ransom.shade Зашифрованы файлы

[leonbold]

Все файлы на компьютере зашифрованы.

Школьный компьютер администрации, что запускали не знаю. На рабочем столе появилась надпись, что все файлы зашифрованы вся информация в файле README...

Был становлен Доктор Веб с просроченным ключом, удалил программу. Установил Kaspersky Internet Security, проверил, антивирус нашел Троян.Win32.Bazon.a, удалил. Как восстановить файлы?

CollectionLog-2017.06.16-12.09.zip

CollectionLog-2017.06.16-12.09.zip

[regist]

 
Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

вся информация в файле README

прикрепите его.
 

Амиго [20161116]-->"C:\Users\1\AppData\Local\Amigo\Application\54.0.2840.191\Installer\setup.exe" --uninstall
Кнопка "Яндекс" на панели задач [2016/10/20 12:20:05]-->C:\Users\1\AppData\Local\Yandex\YaPin\YandexWorking.exe --uninstall --nopinned
Служба автоматического обновления программ [2017/04/17 08:32:45]-->C:\Users\1\AppData\Local\Mail.Ru\MailRuUpdater.exe uninstall
Элементы Яндекса 8.0 для Internet Explorer [20150605]-->MsiExec.exe /X{B5297729-686B-4C41-A7FD-D6FC11271886}

советую деинсталировать.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
BC_ImportALL;
ExecuteSysClean;
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

"Пофиксите" в HijackThis:

O20 - Winlogon Notify: itcwlnp -  (file missing)

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[leonbold]

Файл

[KLAN-6411641636]
Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

README1.txt

[regist]

А где всё остальное?

[leonbold]

какие еще?

CollectionLog-2017.06.16-14.44.zip

[regist]

 

 

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

это не сделали.

[leonbold]

Результаты проверки онлайн-сервисом VirusDetector »

http://virusinfo.info/virusdetector/report.php?md5=03F736EA6E6112585277CF85EA73DBE9

https://virusinfo.info/virusdetector/report.php?md5=03F736EA6E6112585277CF85EA73DBE9

[regist]

+

Unity Web Player [2017/01/18 13:00:41]-->C:\Users\1\AppData\Local\Unity\WebPlayer\Uninstall.exe /CurrentUser

Если сами не ставили, то тоже деинсталируйте.
 

7-Zip 9.32 [20140316]-->MsiExec.exe /I{23170F69-40C1-2701-0932-000001000000}

Надо бы обновить.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[leonbold]

Файлы

Addition.txt

FRST.txt

Shortcut.txt

[regist]

CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\gojnmemgacliifihcagijaadgpeioooa [2016-12-07]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\odijcgafkhpobjlnfdgiacpdenpmbgme [2016-12-09]
CHR Extension: (Mail.Ru) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\phkdcinmmljblpnkohlipaiodlonpinf [2016-12-07]
CHR Extension: (Пульс) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\pmpoaahleccaibbhfjfimigepmfmmbbk [2017-06-06]

Эти расширения как понимаю сами не ставили?

[leonbold]

Точно не могу сказать, удалил

[regist]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  GroupPolicy: Restriction ? <======= ATTENTION
  GroupPolicy\User: Restriction ? <======= ATTENTION
  CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\gojnmemgacliifihcagijaadgpeioooa [2016-12-07]
  CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\odijcgafkhpobjlnfdgiacpdenpmbgme [2016-12-09]
  CHR Extension: (Mail.Ru) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\phkdcinmmljblpnkohlipaiodlonpinf [2016-12-07]
  CHR Extension: (Пульс) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\pmpoaahleccaibbhfjfimigepmfmmbbk [2017-06-06]
  CHR HKLM\...\Chrome\Extension: [gojnmemgacliifihcagijaadgpeioooa] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
  2017-06-16 08:25 - 2017-06-16 10:51 - 00000000 __SHD C:\ProgramData\services
  2017-06-16 08:25 - 2017-06-16 09:43 - 00000000 __SHD C:\ProgramData\Csrss
  2017-06-16 08:25 - 2017-06-16 08:25 - 03148854 _____ C:\Users\1\AppData\Roaming\845284BF845284BF.bmp
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README9.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README8.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README6.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README5.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README3.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README10.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\Public\Desktop\README1.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README9.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README8.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README7.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README4.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README3.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README2.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README10.txt
  2017-06-16 08:25 - 2017-06-16 08:25 - 00004170 _____ C:\Users\1\Desktop\README1.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README9.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README8.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README7.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README6.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README5.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README4.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README3.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README2.txt
  2017-06-16 08:11 - 2017-06-16 08:11 - 00004170 _____ C:\README10.txt
  2017-06-15 13:36 - 2017-06-16 09:55 - 00000000 __SHD C:\ProgramData\Windows
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

[leonbold]

Файл

Fixlog.txt

[regist]

Раз восстановление системы было включено, то можете, попробовать восстановить файлы из теневых копий.
 

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.
Но с расшифровкой скорее всего не помогут.

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.