Перейти к содержанию

Вирус зашифровал зашифровал файлы .CRYPT

kostey
 Поделиться

Рекомендуемые сообщения

kostey Новичок

kostey

Опубликовано
Опубликовано

Добрый день.

Вчера были зашифрованы все имеющиеся файлы, сами файлы остались на месте, а в расширении добавилось .crypt

Прилагаю пример зашифрованного файла и текстовый файл с инструкцией по восстановлению.

Прикрепленные файлы

 

CollectionLog-2017.10.27-10.00.zip

files.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

1)  - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

2) Кнопка "Яндекс" на панели задач, Менеджер браузеров - если сами не ставили (не используете) деинсталируйте.

 

3)

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.


4) Поищите пару оригинальный и зашифрованный файл.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

4 пункт пару не нашел

Ищите, это в Ваших же интересах.

Ищите на других ПК, в почте, аналогичные картинки из папки c:\Users\Public\Pictures\ и т.п.

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Skype Click to Call - тоже советую деинсталировать.

 

  • Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Tools ->Options (Инструменты ->Настройки) отметьте:
    • Сброс политик IE
    • Сброс политик Chrome

    [*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления. [*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt. [*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

  • Пожалуйста, запустите adwcleaner.exe
  • Нажмите File (Файл) Uninstall (Деинсталлировать).
  • Подтвердите удаление нажав кнопку: Да.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Start::
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-2753054333-1240625506-1483120086-1249 Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% <==== ATTENTION
HKU\S-1-5-21-2753054333-1240625506-1483120086-1249 Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%*.exe <==== ATTENTION
HKU\S-1-5-21-2753054333-1240625506-1483120086-1249 Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%System32\*.exe <==== ATTENTION
HKU\S-1-5-21-2753054333-1240625506-1483120086-1249 Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% <==== ATTENTION
AppInit_DLLs-x32: c:\progra~2\suptab\search~1.dll => No File
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.delta-homes.com/?type=hp&ts=1419319036&from=wpm12233&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1404389944&from=cor&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.delta-homes.com/?type=hp&ts=1419319036&from=wpm12233&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1404389944&from=cor&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1404389944&from=cor&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1404389944&from=cor&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138&q={searchTerms}
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2102} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=286&systemid=102&v=n12521-368&apn_uid=4246090212324440&apn_dtid=BND102&o=APN10646&apn_ptnrs=AG7&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1404389944&from=cor&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1404389944&from=cor&uid=WDCXWD1502FAEX-007BA0_WD-WMAY0386813868138&q={searchTerms}
SearchScopes: HKLM-x32 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2102} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=286&systemid=102&v=n12521-368&apn_uid=4246090212324440&apn_dtid=BND102&o=APN10646&apn_ptnrs=AG7&q={searchTerms}
FF user.js: detected! => C:\Users\d.dudenkov\AppData\Roaming\Mozilla\Firefox\Profiles\4zr9s3iz.default\user.js [2014-07-03]
FF SearchEngineOrder.1: Mozilla\Firefox\Profiles\4zr9s3iz.default -> Ask.com
FF Extension: (No Name) - C:\Users\d.dudenkov\AppData\Roaming\Mozilla\Firefox\Profiles\4zr9s3iz.default\Extensions\{00fe044f-e66e-46a7-97c3-971338ebe390} [2014-07-03] [not signed]
FF Extension: (No Name) - C:\Users\d.dudenkov\AppData\Roaming\Mozilla\Firefox\Profiles\4zr9s3iz.default\extensions\yasearch@yandex.ru [not found]
FF Extension: (No Name) - C:\Users\d.dudenkov\AppData\Roaming\Mozilla\Firefox\Profiles\4zr9s3iz.default\extensions\staged\{00fe044f-e66e-46a7-97c3-971338ebe390} [not found]
FF SearchEngineOrder.1: Mozilla\Firefox\Profiles\zvb5kba5.default-1364484918578 -> Ask.com
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\zvb5kba5.default-1364484918578 -> delta-homes
FF HKLM-x32\...\Firefox\Extensions: [quiknowledge@quiknowledge.com] - C:\Program Files (x86)\Mozilla Firefox\extensions\quiknowledge@quiknowledge.com => not found
FF HKLM-x32\...\Firefox\Extensions: [faststartff@gmail.com] - C:\Users\d.dudenkov\AppData\Roaming\Mozilla\Firefox\Profiles\zvb5kba5.default-1364484918578\extensions\faststartff@gmail.com => not found
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\Ask.xml [2014-06-04]
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\avg-secure-search.xml [2013-02-19]
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\delta-homes.xml [2014-12-23]
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\sweet-page.xml [2014-07-03]
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
CHR Extension: (No Name) - C:\Users\d.dudenkov\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-07-10] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Utime) - C:\Users\d.dudenkov\AppData\Local\Google\Chrome\User Data\Default\Extensions\kpcibgnngaaabebmcabmkocdokepdaki [2015-01-12] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Skype Click to Call) - C:\Users\d.dudenkov\AppData\Local\Google\Chrome\User Data\Default\Extensions\lifbcibllhkdhoafpjfnlhfpfgnpldfl [2014-09-17] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Google Wallet) - C:\Users\d.dudenkov\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-02-25] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
2017-10-26 07:54 - 2017-10-26 07:54 - 000006517 _____ C:\Users\user.TVAMEDIA\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\Администратор\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\Администратор\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\vitaliy\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\vitaliy\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\video\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\user\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\trykin\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\trykin\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\soloviev\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\soloviev\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\savchenko\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\savchenko\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\savcenko\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\savcenko\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2017-10-26 03:42 - 000006517 _____ C:\Users\sandzhieva\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\sandzhieva\Downloads\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\sandzhieva\Documents\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\sandzhieva\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\kvadratova\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\kvadratova\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\ksloushaenko\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\ksloushaenko\Downloads\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\ksloushaenko\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:41 - 2017-10-26 03:41 - 000006517 _____ C:\Users\Default\Инструкция по восстановлению файлов.TXT
2017-10-26 03:36 - 2017-10-26 03:36 - 000006517 _____ C:\Users\d.dudenkov\Downloads\Инструкция по восстановлению файлов.TXT
2017-10-26 03:36 - 2017-10-26 03:36 - 000006517 _____ C:\Users\d.dudenkov\Documents\Инструкция по восстановлению файлов.TXT
2017-10-26 03:28 - 2017-10-26 03:28 - 000006517 _____ C:\Users\d.dudenkov\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:28 - 2017-10-26 03:28 - 000006517 _____ C:\Users\alisenko\Инструкция по восстановлению файлов.TXT
2017-10-26 03:28 - 2017-10-26 03:28 - 000006517 _____ C:\Users\alisenko\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:28 - 2017-10-26 03:28 - 000006517 _____ C:\Users\administrator\Инструкция по восстановлению файлов.TXT
2017-10-26 03:28 - 2017-10-26 03:28 - 000006517 _____ C:\Users\administrator\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:27 - 2017-10-26 07:54 - 000006517 _____ C:\Users\user.TVAMEDIA\Desktop\Инструкция по восстановлению файлов.TXT
2017-10-26 03:42 - 2015-01-12 17:48 - 000000000 ____D C:\ProgramData\surFFkeeepit
2017-10-26 03:42 - 2015-01-12 17:48 - 000000000 ____D C:\ProgramData\deeal4real
FirewallRules: [TCP Query User{2F5FA1C6-01AA-44BB-A276-3A564A7816F5}C:\program files (x86)\kaspersky lab\kaspersky anti-virus 6.0 for windows workstations mp4\avp.exe] => (Allow) C:\program files (x86)\kaspersky lab\kaspersky anti-virus 6.0 for windows workstations mp4\avp.exe
FirewallRules: [UDP Query User{9A49A441-1452-4C41-B83A-7CA38C7A7C02}C:\program files (x86)\kaspersky lab\kaspersky anti-virus 6.0 for windows workstations mp4\avp.exe] => (Allow) C:\program files (x86)\kaspersky lab\kaspersky anti-virus 6.0 for windows workstations mp4\avp.exe
EmptyTemp:
Reboot:
End::
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • orbita06
      вирус зашифровал файлы
      Автор orbita06
      легла вся сеть и 4 сервера вирус удален нужна программа дешифровальщика
    • zsvnet
      файлы зашифрованы вирусом
      Автор zsvnet
      obrazec.zipAddition.txtShortcut.txtFRST.txtДобрый день! Зашифровали файлы.
      Скорее всего проникли через RDP. Исходный ПК неработоспособен. Диск подключен к другому ПК и на нем запускали FRST.
    • itman
      История про зашифрованные файлы.
      Автор itman
      Добрый день всем! Хочу поведать вам всем поучительную историю как делать НЕ НАДО!!! В апреле месяце подцепили вирус -шифровальщик! Утром пришли  пользователи, а там все зашифровано на 3 севаках и 2х локалках на которых была расшаренная какая-то папка!! печаль !!! ну а что делать?! благо сисадмин делал копию раз в месяц акрониксом всех серверов, а бухгалтер помимо всего копии на внешний hdd каждое утро и хдд этот хранил в сейфе! (рекомендую всем бухгалтерам так делать!!!) и вот утром сисадмину звонок: -ААА!! Все пропало!! Что делать???? ничего не работает!!!  Помоги!!! и проч))) ну что проснулся от и начал смотреть что все таки произошло! на каждом из серваков при запуске вот такой текст: Encrypted by trust
       Email us for recovery: Rdpdik6@gmail.com
       In case of no answer, send to this email: Rdpp771@gmail.com
      Your unqiue ID:  писать не буду.
       Почти  все файлы (кроме *.dll и тому подобных и системных зашифрованы и переименованы по формуле имя.расширение. [Rdpdik6@gmail.com].lockedfile) и в каждой папке файлик txt c вот таким содержимым:
       Email 1:
      Rdpdik6@gmail.com
      Email 2:
      Rdpp771@gmail.com
      Send messages to both emails at the same time
      So send messages to our emails, check your spam folder every few hours
      ID: эту строчку сотру на всякий случай)
      If you do not receive a response from us after 24 hours, create a valid email, for example, gmail,outlook
      Then send us a message with a new email
      Ну сисадмин начал заниматься восстановлением копии то есть пусть месячные но все же копии а базы 1с так вообще вчерашние!!!  (а это самое главное!) прежде чем все восстанавливать сделал копию того что зашифровали а мало ли)) ну и параллельно всё-таки решил он написать этим недо людям (медикам на букву П), что так и так копии есть ущерб не большой на то что пока будет восстанавливаться копия уйдет время давайте разойдемся все миром и в итоге договорились на 30 баксах. Сисадмин им перевел на их кошелек, а они его кинули ни хрена они ему не прислали!!!!
      Прошло какое-то время (месяца полтора!) и тут пользователи посмотрели что у одного там пара доков осталась в общей папке уже после того как делалась копия у другого тоже какие-то доки  у третьего вообще фото с корпоратива и подумали они что всё-таки давай заплатим этим  людям нетрадиционной ориентации) сумму которую они просят! Скинулись толпой. Вот на переговоры опять отправили сисадмина (как жаль его)! Опять шли переговоры пару дней а то и больше ну вроде нашли они компромисс с шантажистами в размере 250$ те опять прислали адрес куда переводить деньги причем второй раз без гарантий! Типа из всех гарантий попросили прислать любой зашифрованный файл не более мегабайта и они покажут что всё-таки могут расшифровать. Отправили им какой-то pdf они в ответ скрин файла только весь замазанный видно только пару слов по которым надо только больше догадываться! По итогу  Он им опять перевел общий банк:
      Получаете:
      200.0813 Tether TRC20 USDT
      На счет:
      TBgx7szAXYNSwPJz1Ama2K85kTXrCcsnG1
       
      И? что вы думаете? Эти деятели пишут:
      Sinior (это ник в телеге одного из шантажистов )
      Deposit $50
      Sinior
      I won't give you the key until you pay me $50.
      Типа вы не доплатили 50 баксов!! Вот так уважаемые читатели этого поста ни в коем случае не вздумайте им платить так как они вам все равно ничего не пришлют!!! А деньги вы потеряете!!! И ни одного файла не расшифруете там рассчитано не на то чтоб найти компромисс а на то чтоб выдурить с вас побольше денег!!!!!!!
      P.S.    Делайте резервные копии и храните их на внешних hhd  и не оставляйте их подключенными к компьютеру! Сделал копию и отключай да не удобно зато надежно!!!! Всем удачи!!!!
       
      Сообщение от модератора thyrex Перенесено из раздела по шифровальщикам
       
    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
    • Mep3aBEz
      Зашифровались файлы
      Автор Mep3aBEz
      Добрый день!
      6 мая 2025 года зашифровались файлы.
      Как проник вирус неизвестно.
       
      Произошло:
      Ночью на виртуалку на Win10x64 с включенным RDP в папку c:\users\admin\music попал файл AD.exe
      На самой виртуалке ничего не зашифровалось, но два рабочих компьютера на Win11, которые были включены в тот момент зашифровались.
      Также не зашифровался ни один (из 5) рабочий сервер на виртуалках с WS2022.
      С зашифрованных компов была удалена система, поэтому лог анализа системы прикрепить не могу, файл шифровальщика тоже не сохранили.
       
       
       
      encrypt_files.zip
×
×
  • Создать...