Перейти к содержанию

вирус шифровальщик, помогите с дешифратором

vto
 Поделиться

Рекомендуемые сообщения

vto

vto

Опубликовано
Опубликовано (изменено)

Доброго дня, Коллеги

 

сегодня один из моих пользователей открыл архив из почты и зашифровал прилично файлов

 

вложение в прицепе, вирус точно там

 

если есть возможность помочь с дешифратором, большая просьба

 

b.r. vto

Изменено пользователем Sandor
Убрал подозрительный файл
Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\README.txt', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-x.vbs.fairytail', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs', '');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\README.txt', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-x.vbs.fairytail', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs', '32');
 DeleteFile('C:\Users\user\Desktop\Поиск в интернете.URL');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Sandor

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
vto

vto

Опубликовано
  • Автор
Опубликовано

 

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Все выполнил

AdwCleanerS0.txt

Sandor

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

vto

vto

Опубликовано
  • Автор
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

Готово

Addition.txt

AdwCleanerC0.txt

FRST.txt

Shortcut.txt

Sandor

Sandor

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, все предыдущее сообщение. Используйте форму быстрого ответа внизу.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKU\S-1-5-21-13518408-1576052608-956698421-1143\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
2018-02-05 16:12 - 2018-02-05 16:12 - 000001620 _____ C:\Users\ksenia\Рабочий стол\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\Downloads\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Рабочий стол\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Downloads\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Documents\README.txt
2018-02-05 16:11 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\AppData\Local\README.txt
2018-02-05 16:11 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\README.txt
2018-02-05 16:11 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\LocalLow\README.txt
2018-02-05 12:42 - 2018-02-05 16:12 - 000001620 _____ C:\Users\ksenia\Documents\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:42 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-02-05 12:42 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:41 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:41 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\README.txt
2018-02-05 12:40 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:40 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-02-05 12:27 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Local\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 16:12 - 000001620 _____ C:\Users\Public\Documents\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\Documents\README.txt
2018-02-05 12:26 - 2018-02-05 16:07 - 000000380 _____ C:\Users\Все пользователи\README.txt
2018-02-05 12:26 - 2018-02-05 16:07 - 000000380 _____ C:\ProgramData\README.txt
2018-02-05 12:26 - 2018-02-05 12:26 - 000001620 _____ C:\Users\Все пользователи\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 12:26 - 000001620 _____ C:\ProgramData\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2017-05-23 14:23 - 2017-05-23 15:20 - 000000000 _____ () C:\Users\ksenia\AppData\Local\Temp\bbb92fa0488dac77cc.exe
2018-02-05 12:24 - 2018-02-05 12:24 - 000332288 _____ () C:\Users\ksenia\AppData\Local\Temp\Приложение 1 постановление для службы судебных приставов.exe
2017-05-23 16:41 - 2017-05-23 16:41 - 000000000 _____ () C:\Users\rinchest\AppData\Local\Temp\5046b277b95bad3ce1.exe
ask: {394BD511-B0A0-4756-A1CB-ABA94E5C7E3E} - System32\Tasks\DRPNPS => mshta.exe "hxxp://update.drp.su/nps/online/bin/tools/run.hta" "17.7.17 Online"
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Прошу прощения, в оной строке потерялся символ. Еще раз:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
Task: {394BD511-B0A0-4756-A1CB-ABA94E5C7E3E} - System32\Tasks\DRPNPS => mshta.exe "hxxp://update.drp.su/nps/online/bin/tools/run.hta" "17.7.17 Online"
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Подробнее читайте в этом руководстве.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • strana2016
      Вирус-шифровальщик labubu
      Автор strana2016
      Поймали такой вирус, на одном из компьютеров сети появился файл с требованиями LABUBU, Новый сетевой диск и часть данных на компьютере, а так же в общей папке локальной сети зашифрована .dom. Kaspersky отключился. Можно ли полагать, что это все, что он успел зашифровать или лучше не включать зараженный компьютер? И может ли через общую папку он проникнуть в компьютеры других пользователей? Спасибо

    • serg12345
      Вирус pedrolloanisimka
      Автор serg12345
      Подхватили вирус и всё зашифровано. Есть возможность помочь в этом? 
    • ravna
      Вирус шифровальщик
      Автор ravna
      Добрый день.
      Утром обнаружили на сервере все зашифрованные файлы. Шифрование произошло ночью.
      Результат проверки утилитами Kaspersky Virus Removal Tool 2015 и Dr.Web CureIt! - 0 вирусов
      Приложил отчет, образец зашифрованного файла и сообщение в текстовом файле, которое находится на рабочем столе и в каждом каталоге дисков.
      Спасибо
       
       
      CollectionLog-2018.08.30-11.22.zip
      HOW TO RECOVER ENCRYPTED FILES.TXT
      wincmd.ini.BD.zip
    • Monmak25
      Вирус-шифровальщик excaliburarthur@protonmail.com
      Автор Monmak25
      Всем доброго времени суток!
       
      Не успел я расшифровать файлы от вируса zeman@tutanota.de (естественно, с помощью специалистов этого форума), как тут же не успел защитить их от нового шифровальщика (кто-то открыл какое-то письмо).
       
      Второй email в сообщении: symbyosis@protonmail.com.
       
      Проверил KVRT - чисто.
      Запустил FRST и Autologger - собрал нужные логи.
       
      Также в корне расшаренной папки на другом компьютере среди зашифрованных файлов нашел файл формата .key, которого раньше не было. Правда, ни в какой кодировке он у меня не принял читабельный вид.
       
      Кроме этого, в приложенном архиве зашифрованный файл и readme.txt с PID.
       
       
      Прошу помощи с расшифровкой.
      406.rar
    • Alex_Z
      Вирус шифровальщик - Windows 2008 R2
      Автор Alex_Z
      Добрый вечер!
      Сегодня обнаружили, что практически все файлы на windows server 2008 r2 зашифрованы, а в каждой категории лежат аналогичные файлы txt с посланием:
       
      ************************************************************ SYSTEM DAMAGED! FILES WILL BE DELETED! URGENT ATTENTION! ************************************************************ To restore your files and access them, you need to pay 5 bitcoins Bitcoins have to be sent to this address: 14HNKK5uJeZ2rt96Pi9K2U6jbpCWyRrz5M After payment contact us to receive your password key. Contact Email : repairme2017@keemail.me With subject (Personal ID) : error66733200124 In order to purchase Bitcions you can use : www.coinbase.com www.localbitcoin.com ============================================================ IMPORTANT! IF YOU DON'T PAY IN MAXIM 24 HOURS ALL YOUR FILES WILL BE PERMANENTLY DELETED!!! ============================================================   Бэкапы файлов есть, но не совсем свежие, возможно ли расшифровать данные?   В приложении отчеты из AutoLogger и Farbar Recovery Scan Tool   CollectionLog-2017.05.18-17.33.zip
      frst-addition.zip
×
×
  • Создать...