Файлы зашифрованы. Требуют выкуп.

[kam_minsk]

Добрый день.

Сегодня обнаружил сообщение на компьютере (прикрепленный файл "сообщение.jpg") и практически все файлы оказались зашифрованы, расширение файла "id-EE90677C.[sindragosa@bigmir.net].arena", на рабочем столе появился текстовый файл (FILES ENCRYPTED.txt).

Содержимое файла:

      all your data has been locked us

      You want to return?

      write email sindragosa@bigmir.net

 

Шифрование произошло в промежутке времени с 10.09 23:50 по 11.09 01:00. Была выполнена проверка Virus Removal Tool (результат в файле "проверка.jpg"), обнаруженные угрозы устранены (удалено). Далее по инструкции использовали сборщик логов (файл прикреплен).

 

Среди файлов есть очень важные архивы и базы данных.

Посоветуйте как действовать в данной ситуации.

Спасибо

CollectionLog-2017.09.11-11.48.zip

Изменено 11 сентября, 2017 пользователем kam_minsk

[Sandor]

Здравствуйте!

 

С расшифровкой помочь не сможем, к сожалению.

 

Сможем очистить следы.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\andrey.krivoguz\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\andrey.krivoguz\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "zadanie1" /F', 0, 15000, true);
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '32');
 DeleteFile('C:\Users\andrey.krivoguz\AppData\Roaming\Info.hta', '32');
 DeleteFile('C:\Users\andrey.krivoguz\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\andrey.krivoguz\AppData\Roaming\Info.hta');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.