crylock Зашифровались файлы после запуска вложения из почты

[edeklar]

Запустил вложенный файл из почты, сейчас нет возможности их выслать. Но есть файлы, которые зашифровались, логи Autologger, FRST64.

CollectionLog-2017.12.18-21.46.zip

OTCHET_SCAN_FRST64.zip

зашифрованный_файл.rar

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\Microsoft\Crypto\DSS\start.exe','');
 DeleteFile('C:\ProgramData\Microsoft\Crypto\DSS\start.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','abtgyexrhp');
 DeleteFile('C:\Windows\Tasks\QD.job','32');
 DeleteFile('C:\Windows\Tasks\ZLWTLCS.job','32');
 DeleteFile('C:\Windows\system32\Tasks\56eb8bdd-f070-44ca-ae6b-4b9b53a6a264-1','64');
 DeleteFile('C:\Windows\system32\Tasks\56eb8bdd-f070-44ca-ae6b-4b9b53a6a264-11','64');
 DeleteFile('C:\Windows\system32\Tasks\56eb8bdd-f070-44ca-ae6b-4b9b53a6a264-4','64');
 DeleteFile('C:\Windows\system32\Tasks\56eb8bdd-f070-44ca-ae6b-4b9b53a6a264-6','64');
 DeleteFile('C:\Windows\system32\Tasks\56eb8bdd-f070-44ca-ae6b-4b9b53a6a264-7','64');
 DeleteFile('C:\Windows\system32\Tasks\syslog','64');
 DeleteFile('C:\Windows\system32\Tasks\temp_56eb8bdd-f070-44ca-ae6b-4b9b53a6a264-6','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[edeklar]

Выполнить скрипт через AVZ - это как?

[Sandor]

Как выполнить скрипт?

[edeklar]

KLAN-7375032231

Присланные вами файлы были проверены в автоматическом режиме. 

В антивирусных базах информация по присланным вами файлам отсутствует:
start.exe
Файлы переданы на исследование.

[thyrex]

Ждем новые логи Autologger

[edeklar]

Новые логи

CollectionLog-2017.12.19-21.05.zip

report2.log

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.