Перейти к содержанию

шифровальщик с расширением crypted000007 от Novikov.Vavila@gmail.com

Shikovets
 Share

Рекомендуемые сообщения

Shikovets Новичок

Shikovets

Опубликовано
Опубликовано (изменено)

Словили шифровальщик при открытии почтового сообщения, как я понял. ОС Windows XP. Саму систему пролечил по инструкции.

Содержимое файла Readme:

Вaшu фaйлы были зaшuфрoвaны.
Чmобы paсшuфровaть иx, Bам нeoбходuмо omправить koд:
C86F2A3E7E42C25794DC|818|6|2
нa элекmрoнный адpec Novikov.Vavila@gmail.com .
Далеe вы пoлyчите всe нeoбxодuмыe инcтрykции.
Попыткu расшифровamь cамoстoяmeльно не пpивeдym нu k чeму, kpоме безвoзвpamнoй пomери инфopмацuи.
Eсли вы всё же xотuте пoпытаться, то nредваритeльно cделайтe рeзepвные копuu файлов, инaчe в слyчaе
иx uзмeнeния paсшuфpовkа сmанеm нeвозмoжной нu пpu какиx услoвuях.
Eсли вы не nолучuли отвeта nо вышeуkазанномy адреcy в mечeниe 48 чаcoв (и mольkо в эmoм cлyчae!),
восnoльзуйmeсь фоpмой oбрaтнoй cвязи. Это можно cдeлamь двyмя cnособамu:
1) Ckачaйmе u yстанoвиme Tor Browser по cсылke: https://www.torproject.org/download/download-easy.html.en
В адрeсной cmроke Tor Browser-а введиme адpeс:
http://cryptsen7fo43rr6.onion/
u нажмumе Enter. 3агpyзитcя cтpанuцa c фоpмой oбpатнoй cвязи.
2) В любoм бpаyзерe nерeйдите nо одному из aдресов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

Лог файл прикреплен.

CollectionLog-2017.08.04-11.54.zip

Изменено пользователем Shikovets
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\WINDOWS\system32\hfpapi.dll','');
 DelBHO('{FB4F6285-4C32-49F2-950F-A5998F9CEC6C}');
 DeleteService('TS888');
 DeleteService('QMUdisk');
 DeleteService('BDAntiExp');
 DeleteService('BDEnhanceBoost');
 SetServiceStart('bd0003', 4);
 SetServiceStart('BDArKit', 4);
 SetServiceStart('BDMNetMon', 4);
 DeleteService('BDMNetMon');
 DeleteService('BDArKit');
 DeleteService('bd0003');
 DeleteService('ServiceUpdater');
 DeleteService('NetHttpService');
 DeleteService('BlockAndSurf');
 SetServiceStart('QiyiService', 4);
 DeleteService('QiyiService');
 SetServiceStart('BaiduHips', 4);
 DeleteService('BaiduHips');
 TerminateProcessByName('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe');
 TerminateProcessByName('c:\program files\iqiyi video\lstyle\5.3.21.2676\mdnsresponder.exe');
 TerminateProcessByName('c:\program files\iqiyi video\lstyle\5.3.21.2676\qiyiservice.exe');
 DeleteFile('c:\program files\iqiyi video\lstyle\5.3.21.2676\mdnsresponder.exe','32');
 DeleteFile('c:\program files\iqiyi video\lstyle\5.3.21.2676\qiyiservice.exe','32');
 DeleteFile('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDKitUtils.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMAVCached.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMAVEng.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMPerfMon.dll','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDMNetMon.sys','32');
 DeleteFile('C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\mDNSResponder.exe','32');
 DeleteFile('C:\WINDOWS\system32\netupdsrv.exe','32');
 DeleteFile('C:\WINDOWS\system32\nethtsrv.exe','32');
 DeleteFile('C:\Program Files\version62BlockAndSurf\L8so192.exe','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDEnhanceBoost.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDAntiExp.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QMUdisk.sys','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','QQPCTray');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QQPCTray.exe','32');
 DeleteFile('C:\Program Files\V-bates\notifier.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','V-bates');
 DeleteFile('C:\PROGRA~1\SearchProtect\SearchProtect\bin\VC32Loader.dll','32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\couponriser\couponriser_stb.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\couponriser','command');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\couponriser\config.json','32');
 DeleteFile('C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\Accelerator\IEHelper.dll','32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf_wd.job','32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf Update.job','32');
 DeleteFile('C:\WINDOWS\Tasks\FF Watcher {54B52EE9-2DD7-4519-BE52-3AC9E6475C49}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\FF Watcher {FA5DC8DB-CB2B-428D-89BD-F7B6D231708A}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\sipficd.job','32');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Mozilla\brbnpsl.exe','32');
 DeleteFile('C:\WINDOWS\system32\hfpapi.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

Ссылка на комментарий
Поделиться на другие сайты
Shikovets Новичок

Shikovets

Опубликовано
  • Автор
Опубликовано

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
hfpapi.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ
(чуть позже выложу автолог)


логи

CollectionLog-2017.08.04-15.05.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Расширения

Ultimate Discounter

Stop Banner

couponriser

удалите в Опера.

 

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Run: [V-bates] => C:\Program Files\V-bates\notifier.exe
HKLM\...\Run: [ QQPCTray] => "C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QQPCTray.exe"  /regrun
HKU\S-1-5-18\...\RunOnce: [Del2507453] => cmd.exe /Q /D /c del "C:\WINDOWS\TEMP\0.del" <==== ATTENTION
CHR HKU\S-1-5-21-1078081533-879983540-682003330-500\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-1078081533-879983540-682003330-500\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text={searchTerms}
HKU\S-1-5-21-1078081533-879983540-682003330-500\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://1homepage.biz/?company=5
SearchScopes: HKU\S-1-5-21-1078081533-879983540-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1078081533-879983540-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text=
DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text= <==== ATTENTION
FF HKLM\...\Firefox\Extensions: [{21EAF666-26B3-4a3c-ABD0-CA2F5A326744}] - C:\Program Files\V-bates\Firefox => not found
FF HKLM\...\Firefox\Extensions: [ext@RichMediaViewV1release5153.net] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release5153\ff => not found
FF HKU\S-1-5-21-1078081533-879983540-682003330-500\...\Firefox\Extensions: [{C5F219F3-EE65-3E45-0EBA-476EDEF71A22}] - C:\Program Files\version62BlockAndSurf\192.xpi
FF Extension: (BlockAndSurf) - C:\Program Files\version62BlockAndSurf\192.xpi [2015-05-28] [not signed]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [clpdgmdkdnijjbgmnajolnbnjejoeogm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fopefgobkmblbipkdebgnnlclchlakom] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
CHR HKLM\...\Chrome\Extension: [jaeahnnfohikjnejpokeaaiinijhpfop] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [kocacaifmbbacomgplgohlknmfiihnbm] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release5153\ch\RichMediaViewV1release5153.crx <not found>
CHR HKLM\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [njabjmhinndphfnbjehdalkphpdmepli] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [nonodemgnpfmmhbnkecpjjdkfmaifoni] - C:\Program Files\Adobe Flash Players 10.0\adobeflashplayer-sk.crx <not found>
CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
R2 BDKVRTP; C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe [443432 2014-07-21] (百度在线网络技术（北京）有限公司)
S2 BaiduHips; C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduHips.exe [X]
R1 bd0001; C:\WINDOWS\System32\DRIVERS\bd0001.sys [70984 2014-09-17] (Baidu)
R1 bd0002; C:\WINDOWS\System32\DRIVERS\bd0002.sys [196424 2014-09-17] (Baidu)
R1 bd0003; C:\WINDOWS\System32\DRIVERS\bd0003.sys [55752 2014-07-21] (Baidu)
R2 BDArKit; C:\WINDOWS\System32\DRIVERS\BDArKit.sys [90440 2014-07-21] (BaiduTechnology)
R2 BDDefense; C:\WINDOWS\System32\drivers\BDDefense.sys [123720 2014-09-23] (Baidu)
2017-08-04 11:41 - 2017-08-04 11:41 - 000000211 _____ C:\Documents and Settings\Admin\Рабочий стол\Искать в Интернете.url
2017-07-25 13:02 - 2017-07-25 13:02 - 006220854 _____ C:\Documents and Settings\Admin\Application Data\2995A01B2995A01B.bmp
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README9.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README8.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README7.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README6.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README5.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README4.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README3.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README2.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README10.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README1.txt
2017-07-24 17:48 - 2017-07-25 13:02 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README9.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README8.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README7.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README6.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README5.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README4.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README3.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README2.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README10.txt
2017-07-24 17:37 - 2017-08-01 14:48 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{039B2CA5-3B41-4D93-AD77-47D3293FC5CB}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.25.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{1423F872-3F7F-4E57-B621-8B1A9D49B448}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.27.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{2614C37E-2C78-4bfb-B7A6-E49B62B9CD9B}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.23.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{42481700-CF3C-4D05-8EC6-F9A1C57E8DC0}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{590C4387-5EBD-4D46-8A84-CD0BA2EF2856}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.30.3\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{5C8C2A98-6133-4EBA-BBCC-34D9EA01FC2E}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.1\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{793EE463-1304-471C-ADF1-68C2FFB01247}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.29.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.24.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29162}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Orbitum\Application\43.0.2357.174\delegate_execute.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A45426FB-E444-42B2-AA56-419F8FBEEC61}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.22.3\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A54D478D-4F70-4F72-9A74-17C9986E35AB}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.21.165\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{BB6410D8-F879-4184-9C5C-6A02D16AE0B3}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{C3BC25C0-FCD3-4F01-AFDD-41373F017C9A}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.26.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{CA1073A2-5F3F-4445-8E5E-7109BDCEDDBE}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{CC182BE1-84CE-4A57-B85C-FD4BBDF78CB2}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.29.2\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.25.11\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D0D38C6E-BF64-4C42-840D-3E0019D9F7A6}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D236C998-BECE-472D-B939-541727B72AEF}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D5A55D2D-C59D-42C3-A5BF-4C08EEE74339}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{EB06378B-ABB6-4B3C-9B40-D488DD8A6E93}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.22.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{FB994D36-B312-46CE-A40B-CF63980641F9}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.21.111\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.24.7\psuser.dll => No File
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:AAF237E7 [113]
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^hipl.lnk => C:\WINDOWS\pss\hipl.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^IMVU.lnk => C:\WINDOWS\pss\IMVU.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^OrbitumUpdate.lnk => C:\WINDOWS\pss\OrbitumUpdate.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^爱奇艺PPS.lnk => C:\WINDOWS\pss\爱奇艺PPS.lnkStartup
MSCONFIG\startupreg: couponriser => 
MSCONFIG\startupreg: QyClient => "C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\QyClient.exe" autostart
DomainProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduSd.txt] => Enabled:百度杀毒安装程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe] => Enabled:百度杀毒服务程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSd.exe] => Enabled:百度杀毒主程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdTray.exe] => Enabled:百度杀毒托盘程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdUpdate.exe] => Enabled:百度杀毒更新程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdBugRpt.exe] => Enabled:百度杀毒BUG上报程序
DomainProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduAn.txt] => Enabled:百度卫士安装程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe] => Enabled:百度卫士服务程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAn.exe] => Enabled:百度卫士主程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe] => Enabled:百度卫士托盘程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnUpdate.exe] => Enabled:百度卫士更新程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnBugRpt.exe] => Enabled:百度卫士BUG上报程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\107\bddownloader.exe] => Enabled:百度高速下载器
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\Tencentdl.exe] => Enabled:腾讯产品下载组件
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\bugreport_xf.exe] => Enabled:腾讯产品下载组件Crash上报
DomainProfile\AuthorizedApplications: [C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QMAccountProtection.exe] => Enabled:????-???
StandardProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduSd.txt] => Enabled:百度杀毒安装程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe] => Enabled:百度杀毒服务程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSd.exe] => Enabled:百度杀毒主程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdTray.exe] => Enabled:百度杀毒托盘程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdUpdate.exe] => Enabled:百度杀毒更新程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdBugRpt.exe] => Enabled:百度杀毒BUG上报程序
StandardProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduAn.txt] => Enabled:百度卫士安装程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe] => Enabled:百度卫士服务程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAn.exe] => Enabled:百度卫士主程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe] => Enabled:百度卫士托盘程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnUpdate.exe] => Enabled:百度卫士更新程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnBugRpt.exe] => Enabled:百度卫士BUG上报程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\107\bddownloader.exe] => Enabled:百度高速下载器
StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
StandardProfile\AuthorizedApplications: [C:\Documents and Settings\Admin\Local Settings\Application Data\MediaGet2\mediaget.exe] => Enabled:MediaGet
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Shikovets Новичок

Shikovets

Опубликовано
  • Автор
Опубликовано
Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

 

ссылка не работает скачал с оф сайта версию 6.047 (7 версия на хр не хочет запускаться)

 

AdwCleanerS0.txt

Ссылка на комментарий
Поделиться на другие сайты
Shikovets Новичок

Shikovets

Опубликовано
  • Автор
Опубликовано

0_o т.е. это не исправить? зачем мы тогда это делали?))) проще было полное форматирование сделать) а так получил вылеченную винду и кучу потерянной информации((

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Всегда умиляли пострадавшие, которые в названии раздела видят слово "расшифровка". Наша первоочередная задача - избавить пользователей от следов вирусов, как активных, так и неактивных. В тех случаях, когда расшифровка возможна, ее предоставляют

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • tom1
      Шифровальщик с расширением .wtch
      От tom1
      Здравствуйте.
      Поймали шифровальщик, зашифровал файлы с расширением .wtch. После чего произошло, сказать затрудняюсь (возможно, был получен удаленный доступ к компьютеру, был найден на компьютере advanced port scanner). Помогите, пожалуйста, если есть возможность. Отчеты Farbar и зашифрованные файлы прикладываю. Злоумышленники требуют писать им на почту DecryptData@skiff.com.
      Файл самого шифровальщика обнаружен, готов предоставить.
      Addition.txt FRST.txt файлы.zip
    • Дмитрий Борисович
      Шифровальщик с расширением LOQ
      От Дмитрий Борисович
      Приветствую!
      8 декабря, примерно в 20 часов была замечена активность шифровальщика.
      Выявлено шифрование файлов на всех активных компьютерах сети.
      Зашифрованные файлы с расширением - .loq
      В корне диска C:\ найден файл с раширением .txt следующего содержания:
       
      All Your Files Are Locked And Important Data Downloaded !

      Your Files Are No Longer Accessible Don't Waste Your Time, Without Our Decryption Program Nobody Can't Help You .
      If Payment Isn't Made After A While We Will Sell OR Publish Some Of Your Data . You Don't Have Much Time!

      Your ID : HFXGT
      If You Want To Restore Them Email Us : Evo.team1992@gmail.com
      If You Do Not Receive A Response Within 24 Hours, Send A Message To Our Second Email : Qqq113168@gmail.com
      To Decrypt Your Files You Need Buy Our Special Decrypter In Bitcoin .
      Every Day The Delay Increases The Price !! The Decryption Price Depends On How Fast You Write To Us Email.
      We Deliver The Decryptor Immediately After Payment , Please Write Your System ID In The Subject Of Your E-mail.
      What is the guarantee !
      Before Payment You Can Send Some Files For Decryption Test.
      If We Do Not Fulfill Our Obligations, No One Does Business With Us , Our Reputation Is Important To Us 
      It's Just Business To Get Benefits.
      ===============================================================================
      Attention !
      Do Not Rename,Modify Encrypted Files .
      Do Not Try To Recover Files With Free Decryptors Or Third-Party Programs And Antivirus Solutions Because 
      It May Make Decryption Harder Or Destroy Your Files Forever !
      ===============================================================================
      Buy Bitcoin !
      https://www.kraken.com/learn/buy-bitcoin-btc
      https://www.coinbase.com/how-to-buy/bitcoin
       
       
      Архив.zip
    • Saul
      Шифровальщик. Расширение aiLuw2ie
      От Saul
      Добрый день!
      Вот такое поймали, зашифрованы все файлы на сетевой шаре.
      Есть способы для расшифровки?
       
      Все ваши файлы были зашифрованы!
          Все ваши файлы были зашифрованы из -за проблемы безопасности с вашим ПК.
          Если вы хотите их восстановить
          Установите программу для общения https://tox.chat/clients.html
      https://github.com/uTox/uTox/releases/
      https://github.com/uTox/uTox/releases/download/v0.18.1/utox_x86_64.exe
      и добавьте нас
       
      2C6D0C2F49F19EAE34A558AC646E5C75230928DA64B46DBD6087B036ED651146575435EFEFFC
      ВНИМАНИЕ!
          !!!Не трогайте зашифрованные файлы.!!!
          !!!Не пытайтесь расшифровать ваши данные, используя стороннее программное обеспечение, это может вызвать потерю данных.!!!
      1.zip
    • Dmitryplss
      Вирус шифровальщик заменил расширения на Elpaco-team
      От Dmitryplss
      Добрый вечер, столкнулись с заразой в виде щифровальщика от Elpaco-team, по итогу защифрованны все файлы, нет доступа к базам 1С, в локальной сети так же зашифрованные файлы
      File.rar Addition.txt FRST.txt
    • DenSyaoLin
      Вирус шифровальщик заменил расширения на Elpaco-team
      От DenSyaoLin
      добрый вечер, столкнулись с заразой в виде щифровальщика от Elpaco-team, по итогу защифрованны все файлы, нет доступа к базам 1С нет доступа к бэкапам и точкам восстановления. читал темы, и понимаю что дешифратора от этой гадости еще нет, хотелось бы надеяться на чудо и может вдруг что то получится. спасибо заранее
      по тому что уже сделал, выполнил проверку касперским, что то он нашел, удалил, а вот что нашел не подскажу, оставлял проверку на ночь.
      необходимые файлы прикладываю
      Addition.txt Files.rar FRST.txt
×
×
  • Создать...