Шифровальщик Hta

[Viki]

Пришло письмо на электронную почту, с содержимым вроде "документы проверенны, с нашей стороны все в порядке, посмотрите с вашей" и прикрепленный файл hta, открыла, все документы на рабочем столе стали с расширением hta. исчезли все данные с 1с кварта и т.д. Как можно все восстановить подскажите пожалуйста

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[Viki]

Пришло письмо на электронную почту, с содержимым вроде "документы проверенны, с нашей стороны все в порядке, посмотрите с вашей" и прикрепленный файл hta, открыла, все документы на рабочем столе стали с расширением hta. исчезли все данные с 1с кварта и т.д. Можно ли восстановить и как вылечить если вирусНаверх

• Ответить
• Цитата
•  
•  

CollectionLog-2017.10.23-12.01.zip

[Sandor]

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Orbitum

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

документы на рабочем столе стали с расширением hta

Пару таких документов упакуйте в архив и тоже прикрепите к следующему сообщению.

[Viki]

все по инструкции. доки во вложении..

FRST.txt

Addition.txt

Shortcut.txt

новый договор на 2017 год.doc.rar

табеля.docx.rar

[Sandor]

Вымогатель spora. Расшифровки, к сожалению, нет. Для очистки следов и мусора:

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: F - F:\SISetup.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {2ae70608-c15d-11e4-853c-9e4712acaf88} - J:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {2ae70614-c15d-11e4-853c-9e4712acaf88} - J:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {3290d070-1540-11e5-b38e-ac4377664e04} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {3569aa7a-eee9-11e5-b43d-bc5ff40476cd} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {37003b6e-3c8f-11e5-ae15-bc5ff40476cd} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {4ab7aa44-2680-11e5-85fe-a1d3caa87f0b} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {4ab7aa50-2680-11e5-85fe-a1d3caa87f0b} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {4ab7aa5e-2680-11e5-85fe-a1d3caa87f0b} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {50cf1632-1de1-11e5-8859-be640187d357} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {596104f3-8800-11e5-ae78-bc5ff40476cd} - F:\ICM_Manager.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {596104f6-8800-11e5-ae78-bc5ff40476cd} - F:\ICM_Manager.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {5fd2bd0f-3cbb-11e6-9822-bc5ff40476cd} - L:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {6ab1e839-8ffe-11e6-8b3b-dd2671a67ea2} - E:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {789552d9-8e81-11e6-84f0-e80736558887} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {8242eba5-1864-11e5-8597-fa3ee3fa2c9a} - L:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {f66d9d6d-21fd-11e6-85c8-bc5ff40476cd} - F:\AutoRun.exe
  HKU\S-1-5-21-1993367235-193644043-752584382-1000\...\MountPoints2: {f66d9d78-21fd-11e6-85c8-bc5ff40476cd} - M:\AutoRun.exe
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  FF user.js: detected! => C:\Users\ADMIN2\AppData\Roaming\Mozilla\Firefox\Profiles\056jimba.default\user.js [2017-08-09]
  2015-08-13 03:07 - 2015-08-13 03:07 - 000119808 _____ () C:\Users\ADMIN2\AppData\Local\Temp\exereader.exe
  2015-12-02 20:48 - 2015-12-02 20:48 - 072300808 _____ (The Orbitum Authors) C:\Users\ADMIN2\AppData\Local\Temp\mini_installer_new.exe
  2015-07-10 08:15 - 2015-07-10 09:02 - 024443055 _____ () C:\Users\ADMIN2\AppData\Local\Temp\_tmpdgp.exe
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\939.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\939.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\939.jpeg.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\939.jpeg.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\заявка ТБО.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\заявка ТБО.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\заявка ТБО.jpeg.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\заявка ТБО.jpeg.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\протокол.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\протокол.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\протокол.jpeg.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\протокол.jpeg.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\удостоверение по теплу.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
  AlternateDataStreams: C:\Users\ADMIN2\Desktop\удостоверение по теплу.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  FirewallRules: [TCP Query User{28E81BBF-006A-4E91-92CA-024C559057D5}C:\users\admin2\appdata\local\orbitum\application\orbitumupdater\orbitumupdater.exe] => (Block) C:\users\admin2\appdata\local\orbitum\application\orbitumupdater\orbitumupdater.exe
  FirewallRules: [UDP Query User{6760525A-3EFE-48C2-A415-DC43379FA2B4}C:\users\admin2\appdata\local\orbitum\application\orbitumupdater\orbitumupdater.exe] => (Block) C:\users\admin2\appdata\local\orbitum\application\orbitumupdater\orbitumupdater.exe
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.