Вирус - на компьютере все файлы зашифрованы

[VladimirSavin 0]

Поймал вирус. Все файлы зашифрованы. Требуют вот что:

Вашu фaйлы были зaшuфрованы.

Чmoбы pасшuфpовaть их, Baм неoбxодuмo oтnpавить kод:

973A577D5032CD0DB9B6|0

на элеkтрoнный адрec gervasiy.menyaev@gmail.com .

Дaлee вы пoлучume вce необxодимые uнструkциu.

Попыmkи рaсшифpoвamь cамоcmoятeльнo не npиведуm нu к чeмy, kромe бeзвoзврaтной пoтеpи uнфopмaцuu.

Ecли вы всё же xomитe nопытаmься, то прeдвaрumельно сдeлайmе резеpвныe копuu фaйлoв, иначe в cлучaе

иx изменeния расшифровкa cmaнeт нeвозмoжнoй нu прu kakих условuяx.

Если вы не пoлyчuлu omвemа nо вышeуказaнному адреcу в mечeнue 48 чacов (u тoлько в этoм cлучaе!),

вocnoльзуйтeсь фopмой обpатнoй связu. Этo мoжно сдeлaть двумя cпocoбaми:

1) Cкaчайmе и уcтанoвиmе Tor Browser по ccылke: https://www.torproject.org/download/download-easy.html.en

В адpeснoй cmpoke Tor Browser-а ввeдите адрeс:

http://cryptsen7fo43rr6.onion/

u нажмиmе Enter. Зarpyзumcя cmраница с фoрмой oбpаmнoй связи.

2) В любом бpаyзеpe nepейдиmе nо oднoмy uз адрeсoв:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

 

CollectionLog-2017.11.26-10.52.zip

[thyrex 1 486]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelBHO('{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7}');
 TerminateProcessByName('c:\programdata\csrss\csrss.exe');
 TerminateProcessByName('c:\programdata\drivers\csrss.exe');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('c:\programdata\windows\csrss.exe','');
 QuarantineFile('c:\programdata\drivers\csrss.exe','');
 QuarantineFile('c:\programdata\csrss\csrss.exe','');
 DeleteFile('c:\programdata\csrss\csrss.exe','32');
 DeleteFile('c:\programdata\drivers\csrss.exe','32');
 DeleteFile('c:\programdata\windows\csrss.exe','32');
 DeleteFile('C:\Users\user\AppData\Local\ConvertAd\ConvertAd.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ConvertAd');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
 DeleteFile('C:\PROGRA~1\Funmoods\1.5.23.22\bh\escort.dll','32');
 DeleteFile('C:\Windows\Tasks\At1.job','32');
 DeleteFile('C:\Users\user\AppData\Local\Temp\7080292aq','32');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
 DeleteFile('C:\Windows\Tasks\PennyBee.job','32');
 DeleteFile('C:\Users\user\AppData\Roaming\PennyBee\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32');
 DeleteFile('C:\Windows\system32\Tasks\PennyBee','32');
 DeleteFile('C:\Windows\system32\Tasks\PostPoneInstall','32');
 DeleteFile('C:\Windows\system32\Tasks\{4D11153D-8676-4BD6-920F-3D7C35071CE8}','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[VladimirSavin 0]

Re: quarantine.zip [KLAN-7227035683]

 

newvirus@kaspersky.com

Кому: Владимир

 

сегодня, 12:00

 

Благодарим за обращение в Антивирусную Лабораторию

 

Присланные вами файлы были проверены в автоматическом режиме.

 

В следующих файлах обнаружен вредоносный код, определяемый продуктами с включенной технологией KSN:

csrss.exe - UDS:DangerousObject.Multi.Generic

 

В следующих файлах обнаружен вредоносный код:

csrss_0.exe - Trojan.Win32.Agent.nezeod

csrss_1.exe - Trojan.Win32.Agent.nevnwq

CollectionLog-2017.11.26-12.10.zip

[thyrex 1 486]

Не нужно цитировать рекомендации, выданные хэлпером.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[VladimirSavin 0]

Готово, сканирование завершено. Архив во вложении.

FRST Desktop.zip

[thyrex 1 486]

Это Shade и расшифровки этой версии нет. Будет только зачистка следов вирусов.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1412344369&from=cor&uid=ST500DM002-1BD142_Z2A9FFD6XXXXZ2A9FFD6&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1412344369&from=cor&uid=ST500DM002-1BD142_Z2A9FFD6XXXXZ2A9FFD6&q={searchTerms}
SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://start.funmoods.com/results.php?f=4&q={searchTerms}&a=test312&chnl=test312&cd=2XzuyEtN2Y1L1QzutBzztCtDyB0ByE0BtA0D0DtAtDyC0EzytN0D0Tzu0CtByCzytN1L2XzutBtFtCtFtCtFtAtCtB&cr=1677097562
SearchScopes: HKU\S-1-5-21-439056464-3964697170-2288720361-1000 -> 100DED4C8315168B56DCA998EA445983 URL = hxxp://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=AgnUpd&cd=2XzuyEtN2Y1L1QzutBzztCtDyB0ByE0BtA0D0DtAtDyC0EzytN0D0Tzu0CyEyBtBtN1L2XzutN1L1Czu&cr=1902253264&ir=
SearchScopes: HKU\S-1-5-21-439056464-3964697170-2288720361-1000 -> {68C51983-3242-D8A7-ACA1-6960B7917435} URL = hxxp://start.funmoods.com/results.php?f=4&q={searchTerms}&a=test312&chnl=test312&cd=2XzuyEtN2Y1L1QzutBzztCtDyB0ByE0BtA0D0DtAtDyC0EzytN0D0Tzu0CtByCzytN1L2XzutBtFtCtFtCtFtAtCtB&cr=1677097562
BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO: Java(tm) Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files\Java\jre6\bin\jp2ssv.dll => No File
Toolbar: HKLM - Funmoods Toolbar - {A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} - C:\PROGRA~1\Funmoods\1.5.23.22\escorTlbr.dll No File
Toolbar: HKU\S-1-5-21-439056464-3964697170-2288720361-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.sweet-page.com/?type=sc&ts=1412344369&from=cor&uid=ST500DM002-1BD142_Z2A9FFD6XXXXZ2A9FFD6
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bbjciahceamgodcoidkjpchnokgfpphh] - C:\Users\user\AppData\Local\funmoods.crx [2012-09-26]
CHR HKLM\...\Chrome\Extension: [cjpglkicenollcignonpgiafdgfeehoj] - C:\Users\user\AppData\Local\funmoods-speeddial.crx [2012-09-26]
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lpeeaghdjmhlakojjcgfdhgcejdaefmi] - hxxps://chrome.google.com/webstore/detail/lpeeaghdjmhlakojjcgfdhgcejdaefmi
CHR HKLM\...\Chrome\Extension: [nhgcieglcpdegkhamigiokdphfhhnlhh] - C:\Program Files\AlterGeo\Html5 geolocation provider\altergeo.crx [2012-02-06]
CHR HKU\S-1-5-21-439056464-3964697170-2288720361-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [bbjciahceamgodcoidkjpchnokgfpphh] - C:\Users\user\AppData\Local\funmoods.crx [2012-09-26]
CHR HKU\S-1-5-21-439056464-3964697170-2288720361-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [cjpglkicenollcignonpgiafdgfeehoj] - C:\Users\user\AppData\Local\funmoods-speeddial.crx [2012-09-26]
OPR Extension: (Скачать музыку с Вк (Vk)) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\dakhgkakbjfehpibebmlelidlfjjdfig [2017-08-10]
OPR Extension: (Сохранение аудио из ВК) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\jjemmelkbnacaponpdabclcijeocgpbj [2017-02-17]
StartMenuInternet: (HKLM) Opera - C:\Program Files\Opera\Opera.exe hxxp://www.sweet-page.com/?type=sc&ts=1412344369&from=cor&uid=ST500DM002-1BD142_Z2A9FFD6XXXXZ2A9FFD6
2017-11-25 13:11 - 2017-11-26 11:49 - 000000000 __SHD C:\Users\Все пользователи\Csrss
2017-11-25 13:11 - 2017-11-26 11:49 - 000000000 __SHD C:\ProgramData\Csrss
2017-11-25 13:10 - 2017-11-25 13:10 - 003932214 _____ C:\Users\user\AppData\Roaming\9F4BB42E9F4BB42E.bmp
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README9.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README8.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README7.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README6.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README5.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README4.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README3.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README2.txt
2017-11-25 13:10 - 2017-11-25 13:10 - 000004162 _____ C:\Users\user\Desktop\README10.txt
2017-11-24 17:23 - 2017-11-26 11:49 - 000000000 __SHD C:\Users\Все пользователи\Windows
2017-11-24 17:23 - 2017-11-26 11:49 - 000000000 __SHD C:\ProgramData\Windows
2017-11-25 13:11 - 2017-11-25 13:11 - 001032704 _____ (Microsoft Corporation) C:\Users\user\AppData\Local\Temp\30B66AD2.exe
2017-11-25 13:12 - 2017-11-25 13:12 - 000887808 _____ (Microsoft Corporation) C:\Users\user\AppData\Local\Temp\D4BDF54F.exe
Task: {9A09C75A-9B2E-49B9-A1F7-D5F1F7535E26} - \{4D11153D-8676-4BD6-920F-3D7C35071CE8} -> No File <==== ATTENTION
Task: {BA5478AA-67CB-4C37-8E89-22DEEB37BCF8} - \PostPoneInstall -> No File <==== ATTENTION
Task: {3775E4B9-1CCB-49F2-A496-B2182F4FB686} - \LaunchSignup -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[VladimirSavin 0]

Сделал все, согласно вашей инструкции. Fixlog во вложении.

Если невозможно расшифровать шифровальщик Shade, то получается выход только один - переустанавливать систему?

Fixlog.txt

[thyrex 1 486]

Активного вируса нет, зашифрованные файлы можно удалить и вручную. А потому смысла в переустановке никакого.

[VladimirSavin 0]

То есть, если я правильно понимаю, всё, что он успел зашифровать, теперь восстановить нельзя? А как же пользоваться программами, которые были установлены на компе и они не открываются?

[thyrex 1 486]

Переустановить эти программы, например.

[VladimirSavin 0]

Простите за "лузерство", но после переустановки программ, таких как 1С, все данные в них (база) будут утеряны? Придется начинать с нуля? 

[thyrex 1 486]

Увы, есть нет бэкапов на других носителях