Перейти к содержанию

вирус шифровальщик, помогите с дешифратором

vto
 Share

Рекомендуемые сообщения

vto Новичок

vto

Опубликовано
Опубликовано (изменено)

Доброго дня, Коллеги

 

сегодня один из моих пользователей открыл архив из почты и зашифровал прилично файлов

 

вложение в прицепе, вирус точно там

 

если есть возможность помочь с дешифратором, большая просьба

 

b.r. vto

Изменено пользователем Sandor
Убрал подозрительный файл
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\README.txt', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-x.vbs.fairytail', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs', '');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\README.txt', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-x.vbs.fairytail', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs', '32');
 DeleteFile('C:\Users\user\Desktop\Поиск в интернете.URL');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
vto Новичок

vto

Опубликовано
  • Автор
Опубликовано

 

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Все выполнил

AdwCleanerS0.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
vto Новичок

vto

Опубликовано
  • Автор
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

Готово

Addition.txt

AdwCleanerC0.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, все предыдущее сообщение. Используйте форму быстрого ответа внизу.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKU\S-1-5-21-13518408-1576052608-956698421-1143\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
2018-02-05 16:12 - 2018-02-05 16:12 - 000001620 _____ C:\Users\ksenia\Рабочий стол\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\Downloads\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Рабочий стол\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Downloads\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Documents\README.txt
2018-02-05 16:11 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\AppData\Local\README.txt
2018-02-05 16:11 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\README.txt
2018-02-05 16:11 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\LocalLow\README.txt
2018-02-05 12:42 - 2018-02-05 16:12 - 000001620 _____ C:\Users\ksenia\Documents\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:42 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-02-05 12:42 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:41 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:41 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\README.txt
2018-02-05 12:40 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:40 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-02-05 12:27 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Local\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 16:12 - 000001620 _____ C:\Users\Public\Documents\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\Documents\README.txt
2018-02-05 12:26 - 2018-02-05 16:07 - 000000380 _____ C:\Users\Все пользователи\README.txt
2018-02-05 12:26 - 2018-02-05 16:07 - 000000380 _____ C:\ProgramData\README.txt
2018-02-05 12:26 - 2018-02-05 12:26 - 000001620 _____ C:\Users\Все пользователи\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 12:26 - 000001620 _____ C:\ProgramData\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2017-05-23 14:23 - 2017-05-23 15:20 - 000000000 _____ () C:\Users\ksenia\AppData\Local\Temp\bbb92fa0488dac77cc.exe
2018-02-05 12:24 - 2018-02-05 12:24 - 000332288 _____ () C:\Users\ksenia\AppData\Local\Temp\Приложение 1 постановление для службы судебных приставов.exe
2017-05-23 16:41 - 2017-05-23 16:41 - 000000000 _____ () C:\Users\rinchest\AppData\Local\Temp\5046b277b95bad3ce1.exe
ask: {394BD511-B0A0-4756-A1CB-ABA94E5C7E3E} - System32\Tasks\DRPNPS => mshta.exe "hxxp://update.drp.su/nps/online/bin/tools/run.hta" "17.7.17 Online"
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Прошу прощения, в оной строке потерялся символ. Еще раз:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
Task: {394BD511-B0A0-4756-A1CB-ABA94E5C7E3E} - System32\Tasks\DRPNPS => mshta.exe "hxxp://update.drp.su/nps/online/bin/tools/run.hta" "17.7.17 Online"
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

С расшифровкой помочь не сможем.

 

Пробуйте восстановить файлы средствами Windows.

Будьте внимательны, это не значит восстановить всю систему. Речь идет только о теневых копиях.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • sater123
      Вирус шифровальщик
      От sater123
      Добрый день. Зашифровались файлы размером более 8 мегабайт (их почта datastore@cyberfear.com). Помогите пожалуйста.
      Зашифрованные файлы не могу прикрепить, так как их размер более 5Мб.
      FRST.txt Addition.txt
    • Zakhar62668
      Помогите удалить вирус
      От Zakhar62668
      Виндоус дефендер находит постоянно трояны, но удалить не может, также пытался установить разные антивирусы, но все они не запускаются, вылетают ошибки, а также в исключениях есть файлы, которые не удаляются. Сейчас, посмотрев форум, запустил компьютер в безопасном режиме и через флешку установил фарбар рекавери скан тулс(чтоб запустить его пришлось удалить ограничения в редакторе реестра)
    • Эльнар
      Помогите пожалуйста удалить вирус
      От Эльнар
      Здравствуйте! Помогите пожалуйста удалить вирус, скорее всего майнер. Он постоянно нагружает процессор, даже на рабочем столе. Как только открываю диспетчер задач, обороты вентиляторов процессора падают до нормального. Как только выхожу из диспетчера задач сразу обороты вентиляторов растут. При открытии диспетчера задач я не успеваю увидеть какой процесс нагружает компьютер. Эта проблема началась когда я установил программу видеомонтажа Magix Vegas Pro не с официального сайта. Так же из проблем не получается зайти в конфигурацию системы (msconfig), окошко сразу закрывается. При запуске антивируса Malwarebytes, он тоже сразу закрывается. Когда зашёл в систему через безопасную загрузку msconfig также не открывается, но удалось запустить malwarebytes и drweb, они нашли вирусы, но проблема не ушла. Запустил Kaspersky Removal Tool, он долго сканировал и нашёл вирусы. Один из них располагался в папке куда был установлен Magix Vegas Pro. После удаления вирусов ситуация к сожалению не изменилась. Приложил отчёт сборщика логов.
      CollectionLog-2024.12.02-15.07.zip
    • Евгений885
      Дешифратор для datastore@cyberfear.com
      От Евгений885
      Нужна помощь в дешифрации данных
      virus.rar Addition.txt
      FRST.txt файлы.rar
    • plotikkaroch
      Помогите удалить вирус NET:MALWARE.UR
      От plotikkaroch
      Помогите удалить вирус NET:MALWARE.UR.
      Объект: dialer.exe.
      Угроза: NET:MALWARE.URL
      Путь:\Net\3816\TCP\5/188/137/200-8888\Device\HarddiskVolume3\Windows\System32\dialer.exe
               \Net\2508\TCP\5/188/137/200-8888\Device\HarddiskVolume3\Windows\System32\dialer.exe
      Не знаю, что для этого нужно делать и прикреплять. Поэтому прикрепил, что увидел в других похожих темах на этот счет.
      Виндовс не очень хочется переустанавливать из-за этого.
      Curelt его не обезвреживает, при повторном сканировании также появляются в списке. 
      Логи cureit, SysInfo, FRST, Addition: https://dropmefiles.com/AiGRB
×
×
  • Создать...