Перейти к содержанию

Файлы не открываются (похоже что зашифрованы)

Heisenberg
 Поделиться

Рекомендуемые сообщения

Heisenberg Новичок

Heisenberg

Опубликовано
Опубликовано

Добрый день!

Поймал трояна. Теперь ни документы, ни фотографии не открываются.

Сейчас компьютер проверен Касперским антивирусом - найден и удалён троян Trojan Dropper.

Перед созданием логов компьютер проверен - Dr. Web Cureit. Угроз не обнаружено. Файлы так и не октрываются.

Возможно ли восстановить доступ к файлам!?

Спасибо!

CollectionLog-2018.03.19-14.52.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

У поврежденных файлов, как понимаю, расширение не поменялось, верно?

 

С расшифровкой помочь не сможем, к сожалению. Будет только очистка следов.

 

Ярлыки

C:\Users\Компик\Desktop\Fwd_ Fwd[2]_ Предложение БИО по оценке тендера и реестр договоров за 5 лет 2_files.lnk

C:\Users\Компик\Desktop\минусовки.lnk

C:\Users\Компик\Desktop\Музыка.lnk

C:\Users\Компик\Desktop\Новая папка.lnk

C:\Users\Компик\Desktop\Новая папка (2).lnk

C:\Users\Компик\Desktop\Новая папка (4).lnk

C:\Users\Компик\Desktop\новые минусовки ноябрь 2016.lnk

C:\Users\Компик\Desktop\обоснование цены_files.lnk

C:\Users\Компик\Desktop\оценка -_files.lnk

C:\Users\Компик\Desktop\Слова песен.lnk

C:\Users\Компик\Desktop\Таблица различий.xlsx_files.lnk

C:\Users\Компик\Desktop\телефонная книга.lnk

C:\Users\Компик\Desktop\Форма.lnk

C:\Users\Компик\Desktop\фотки айфон.lnk

C:\Users\Компик\Desktop\фотки на распечатку.lnk

C:\Users\Компик\Desktop\фото.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Task: algzbje - C:\ProgramData\Mozilla\tftrlfl.exe tftrlfl (file missing)
O22 - Task: {226101BB-476C-4F57-B351-2516366382BA} - D:\Launcher.exe (file missing)
O22 - Task: {280B41CD-0807-4FAC-A5F8-7701545777E7} - D:\Launcher.exe (file missing)
O22 - Task: {2ECEE627-63EF-4919-B189-C3AC01A7300E} - D:\Launcher.exe (file missing)
O22 - Task: {38FD4EF1-497B-488F-9880-CDB82AD20B0E} - D:\Launcher.exe (file missing)
O22 - Task: {4DB7A12B-A8FB-4F2D-8B71-742D8E4D3916} - D:\Launcher.exe (file missing)
O22 - Task: {723A9197-8114-4AD1-A1F8-E7D15A1FC7B6} - D:\Launcher.exe (file missing)
O22 - Task: {73B72AB2-A385-47EF-9DB9-8FB64DF7DC81} - D:\Launcher.exe (file missing)
O22 - Task: {77EEA074-91A7-4B36-8507-124A8D165BED} - C:\Program Files\Europefire\Mohaa.exe (file missing)
O22 - Task: {784E920C-696A-4816-9B8A-90B89AA545E7} - D:\Launcher.exe (file missing)
O22 - Task: {F1B70D36-4B34-4B14-8204-FB6F1BCFD39F} - D:\Launcher.exe (file missing)
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Heisenberg Новичок

Heisenberg

Опубликовано
  • Автор
Опубликовано

У поврежденных файлов, как понимаю, расширение не поменялось, верно?

 

С расшифровкой помочь не сможем, к сожалению. Будет только очистка следов.

 

Ярлыки

C:\Users\Компик\Desktop\Fwd_ Fwd[2]_ Предложение БИО по оценке тендера и реестр договоров за 5 лет 2_files.lnk

C:\Users\Компик\Desktop\минусовки.lnk

C:\Users\Компик\Desktop\Музыка.lnk

C:\Users\Компик\Desktop\Новая папка.lnk

C:\Users\Компик\Desktop\Новая папка (2).lnk

C:\Users\Компик\Desktop\Новая папка (4).lnk

C:\Users\Компик\Desktop\новые минусовки ноябрь 2016.lnk

C:\Users\Компик\Desktop\обоснование цены_files.lnk

C:\Users\Компик\Desktop\оценка -_files.lnk

C:\Users\Компик\Desktop\Слова песен.lnk

C:\Users\Компик\Desktop\Таблица различий.xlsx_files.lnk

C:\Users\Компик\Desktop\телефонная книга.lnk

C:\Users\Компик\Desktop\Форма.lnk

C:\Users\Компик\Desktop\фотки айфон.lnk

C:\Users\Компик\Desktop\фотки на распечатку.lnk

C:\Users\Компик\Desktop\фото.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Task: algzbje - C:\ProgramData\Mozilla\tftrlfl.exe tftrlfl (file missing)
O22 - Task: {226101BB-476C-4F57-B351-2516366382BA} - D:\Launcher.exe (file missing)
O22 - Task: {280B41CD-0807-4FAC-A5F8-7701545777E7} - D:\Launcher.exe (file missing)
O22 - Task: {2ECEE627-63EF-4919-B189-C3AC01A7300E} - D:\Launcher.exe (file missing)
O22 - Task: {38FD4EF1-497B-488F-9880-CDB82AD20B0E} - D:\Launcher.exe (file missing)
O22 - Task: {4DB7A12B-A8FB-4F2D-8B71-742D8E4D3916} - D:\Launcher.exe (file missing)
O22 - Task: {723A9197-8114-4AD1-A1F8-E7D15A1FC7B6} - D:\Launcher.exe (file missing)
O22 - Task: {73B72AB2-A385-47EF-9DB9-8FB64DF7DC81} - D:\Launcher.exe (file missing)
O22 - Task: {77EEA074-91A7-4B36-8507-124A8D165BED} - C:\Program Files\Europefire\Mohaa.exe (file missing)
O22 - Task: {784E920C-696A-4816-9B8A-90B89AA545E7} - D:\Launcher.exe (file missing)
O22 - Task: {F1B70D36-4B34-4B14-8204-FB6F1BCFD39F} - D:\Launcher.exe (file missing)
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

 

 

Файлы вложил.

А есть какой-то способ восстановить файлы!? Или хотя бы фотографии.

HiJackThis.log

ClearLNK-2018.03.20_09.58.15.log

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, все предыдущее сообщение. Используйте форму быстрого ответа внизу.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKU\S-1-5-21-827502065-1194102775-3114929-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
SearchScopes: HKLM -> DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&ieverfix=1&fr=ieverfix_dse
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&ieverfix=1&fr=ieverfix_dse
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
FF user.js: detected! => C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\user.js [2017-02-17]
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-02-17] [Legacy]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-02-17] [Legacy]
FF Extension: (Спутник @Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2013-03-03] [Legacy] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-02-17] [Legacy]
CHR StartupUrls: Default -> "hxxp://go.mail.ru/?chverfix=1&fr=chverfix_sg"
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
2017-02-15 09:44 - 2017-02-15 09:44 - 000001088 _____ () C:\Users\Компик\AppData\Roaming\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY
2017-02-15 09:44 - 2017-02-15 09:44 - 000016715 _____ () C:\Users\Компик\AppData\Roaming\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html
2018-03-19 12:13 - 2018-03-19 12:14 - 000000000 _____ () C:\Users\Компик\AppData\Local\temp\b5449102464ccc82.exe
MSCONFIG\startupfolder: C:^Users^Компик^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html => C:\Windows\pss\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html.Startup
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

есть какой-то способ восстановить файлы

Ответил выше.

 

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Но шансов почти нет.

 

Рекомендации после удаления вредоносного ПО

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • vasia15
      вирус похож на шифровальщик
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
    • Mep3aBEz
      Зашифровались файлы
      Автор Mep3aBEz
      Добрый день!
      6 мая 2025 года зашифровались файлы.
      Как проник вирус неизвестно.
       
      Произошло:
      Ночью на виртуалку на Win10x64 с включенным RDP в папку c:\users\admin\music попал файл AD.exe
      На самой виртуалке ничего не зашифровалось, но два рабочих компьютера на Win11, которые были включены в тот момент зашифровались.
      Также не зашифровался ни один (из 5) рабочий сервер на виртуалках с WS2022.
      С зашифрованных компов была удалена система, поэтому лог анализа системы прикрепить не могу, файл шифровальщика тоже не сохранили.
       
       
       
      encrypt_files.zip
    • orbita06
      вирус зашифровал файлы
      Автор orbita06
      легла вся сеть и 4 сервера вирус удален нужна программа дешифровальщика
    • robocop1974
      Зашифрованные файлы
      Автор robocop1974
      Добрый день. Если есть возможность выяснить есть ли дешифратор?
      Система была переустановлена (но имеется клон, для анализа смогу без проблем предоставить логи Farbar Recovery Scan Tool, но к сожалению позже).
      В архиве несколько зашифрованных файлов.
      *.txt, *.html файлов для выкупа не было. Но была папка с названием "DontDeleteThisFolder" в ней лежал файл "enc". Файл так же в архиве.
       
      Пробовал некоторые дешифраторы с сайта Касперского и Крипто-шерифа, но к сожалению безуспешно.
       
      Заранее спасибо за уделенное время!
       
      files.zip
×
×
  • Создать...