расшифровкой не сможем помочь.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Светлана123
      Вирус шифровальщик
      Автор Светлана123
      Прошу помочь в расшифровке файлов
      CollectionLog-2017.05.13-11.47.zip
    • metrolog_181
      Зашифровал все crypted000007
      Автор metrolog_181
      Добрый день! Нарвался на вирус скачав письмо с почты. Вирус зашифровал все фото, видео, музыку, текстовые документы
      CollectionLog-2017.05.02-10.06.zip
    • 500razlamer
      ShadeDecryptor оказался бесполезен
      Автор 500razlamer
      Зашифрованные файлы, видео, аудио и изображения) с расширением .xtbl лежат уже давно. Файл README1.txt также был сохранен. К сожалению, ShadeDecryptor оказался бесполезен, т.к. не смог найти ключ для расшифровки. Чем-то можно помочь?
       
      11:40:01.0742 0x0444  Trojan-Ransom.Win32.Shade decryptor tool 1.1.0.2 Jun  8 2016 16:43:09
      ...
      11:40:02.0102 0x0444  ============================================================
      11:40:02.0149 0x0444  Initialize success
      11:40:59.0383 0x1778  Using ID 7A9AF0405A282593E45E from the ransom note: D:\backRender\README1.txt
      11:41:11.0037 0x1778  No keys found for the file: D:\backRender\MediaTemp\Pinnacle\materials\music\po2VeceO5L3dB58-DhbxSQ==.xtbl
      11:41:16.0723 0x1778  Cannot initialize decryptor on the file: D:\backRender\MediaTemp\Pinnacle\materials\music\po2VeceO5L3dB58-DhbxSQ==.xtbl
       
      ------------------------------------------------------------------------------
      Логи, требуемые правилами создания запроса, прилагаются.
      CollectionLog-2017.05.11-10.00.zip
    • Max0n
      шифровальщик no_more_ransom
      Автор Max0n
      Добрый день !
       
      Пришло письмо с адреса ignatov.s@sberbank.ru с ссылкой http://www.sberbank.ru/downloads/individual/170-2017-05/id465865gte1703623465... (фактический переход на http://luxceram.ru/smartoptimizer/cache/schet_sber.html). По ссылке скачался архив Documents.zip в нем был файл ....xls.js 
      После запуска файла вирус начал переименовывать файлы по следующему образцу: 
      XZNlDpV-eR0OoJs5+nLELydHtSzvsQha21etC6sjeRzVzqAlDdD0onmpinoeHaSt.7CE2FFF06AF5177487E9.no_more_ransom
       
      Процесс был прерван, но часть файлов вирус успел переименовать. 
      Компьютер был проверен KVRT (уничтожено 10 угроз) и после KAV (ничего не обнаружено).  
       
      Во вложении архив с зашифрованными файлами и логи проверки AutoLogger
       
      Возможно ли восстановить зашифрованные файлы ? 
      CollectionLog-2017.05.12-12.42.zip
      зашифрованные файлы.zip
    • AlexStorm
      шифровальщик Troldesh / Shade с расширением *.crypted000007
      Автор AlexStorm
      Здравствуйте, поймали вирус шифровальщик. Сам вирус удалили с помощью Kaspersky Virus Removal Tool.
       
      Большинство файлов зашифровались. Имена изменились на набор букв-цифр-символов и расширение стало *.crypted000007.
       
      Помогите расшифровать эти файлы. Что Вам для этого необходимо? Высылаю зашифрованный файл, его оригинал (хорошо я точно знаю, что это он) и файл Readme.txt, который появился на диске после работы вируса.

       

      Добавляю файл отчет.
      1.rar
      CollectionLog-2017.05.11-11.40.zip
×
×
  • Создать...