Перейти к содержанию

криптовирус win32.scarsi.ahin зашифровал данные

Михаил Ищенко
 Share

Рекомендуемые сообщения

Михаил Ищенко Новичок

Михаил Ищенко

Опубликовано
Опубликовано (изменено)

Доброго времени суток, уважаемые эксперты!

 

у нас случилось заражение криптовирусом. по почте вечером в суботу пришло какое-то письмо с заархивированным вложением, а на другое утро вся информация, включая даже фотографии была зашифрована.

при этом в каждой папке присутствует следующее текстовое сообщение:

 

"ATTENTION!
All your files are encrypted with cryptographically strong algorithm, and without original decryption key recovery is impossible.
To get your unique key and decode files, you need to write us at email written below during 72 hours, otherwise your files will be destroyed forever!
redman333@bigmir.net
redman333@bigmir.net
RESERVE MAIL:
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch"

 

провел полную проверку с помощью Kaspersky Virus Removal Tool 2015

и обнаружил 3 вируса win32.scarsi.ahin

 

потом установил Kaspersky Secure Connection  и просканировал им  - угроз не обнаружено.

 

но зашифрованные файлы (практи чески все  и 1с бухгалтерия в том числе) так и остались зашифрованными

нигде не могу найти под этот вирус дескриптор. искал везде где только можно и на сайте касперского тоже.

прошу помочь раскодировать данные. очень важно раскодировать 1с чтобы сохранить базы.

и спасти большой семейный фотоархив

 

ду Вашей помощи логи прилагаю.

с уважением.М. Мариничев

 

 

 

 

 

 

Изменено пользователем Михаил Ищенко
Ссылка на комментарий
Поделиться на другие сайты
Михаил Ищенко Новичок

Михаил Ищенко

Опубликовано
  • Автор
Опубликовано

а конкретнее можно указать по Вашему мнению у меня не соответствует порядку оформления?!

Ссылка на комментарий
Поделиться на другие сайты
Михаил Ищенко Новичок

Михаил Ищенко

Опубликовано
  • Автор
Опубликовано

Доброго времени суток, уважаемые эксперты!

 

у нас случилось заражение криптовирусом. по почте вечером в суботу пришло какое-то письмо с заархивированным вложением, а на другое утро вся информация, включая даже фотографии была зашифрована.

при этом в каждой папке присутствует следующее текстовое сообщение:

 

"ATTENTION!

All your files are encrypted with cryptographically strong algorithm, and without original decryption key recovery is impossible.

To get your unique key and decode files, you need to write us at email written below during 72 hours, otherwise your files will be destroyed forever!

redman333@bigmir.net

redman333@bigmir.net

RESERVE MAIL:

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch"

 

провел полную проверку с помощью Kaspersky Virus Removal Tool 2015

и обнаружил 3 вируса win32.scarsi.ahin

 

потом установил Kaspersky Secure Connection  и просканировал им  - угроз не обнаружено.

 

но зашифрованные файлы (практи чески все  и 1с бухгалтерия в том числе) так и остались зашифрованными

нигде не могу найти под этот вирус дескриптор. искал везде где только можно и на сайте касперского тоже.

прошу помочь раскодировать данные. очень важно раскодировать 1с чтобы сохранить базы.

и спасти большой семейный фотоархив

 

ду Вашей помощи логи прилагаю.

с уважением.М. Мариничев

CollectionLog-2017.07.10-14.58.zip

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 QuarantineFile('C:\Documents and Settings\МИХАИЛ\Главное меню\Программы\Автозагрузка\zwveyzrmth.vbs','');
 DeleteFile('C:\Documents and Settings\МИХАИЛ\Главное меню\Программы\Автозагрузка\zwveyzrmth.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(13);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
Toolbar: HKU\S-1-5-21-527237240-682003330-839522115-1004 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-527237240-682003330-839522115-1004 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF SearchPlugin: C:\Documents and Settings\МИХАИЛ\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\README.txt [2017-07-09]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\kdadialhpiikehpdeejjeiikopddkjem [2015-04-23]
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\leenkjhmbcgekojlkimcbodmniopgfnp [2016-08-01]
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-10-28]
2017-07-09 10:48 - 2017-07-09 10:48 - 00000512 _____ C:\Documents and Settings\МИХАИЛ\Local Settings\Application Data\README.txt
2017-07-09 10:10 - 2017-07-09 10:10 - 00000512 _____ C:\Documents and Settings\МИХАИЛ\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Application Data\README.txt
2017-07-09 16:54 - 2015-04-23 08:53 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Tencent
2017-07-09 16:54 - 2015-04-23 08:44 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Baidu
2017-07-09 10:10 - 2017-07-09 10:10 - 0000512 _____ () C:\Documents and Settings\МИХАИЛ\Application Data\README.txt
2017-07-09 10:48 - 2017-07-09 10:48 - 0000512 _____ () C:\Documents and Settings\МИХАИЛ\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 0000512 _____ () C:\Documents and Settings\All Users\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 0000512 _____ () C:\Documents and Settings\All Users\Application Data\README.txt
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...