Перейти к содержанию

Файлы не открываются (похоже что зашифрованы)

Heisenberg
 Share

Рекомендуемые сообщения

Heisenberg Новичок

Heisenberg

Опубликовано
Опубликовано

Добрый день!

Поймал трояна. Теперь ни документы, ни фотографии не открываются.

Сейчас компьютер проверен Касперским антивирусом - найден и удалён троян Trojan Dropper.

Перед созданием логов компьютер проверен - Dr. Web Cureit. Угроз не обнаружено. Файлы так и не октрываются.

Возможно ли восстановить доступ к файлам!?

Спасибо!

CollectionLog-2018.03.19-14.52.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

У поврежденных файлов, как понимаю, расширение не поменялось, верно?

 

С расшифровкой помочь не сможем, к сожалению. Будет только очистка следов.

 

Ярлыки

C:\Users\Компик\Desktop\Fwd_ Fwd[2]_ Предложение БИО по оценке тендера и реестр договоров за 5 лет 2_files.lnk

C:\Users\Компик\Desktop\минусовки.lnk

C:\Users\Компик\Desktop\Музыка.lnk

C:\Users\Компик\Desktop\Новая папка.lnk

C:\Users\Компик\Desktop\Новая папка (2).lnk

C:\Users\Компик\Desktop\Новая папка (4).lnk

C:\Users\Компик\Desktop\новые минусовки ноябрь 2016.lnk

C:\Users\Компик\Desktop\обоснование цены_files.lnk

C:\Users\Компик\Desktop\оценка -_files.lnk

C:\Users\Компик\Desktop\Слова песен.lnk

C:\Users\Компик\Desktop\Таблица различий.xlsx_files.lnk

C:\Users\Компик\Desktop\телефонная книга.lnk

C:\Users\Компик\Desktop\Форма.lnk

C:\Users\Компик\Desktop\фотки айфон.lnk

C:\Users\Компик\Desktop\фотки на распечатку.lnk

C:\Users\Компик\Desktop\фото.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Task: algzbje - C:\ProgramData\Mozilla\tftrlfl.exe tftrlfl (file missing)
O22 - Task: {226101BB-476C-4F57-B351-2516366382BA} - D:\Launcher.exe (file missing)
O22 - Task: {280B41CD-0807-4FAC-A5F8-7701545777E7} - D:\Launcher.exe (file missing)
O22 - Task: {2ECEE627-63EF-4919-B189-C3AC01A7300E} - D:\Launcher.exe (file missing)
O22 - Task: {38FD4EF1-497B-488F-9880-CDB82AD20B0E} - D:\Launcher.exe (file missing)
O22 - Task: {4DB7A12B-A8FB-4F2D-8B71-742D8E4D3916} - D:\Launcher.exe (file missing)
O22 - Task: {723A9197-8114-4AD1-A1F8-E7D15A1FC7B6} - D:\Launcher.exe (file missing)
O22 - Task: {73B72AB2-A385-47EF-9DB9-8FB64DF7DC81} - D:\Launcher.exe (file missing)
O22 - Task: {77EEA074-91A7-4B36-8507-124A8D165BED} - C:\Program Files\Europefire\Mohaa.exe (file missing)
O22 - Task: {784E920C-696A-4816-9B8A-90B89AA545E7} - D:\Launcher.exe (file missing)
O22 - Task: {F1B70D36-4B34-4B14-8204-FB6F1BCFD39F} - D:\Launcher.exe (file missing)
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Heisenberg Новичок

Heisenberg

Опубликовано
  • Автор
Опубликовано

У поврежденных файлов, как понимаю, расширение не поменялось, верно?

 

С расшифровкой помочь не сможем, к сожалению. Будет только очистка следов.

 

Ярлыки

C:\Users\Компик\Desktop\Fwd_ Fwd[2]_ Предложение БИО по оценке тендера и реестр договоров за 5 лет 2_files.lnk

C:\Users\Компик\Desktop\минусовки.lnk

C:\Users\Компик\Desktop\Музыка.lnk

C:\Users\Компик\Desktop\Новая папка.lnk

C:\Users\Компик\Desktop\Новая папка (2).lnk

C:\Users\Компик\Desktop\Новая папка (4).lnk

C:\Users\Компик\Desktop\новые минусовки ноябрь 2016.lnk

C:\Users\Компик\Desktop\обоснование цены_files.lnk

C:\Users\Компик\Desktop\оценка -_files.lnk

C:\Users\Компик\Desktop\Слова песен.lnk

C:\Users\Компик\Desktop\Таблица различий.xlsx_files.lnk

C:\Users\Компик\Desktop\телефонная книга.lnk

C:\Users\Компик\Desktop\Форма.lnk

C:\Users\Компик\Desktop\фотки айфон.lnk

C:\Users\Компик\Desktop\фотки на распечатку.lnk

C:\Users\Компик\Desktop\фото.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Task: algzbje - C:\ProgramData\Mozilla\tftrlfl.exe tftrlfl (file missing)
O22 - Task: {226101BB-476C-4F57-B351-2516366382BA} - D:\Launcher.exe (file missing)
O22 - Task: {280B41CD-0807-4FAC-A5F8-7701545777E7} - D:\Launcher.exe (file missing)
O22 - Task: {2ECEE627-63EF-4919-B189-C3AC01A7300E} - D:\Launcher.exe (file missing)
O22 - Task: {38FD4EF1-497B-488F-9880-CDB82AD20B0E} - D:\Launcher.exe (file missing)
O22 - Task: {4DB7A12B-A8FB-4F2D-8B71-742D8E4D3916} - D:\Launcher.exe (file missing)
O22 - Task: {723A9197-8114-4AD1-A1F8-E7D15A1FC7B6} - D:\Launcher.exe (file missing)
O22 - Task: {73B72AB2-A385-47EF-9DB9-8FB64DF7DC81} - D:\Launcher.exe (file missing)
O22 - Task: {77EEA074-91A7-4B36-8507-124A8D165BED} - C:\Program Files\Europefire\Mohaa.exe (file missing)
O22 - Task: {784E920C-696A-4816-9B8A-90B89AA545E7} - D:\Launcher.exe (file missing)
O22 - Task: {F1B70D36-4B34-4B14-8204-FB6F1BCFD39F} - D:\Launcher.exe (file missing)
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

 

 

Файлы вложил.

А есть какой-то способ восстановить файлы!? Или хотя бы фотографии.

HiJackThis.log

ClearLNK-2018.03.20_09.58.15.log

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, все предыдущее сообщение. Используйте форму быстрого ответа внизу.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKU\S-1-5-21-827502065-1194102775-3114929-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
SearchScopes: HKLM -> DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&ieverfix=1&fr=ieverfix_dse
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&ieverfix=1&fr=ieverfix_dse
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
FF user.js: detected! => C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\user.js [2017-02-17]
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-02-17] [Legacy]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-02-17] [Legacy]
FF Extension: (Спутник @Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2013-03-03] [Legacy] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-02-17] [Legacy]
CHR StartupUrls: Default -> "hxxp://go.mail.ru/?chverfix=1&fr=chverfix_sg"
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
2017-02-15 09:44 - 2017-02-15 09:44 - 000001088 _____ () C:\Users\Компик\AppData\Roaming\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY
2017-02-15 09:44 - 2017-02-15 09:44 - 000016715 _____ () C:\Users\Компик\AppData\Roaming\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html
2018-03-19 12:13 - 2018-03-19 12:14 - 000000000 _____ () C:\Users\Компик\AppData\Local\temp\b5449102464ccc82.exe
MSCONFIG\startupfolder: C:^Users^Компик^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html => C:\Windows\pss\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html.Startup
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

есть какой-то способ восстановить файлы

Ответил выше.

 

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Но шансов почти нет.

 

Рекомендации после удаления вредоносного ПО

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Azward
      Зашифровались файлы hop_dec
      От Azward
      Добрый день! 
      Зашифровались все файлы на рабочей машине. В том числе 1с базы.
      [MJ-CR7920861453](decodehop@gmail.com )   Все файлы с таким расширением.
      Отправил во вложении Архив с файлом, и логи FRST
      Надеемся на вашу помощь. Стоял касперский Small office security. Не помог. Сейчас вовсе исчез.
      virus.rar Addition.txt FRST.txt
    • Andrei Butyrchyk
      Зашифрованы файлы с расширением .mammn
      От Andrei Butyrchyk
      Здравствуйте!
      Отработал на машине шифровальщик. До конца отработать, по всей видимости, не успел так как нет записки и не все файлы были зашифрованы.
      Есть папки с RSADecryptKey и предположительно сам файл шифровальщик.
      FRST.zip EncryptedFiles.zip
    • Лариса B
      King зашифровал файлы организации
      От Лариса B
      Добрый день!
      В локальную сеть попал шифровальщик.  Все файлы зашифрованы по маске <Имя файла>.<Расширение>[king_ransom1@mailfence.com].king.
      К сожалению пока не удалось понять, как он попал и где нахоится источник(. 
      Но сегодня  ночью, по времени - все файлы  оказались зашифрованы. 

      Прикладывают  файлы, согласно правилам зашифрованные файлы + требования.rar

      Подскажите пож-та 
      1. Как найти источник   заражения, сам шифровальщик, какие есть методы 
      2. Как можно дешифровать  данные файлы 
       
      Спасибо большое!
    • Jafar_e
      Очень похоже на lockbit 3.0
      От Jafar_e
      Поймали паразита который зашифровал все файлы кроме программ и скриптов. С помощью ПО отловили нахождение.
      К компьютеру в был подключен NAS - результат зашифрован весь архив рабочий.
      В приложении образцы зашифрованных файлов, зловреда, отчет FRST и письмо счастья, в котом на удивление нет уникального ID и обои не были сменены на рабочем столе.
      pass: virus
      Mimik.zip
    • specxpilot
      Вирус зашифровал файлы с расширением .iw8
      От specxpilot
      Текст сообщения 
      !!!Your files have been encrypted!!!
      To recover them, please contact us via email:
      Write the ID in the email subject
      ID: E3EA701E87735CC1E8DD980E923F89D4
      Email 1: Datablack0068@gmail.com
      Email 2: Datablack0068@cyberfear.com
      Telegram: @Datablack0068

      To ensure decryption you can send 1-2 files (less than 1MB) we will decrypt it for free.
      IF 48 HOURS PASS WITHOUT YOUR ATTENTION, BRACE YOURSELF FOR A DOUBLED PRICE.
      WE DON'T PLAY AROUND HERE, TAKE THE HOURS SERIOUSLY.
×
×
  • Создать...