Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Файлы не открываются (похоже что зашифрованы)

Heisenberg
 Поделиться

Рекомендуемые сообщения

Heisenberg

Heisenberg

Опубликовано
Опубликовано

Добрый день!

Поймал трояна. Теперь ни документы, ни фотографии не открываются.

Сейчас компьютер проверен Касперским антивирусом - найден и удалён троян Trojan Dropper.

Перед созданием логов компьютер проверен - Dr. Web Cureit. Угроз не обнаружено. Файлы так и не октрываются.

Возможно ли восстановить доступ к файлам!?

Спасибо!

CollectionLog-2018.03.19-14.52.zip

Sandor

Sandor

Опубликовано
Опубликовано

У поврежденных файлов, как понимаю, расширение не поменялось, верно?

 

С расшифровкой помочь не сможем, к сожалению. Будет только очистка следов.

 

Ярлыки

C:\Users\Компик\Desktop\Fwd_ Fwd[2]_ Предложение БИО по оценке тендера и реестр договоров за 5 лет 2_files.lnk

C:\Users\Компик\Desktop\минусовки.lnk

C:\Users\Компик\Desktop\Музыка.lnk

C:\Users\Компик\Desktop\Новая папка.lnk

C:\Users\Компик\Desktop\Новая папка (2).lnk

C:\Users\Компик\Desktop\Новая папка (4).lnk

C:\Users\Компик\Desktop\новые минусовки ноябрь 2016.lnk

C:\Users\Компик\Desktop\обоснование цены_files.lnk

C:\Users\Компик\Desktop\оценка -_files.lnk

C:\Users\Компик\Desktop\Слова песен.lnk

C:\Users\Компик\Desktop\Таблица различий.xlsx_files.lnk

C:\Users\Компик\Desktop\телефонная книга.lnk

C:\Users\Компик\Desktop\Форма.lnk

C:\Users\Компик\Desktop\фотки айфон.lnk

C:\Users\Компик\Desktop\фотки на распечатку.lnk

C:\Users\Компик\Desktop\фото.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Task: algzbje - C:\ProgramData\Mozilla\tftrlfl.exe tftrlfl (file missing)
O22 - Task: {226101BB-476C-4F57-B351-2516366382BA} - D:\Launcher.exe (file missing)
O22 - Task: {280B41CD-0807-4FAC-A5F8-7701545777E7} - D:\Launcher.exe (file missing)
O22 - Task: {2ECEE627-63EF-4919-B189-C3AC01A7300E} - D:\Launcher.exe (file missing)
O22 - Task: {38FD4EF1-497B-488F-9880-CDB82AD20B0E} - D:\Launcher.exe (file missing)
O22 - Task: {4DB7A12B-A8FB-4F2D-8B71-742D8E4D3916} - D:\Launcher.exe (file missing)
O22 - Task: {723A9197-8114-4AD1-A1F8-E7D15A1FC7B6} - D:\Launcher.exe (file missing)
O22 - Task: {73B72AB2-A385-47EF-9DB9-8FB64DF7DC81} - D:\Launcher.exe (file missing)
O22 - Task: {77EEA074-91A7-4B36-8507-124A8D165BED} - C:\Program Files\Europefire\Mohaa.exe (file missing)
O22 - Task: {784E920C-696A-4816-9B8A-90B89AA545E7} - D:\Launcher.exe (file missing)
O22 - Task: {F1B70D36-4B34-4B14-8204-FB6F1BCFD39F} - D:\Launcher.exe (file missing)
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Heisenberg

Heisenberg

Опубликовано
  • Автор
Опубликовано

У поврежденных файлов, как понимаю, расширение не поменялось, верно?

 

С расшифровкой помочь не сможем, к сожалению. Будет только очистка следов.

 

Ярлыки

C:\Users\Компик\Desktop\Fwd_ Fwd[2]_ Предложение БИО по оценке тендера и реестр договоров за 5 лет 2_files.lnk

C:\Users\Компик\Desktop\минусовки.lnk

C:\Users\Компик\Desktop\Музыка.lnk

C:\Users\Компик\Desktop\Новая папка.lnk

C:\Users\Компик\Desktop\Новая папка (2).lnk

C:\Users\Компик\Desktop\Новая папка (4).lnk

C:\Users\Компик\Desktop\новые минусовки ноябрь 2016.lnk

C:\Users\Компик\Desktop\обоснование цены_files.lnk

C:\Users\Компик\Desktop\оценка -_files.lnk

C:\Users\Компик\Desktop\Слова песен.lnk

C:\Users\Компик\Desktop\Таблица различий.xlsx_files.lnk

C:\Users\Компик\Desktop\телефонная книга.lnk

C:\Users\Компик\Desktop\Форма.lnk

C:\Users\Компик\Desktop\фотки айфон.lnk

C:\Users\Компик\Desktop\фотки на распечатку.lnk

C:\Users\Компик\Desktop\фото.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Task: algzbje - C:\ProgramData\Mozilla\tftrlfl.exe tftrlfl (file missing)
O22 - Task: {226101BB-476C-4F57-B351-2516366382BA} - D:\Launcher.exe (file missing)
O22 - Task: {280B41CD-0807-4FAC-A5F8-7701545777E7} - D:\Launcher.exe (file missing)
O22 - Task: {2ECEE627-63EF-4919-B189-C3AC01A7300E} - D:\Launcher.exe (file missing)
O22 - Task: {38FD4EF1-497B-488F-9880-CDB82AD20B0E} - D:\Launcher.exe (file missing)
O22 - Task: {4DB7A12B-A8FB-4F2D-8B71-742D8E4D3916} - D:\Launcher.exe (file missing)
O22 - Task: {723A9197-8114-4AD1-A1F8-E7D15A1FC7B6} - D:\Launcher.exe (file missing)
O22 - Task: {73B72AB2-A385-47EF-9DB9-8FB64DF7DC81} - D:\Launcher.exe (file missing)
O22 - Task: {77EEA074-91A7-4B36-8507-124A8D165BED} - C:\Program Files\Europefire\Mohaa.exe (file missing)
O22 - Task: {784E920C-696A-4816-9B8A-90B89AA545E7} - D:\Launcher.exe (file missing)
O22 - Task: {F1B70D36-4B34-4B14-8204-FB6F1BCFD39F} - D:\Launcher.exe (file missing)
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

 

 

Файлы вложил.

А есть какой-то способ восстановить файлы!? Или хотя бы фотографии.

HiJackThis.log

ClearLNK-2018.03.20_09.58.15.log

Addition.txt

FRST.txt

Shortcut.txt

Sandor

Sandor

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, все предыдущее сообщение. Используйте форму быстрого ответа внизу.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKU\S-1-5-21-827502065-1194102775-3114929-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
SearchScopes: HKLM -> DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&ieverfix=1&fr=ieverfix_dse
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&ieverfix=1&fr=ieverfix_dse
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-827502065-1194102775-3114929-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
FF user.js: detected! => C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\user.js [2017-02-17]
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-02-17] [Legacy]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-02-17] [Legacy]
FF Extension: (Спутник @Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2013-03-03] [Legacy] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Компик\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-02-17] [Legacy]
CHR StartupUrls: Default -> "hxxp://go.mail.ru/?chverfix=1&fr=chverfix_sg"
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
2017-02-15 09:44 - 2017-02-15 09:44 - 000001088 _____ () C:\Users\Компик\AppData\Roaming\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY
2017-02-15 09:44 - 2017-02-15 09:44 - 000016715 _____ () C:\Users\Компик\AppData\Roaming\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html
2018-03-19 12:13 - 2018-03-19 12:14 - 000000000 _____ () C:\Users\Компик\AppData\Local\temp\b5449102464ccc82.exe
MSCONFIG\startupfolder: C:^Users^Компик^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html => C:\Windows\pss\RU24F-ECHXG-TRRGT-EOTFX-KTXHK-HHTXO-HFYYY.html.Startup
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

есть какой-то способ восстановить файлы

Ответил выше.

 

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Но шансов почти нет.

 

Рекомендации после удаления вредоносного ПО

Heisenberg

Heisenberg

Опубликовано
  • Автор
Опубликовано

Спасибо! Получается можно всё снести и поставить ОС заново.

Sandor

Sandor

Опубликовано
Опубликовано

Как хотите, в сносе ОС нет необходимости.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • alegator2222
      Шифровальщик SPORA
      Автор alegator2222
      Добрый день коллеги, подверглись атаки вируса spora, шифрует файлы в hta, есть способ расшифровать? 
      пример_hta_файла.rar
    • stasnakhlov
      зашифровали файлы .hta
      Автор stasnakhlov
      Добрый день. 
       
      Проблема следующая: через почтовый клиент был открыт файл с вирусом, сам комп не заразился, а вот рабочий сервер пострадал, половина файлов за шифровались под расширение .hta . 
      CollectionLog-2017.10.25-14.04.zip
    • Viki
      Шифровальщик Hta
      Автор Viki
      Пришло письмо на электронную почту, с содержимым вроде "документы проверенны, с нашей стороны все в порядке, посмотрите с вашей" и прикрепленный файл hta, открыла, все документы на рабочем столе стали с расширением hta. исчезли все данные с 1с кварта и т.д. Как можно все восстановить подскажите пожалуйста
    • mixali4
      Шифровальщик Spora
      Автор mixali4
      Доброго времени суток. С почтового ящика qeer@mail.ru пришло письмо со следующим содержимым:
      Случайно запустил на компьютере файл, который пришел в архиве.
      Вирус зашифровал много файлов, но я успел вовремя отрубить, файлы преобразовались в расширения типа *.doc.hta, *.xls.hta. При открытии файла требует деньги, почта spora.help@gmail.com.
      Как расшифровать данные файлы, что вообще можно сделать?
      Документы очень важные. Ребята помогите пожалуйста.
      Спасибо!!!
    • Владимир72рус
      поймали шифровальщик spora, как дешифровать файлы?
      Автор Владимир72рус
      Вчера на работе у нас произошел инцидент, одна наша сотрудница приняла письмо по почте, от неизвестного источника, соответственно распаковала и открыла файл, сама того не понимая, что это был скрипт.
      После чего вирус начал делать свои дела на компе и в сети, то есть начал шифровать файлы, параллельно производил поиск в сети всех расширенных папок и начал шифровать все файлы.
      выкладываю файл со скриптом, а так же фото рабочего стола
       

      Строгое предупреждение от модератора Mark D. Pearlstone не выкладывайте вредоносные и потенциально вредоносные файлы и ссылки на форум.





×
×
  • Создать...