ransom.shade crypted000007

[Aforism]

Добрый день! Подхватил вирус после перехода по ссылке с почты. Дата начала заражения 23.05.2017

CollectionLog-2017.05.24-22.21.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\Users\Маркачева Ольга\appdata\local\temp\a86b5c6747183b1c9bbb4181c53f302d.dll', '');
 QuarantineFileF('QuarantineFile('C:\ProgramData\Windows\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFileMask('QuarantineFile('C:\ProgramData\Windows\', '*', true);
 DeleteDirectory('QuarantineFile('C:\ProgramData\Windows\');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\Users\Маркачева Ольга\appdata\local\temp\a86b5c6747183b1c9bbb4181c53f302d.dll', '32');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem', 'command');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.


 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Изменено 24 мая, 2017 пользователем regist

[Aforism]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В следующих файлах обнаружен вредоносный код:
csrss.exe - Trojan-Ransom.Win32.Shade.nem

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700
http://www.kaspersky.com http://www.viruslist.com"

--------------------------------------------------------------------------------

 

[KLAN-6299761835]

Addition.txt

FRST.txt

Shortcut.txt

[regist]

1)

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

не сделали.

 

2)

DriverPack Notifier (HKLM-x32\...\DriverPack Notifier) (Version: 2.0.3 - DriverPack Solution)
SpyHunter 4 (HKLM-x32\...\SpyHunter) (Version: 4.26.12.4815 - Enigma Software Group, LLC)

Деинсталируйте.
 

3)

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
  2017-05-23 15:26 - 2017-05-23 22:26 - 00000000 __SHD C:\ProgramData\services
  2017-05-23 15:26 - 2017-05-23 22:26 - 00000000 __SHD C:\ProgramData\Csrss
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README9.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README8.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README7.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README6.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README5.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README4.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README3.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README2.txt
  2017-05-23 15:25 - 2017-05-23 15:25 - 00004186 _____ C:\Users\Маркачева Ольга\Desktop\README10.txt
  2017-05-23 13:16 - 2017-05-25 21:16 - 00000000 __SHD C:\ProgramData\Windows
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.[/code]
 

[Aforism]

1. Простите, загрузил.

2.сделано

3. прикрепил

Спасибо!

Fixlog.txt

[regist]

C расшифровкой помочь не сможем. Можете попробовать восстановить файлы из резервных копий ShadowExplorer.

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

[Aforism]

Добрый день!

 

Видел что появились расшифровщики под этот вирус, подскажите, пожалуйста, можно ли сейчас расшифровать мои файлы?

[Sandor]

Видел что появились расшифровщики под этот вирус

Где видели? Если речь идет о платных посредниках - это не новость.

[Aforism]

 

Видел что появились расшифровщики под этот вирус

Где видели? Если речь идет о платных посредниках - это не новость.

 

https://www.nomoreransom.org/вот тут начал определяться как crypt v1, раньше не определял и не предлагал дешифровку, но скачиваемый дешифратор пишет о не совпадении размера файла. Думал я что-то делаю неправильно Так же заметил что там многие дещифраторы обновились, может какой-нибудь из них подходит и я просто не то скачиваю..

[Sandor]

просто не то скачиваю

Да, но, увы, "Ваш" называется Shade и для этой версии пока расшифровки нет.

[Aforism]

Тогда жду дальше. Спасибо!

[regist]

Тут по сути расшифровка появится в одном из двух вариантов.

Или автор сам по доброте душевной сольёт ключи в паблик или полиция его наконец поймёт и сама изымет ключи необходимые для дешифровки. Так что советую писать заявлению в полицию.

[Анна Трошина]

Здравствуйте, получила вирус по почте от адреса abramova.mirra@list.ru, все файлы стали с расширением crypted000007, подскажите есть ли возможность их расшифровать?

[Sandor]

Здравствуйте!

 

Перечитайте эту тему и найдете ответ на вопрос.

Если нужна помощь в очистке возможных остатков вымогателя, создайте отдельную тему и выполните Порядок оформления запроса о помощи