Перейти к содержанию
Летний корпоратив «Лаборатории Касперского» 2025. Как попасть?

Поймали по почте no_more_ransom, все документы зашифровались!

Ербол Боранбаев

Автор Ербол Боранбаев
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Ербол Боранбаев Новичок

Ербол Боранбаев

Опубликовано
Опубликовано

Вирус зашифровал все документы, мультимедиа файлы, базу 1С. Пишет вот такой текст: 

 

Вашu фaйлы были зашuфpoвaны.
Чтобы pacшифровать иx, Bам нeобходuмо отnpавuть koд:
6770CD7B95ED5F4FACC8|744|6|10
на элеkmрoнный aдрeс pilotpilot088@gmail.com .
Дaлee вы пoлyчиmе вce нeoбходимыe uнстpyкциu.
Пonыmku pacшифpoвamь самоcтояmeльнo нe пpивeдym ни к чему, крoме бeзвoзвpатнoй поmepu uнфoрмации.
Ecли вы вcё же хoтuтe поnыmаmьcя, mо пpeдваpuтeльнo сделaйmе резеpвные кonиu файлoв, uнaчe в случаe
иx uзмeнения рaсшuфровка станеm нeвозможной нu прu какиx yсловuях.
Eсли вы нe полyчили oтвeта пo вышeуkазанномy aдресy в тeчeние 48 часов (и толькo в этом случае!),
воспoльзуйmeсь фopмoй oбратной связu. Это можнo cдeлamь двyмя cпоcoбaмu:
1) Сkaчайте и yстанoвumе Tor Browser nо ccылкe: https://www.torproject.org/download/download-easy.html.en
B адресной стрoке Tor Browser-a введиmе aдреc:
и нaжмите Enter. 3aгpyзuтcя cmрaница c фoрмой обpaтной связи.
2) В любом брaузеpe nepeйдumе пo однoму из aдpeсов:
 
 
All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
6770CD7B95ED5F4FACC8|744|6|10
to e-mail address pilotpilot088@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
Install it and type the following address into the address bar:
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:

http://cryptsen7fo43rr6.onion.cab/ 

 

Прошу о помощи! 

CollectionLog-2017.06.06-18.03.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Driver Booster 2.4

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
 DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
 DeleteDirectory('c:\program files (x86)\zaxar');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\Sabit\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\World of Tanks.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk

C:\Users\Public\Desktop\Mozilla Firefox.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Ссылка на комментарий
Поделиться на другие сайты
Ербол Боранбаев Новичок

Ербол Боранбаев

Опубликовано
  • Автор
Опубликовано

Здравствуйте! спасибо! высылаю файл с повторным сканированием.

ClearLNK-07.06.2017_17-48.log

ClearLNK-07.06.2017_17-49.log

CollectionLog-2017.06.07-17.53.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1. В безопасном режиме:

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2. В обычном режиме:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Ербол Боранбаев Новичок

Ербол Боранбаев

Опубликовано
  • Автор
Опубликовано

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Здравствуйте! система пере установлена, остались только скопированные, зашифрованные файлы.. есть еще шанс для восстановления?

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

система пере установлена

Это было лишнее. После этого, даже если в будущем появится дешифровка, Вы еще снизили шансы на восстановление.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • sanka
      Ваши документы, базы данных и другие файлы были зашифрованы.
      Автор sanka
      Добрый день!
       
      Просьба помочь с расшифровкой.
      Лог FRST, записка вымогателя и примеры зашифрованных файлов во вложении
      FRST.zip примеры и записка вымогателя.zip
    • Hikobana
      Взлом почты, телеграмма, Steam
      Автор Hikobana
      Началось все с того, что 17.03 я обнаружила, что средства с Steam были потрачены путем покупки через торговую площадку. Доступа к аккаунту нет ни у кого, защита не подала никаких видов. Я поменяла пароль. В то же время, я заподозрила неладное с несколькими почтами от mail. Так же нигде не сработал аунтификатор. Везде поменяла пароли. На следующий день все повторилось и так продолжалось 3 дня. Итогом стало, что я поставила новую винду с 0. Все хорошо,  вроде прекратилось, случилось то, что взломали аккаунт Телеграмм. Вчера от меня началась рассылка в Дискорде, при том, что я сама находилась в нем. Никакая защита совершенно не сработала. После дискорда, пришло уведомление на WatsApp о попытки зайти на аккаунт. 
      CollectionLog-2025.05.02-06.01.zip
    • qwerty1234
      Подозреваю, что поймал майнер.
      Автор qwerty1234
      Здравствуйте! После посещения сайтов с бесплатными играми и фильмами ноутбук стал резко вибрировать и шуметь. Любой фильм или игра сопровождаются ритмичной вибрацией, которой раньше не было. Подозреваю, что поймал майнер.
      По рекомендации из одной из недавних тем скачал Security Check by glax24. Просканировал. Прикладываю результат.
      Так как сам я в этом не Копенгаген, прошу помочь расшифровать написанное и посоветовать план действий. Заранее благодарен!!!
       
      SecurityCheck by glax24 & Severnyj v.1.4.0.58 [15.08.24]
      WebSite: www.safezone.cc
      DateLog: 09.05.2025 18:25:29
      Path starting: C:\Users\Емельян\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
      Log directory: C:\SecurityCheck\
      IsAdmin: True
      User: Emelian
      VersionXML: 13.80is-05.05.2025
      ___________________________________________________________________________
      Windows 11 Professional (x64) Версия: 24H2 (10.0.26100.3915) Язык: Russian(0419)
      Дата установки ОС: 25.11.2024 07:02:43
      Статус лицензии: Windows(R), Professional edition Постоянная активация прошла успешно.
      Режим загрузки: Normal
      Браузер по умолчанию: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
      Системный диск: 😄 ФС: [NTFS] Емкость: [475.9 Гб] Занято: [339.8 Гб] Свободно: [136.1 Гб]
      ------------------------------- [ Windows ] -------------------------------
      Контроль учётных записей пользователя включен (Уровень 3)
      Центр обеспечения безопасности (wscsvc) - Служба работает
      Удаленный реестр (RemoteRegistry) - Служба остановлена
      Обнаружение SSDP (SSDPSRV) - Служба работает
      Службы удаленных рабочих столов (TermService) - Служба остановлена
      Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
      Фоновая интеллектуальная служба передачи (BITS) (BITS) - Служба остановлена
      Оптимизация доставки (DoSvc) - Служба работает
      Служба "Безопасность Windows" (SecurityHealthService) - Служба работает
      Служба оркестратора обновлений (UsoSvc) - Служба работает
      WaaSMedicSvc (WaaSMedicSvc) - Служба остановлена
      Центр обновления Windows (wuauserv) - Служба остановлена
      ---------------------------- [ Antivirus_WMI ] ----------------------------
      Windows Defender (выключен и обновлен)
      Kaspersky Anti-Virus (включен и обновлен)
      --------------------------- [ FirewallWindows ] ---------------------------
      Брандмауэр Защитника Windows (mpssvc) - Служба работает
      ---------------------- [ AntiVirusFirewallInstall ] -----------------------
      Kaspersky Anti-Virus v.21.3.10.391
      -------------------------- [ SecurityUtilities ] --------------------------
      Kaspersky Password Manager v.25.0.0.225
      --------------------------- [ OtherUtilities ] ----------------------------
      Среда выполнения Microsoft Edge WebView2 Runtime v.136.0.3240.50
      Steam v.2.10.91.91
      Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34438 v.14.42.34438.0
      Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34438 v.14.42.34438.0
      ------------------------------- [ Backup ] --------------------------------
      Microsoft OneDrive v.25.065.0406.0002
      ---------------------------- [ ProxyAndVPNs ] -----------------------------
      PlanetVPN-2.10.30.68 v.2.10.30.68
      ------------------------------- [ Browser ] -------------------------------
      Microsoft Edge v.136.0.3240.50
      ------------------ [ AntivirusFirewallProcessServices ] -------------------
      C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avp.exe v.21.3.0.1
      Kaspersky Anti-Virus Service 21.3 (AVP21.3) - Служба работает
      C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avpui.exe v.21.3.12.434
      Microsoft Defender Core Service (MDCoreSvc) - Служба остановлена
      Microsoft Defender Antivirus Service (WinDefend) - Служба остановлена
      Microsoft Defender Antivirus Network Inspection Service (WdNisSvc) - Служба остановлена
      ----------------------------- [ End of Log ] ------------------------------
    • dampe
      поймал шифровальщик ooo4ps
      Автор dampe
      Добрый день! прошу помощи, может кто то уже смог решить эту проблему. На облачный сервер проник вирус и зашифровал файлы, БД и заблокировал битлокером диск. Прикладываю лог Elcomsoft Encrypted Disk Hunter и пример зашифрованного файла
      EEDH - 02.03.2025 13-20-38.log ВМТ.pdf.rar
    • Albert2025
      [РЕШЕНО] Поймал вирус, но не лечится стандартно
      Автор Albert2025
      Добрый день.
      Подозреваю, что сегодня с флэшки случайно запустил вирус.
      Проверки файлов на флэшке через opentip.kaspersky.com выдает результаты HEUR:Trojan.Win64.Convagent.gen и Trojan.VBS.Starter.pl
      На компьютере при этом в Диспетчере задач есть какие-то неизвестные запущенные процессы.
      Но при этом проверка KVRT и DrWeb CureIt результатов не приносит, ничего не обнаруживается.
      Боюсь, что сидит какой-нибудь шифровальщик или троян, собирающий данные (пароли и т.д.).
        Прошу помочь разобраться, что делает этот вирус и как избавиться от него, во вложении архив с флэшки, пароль virus.
      Также в директории был еще файл *.dat, но он слишком большого размера, при помещении его в архив он превышает допустимый размер.
      P.S. Также приложил логи.
      rootdir1.rar
      CollectionLog-2025.05.20-11.45.zip
×
×
  • Создать...