заражение cryted000007

[smr_magistral 0]

15 июня одним из пользователей предприятия был подхвачен вирус, который зашифровал все файлы на компьютере данного пользователя, а также папку на файловом сервере, куда был доступ у данного пользователя. На момент данного события на компьютере пользователя работал kaspersky internet security 10. Пользователь является неопытным пользователем и не может ничего сказать каким образом произошло заражение и какие действия им совершались.

Все файлы зашифрованы с расширением .crypted000007, некоторые, коих единицы с расширением .cry

На данный момент зараженный компьютер отключен совсем и никаких действий на нем не производилось, сетевая папка с зашифрованными файлами изъята из сети и находится на отдельном компьютере, который не заражен вирусами, никаких действий с данной папкой не производилось.

Большая просьба помочь с расшифровкой данных, выслать описание и последовательность действия для решения данной проблемы.

Заранее спасибо

[thyrex 1 411]

Порядок оформления запроса о помощи

[smr_magistral 0]

Машина была в домене, соответственно поставить KVRT.exe проблема с установкой под правами пользователя, нет прав.

Установил под правами админитсратора, проверил, вирусов не нашла.

Изменено 19 июня, 2017 пользователем smr_magistral

[thyrex 1 411]

Читайте правила. Нам нужны логи Autologger

[smr_magistral 0]

Лог

CollectionLog-2017.06.19-10.09.zip

[thyrex 1 411]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[smr_magistral 0]

1

FRST.zip

[thyrex 1 411]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Run: [] => [X]
2017-06-15 07:08 - 2017-06-15 07:08 - 06220854 _____ C:\Users\PTO1.TRANSPORT-SMR\AppData\Roaming\4CA84E8B4CA84E8B.bmp
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README9.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README8.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README7.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README6.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README5.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README4.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README3.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README2.txt
2017-06-15 07:08 - 2017-06-15 07:08 - 00004154 _____ C:\Users\PTO1.TRANSPORT-SMR\Desktop\README10.txt
2017-06-14 13:45 - 2017-06-15 07:18 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-06-14 13:45 - 2017-06-15 07:18 - 00000000 __SHD C:\ProgramData\Windows
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[smr_magistral 0]

+

Fixlog.txt

[thyrex 1 411]

Мусор почистили.

 

С расшифровкой помочь не сможем.