ransom.shade Шифровальщик crypted000007

[Denis333]

Здравствуйте, зашифрованы файлы с расширением crypted000007. 

Приложил лог, и в соседних темах увидел что вы часто просите при схожей проблеме тест FRST , приложил его тоже для ускорения. 

Заранее благодарю за любую помощь.

CollectionLog-2018.03.26-14.22.zip

frst.rar

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\PROGRA~3\SysWOW64\Hrs3akBI.cmd', '');
 QuarantineFile('F:\autorun.inf', '');
 DeleteFile('C:\PROGRA~3\SysWOW64\Hrs3akBI.cmd', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Command Line Support');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

 

Совет:

не пользуйтесь

repack by kpojiuk

[Denis333]

Спасибо за быстрый ответ!

Удалил на всякий случай Malwarebytes полностью, после этого просканировал еще раз dr. web cure it .После чего сделал по вашей инструкции файл карантина.  На файл получил ответ :

 

вирус [KLAN-7820046961]

 

Thank you for contacting Kaspersky Lab

The files have been scanned in automatic mode.

No information about the specified files can be found in the antivirus databases:
Hrs3akBI.cmd
autorun.inf

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

This is an automatically generated message. Please do not reply to it.

Anti-Virus Lab, Kaspersky Lab HQ

 

Новые логи.

 

CollectionLog-2018.03.26-16.35.zip

frst.rar

[Sandor]

Расшифровки для этого типа вымогателя, к сожалению, нет. Будет только очистка следов.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  2018-03-26 08:09 - 2018-03-26 16:15 - 000000000 __SHD C:\ProgramData\SysWOW64
  2018-03-26 08:08 - 2018-03-26 08:08 - 000000000 __SHD C:\ProgramData\Csrss
  2018-03-26 08:07 - 2018-03-26 08:07 - 003148854 _____ C:\Users\BOSS\AppData\Roaming\A706E096A706E096.bmp
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README9.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README8.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README7.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README6.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README5.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README4.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README3.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README2.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README10.txt
  2018-03-26 08:07 - 2018-03-26 08:07 - 000004154 _____ C:\Users\BOSS\Desktop\README1.txt
  2018-03-25 11:06 - 2018-03-25 11:06 - 000000000 ____D C:\Users\Default\AppData\Local\Microsoft Help
  2018-03-25 11:06 - 2018-03-25 11:06 - 000000000 ____D C:\Users\Default User\AppData\Local\Microsoft Help
  2018-03-24 00:08 - 2018-03-24 00:08 - 000000000 ____D C:\Users\BOSS\AppData\Local\WindowsUpdate
  2018-03-21 13:53 - 2018-03-21 13:53 - 000000000 __SHD C:\ProgramData\Windows
  2015-09-18 11:15 - 2015-09-18 11:16 - 044835384 _____ (LLC Mail.Ru) C:\Users\Dizainer\AppData\Local\Temp\AmigoDistrib.exe
  2015-09-18 11:15 - 2015-09-18 11:15 - 000000000 _____ () C:\Users\Dizainer\AppData\Local\Temp\cinemaplus.exe
  2015-09-18 11:16 - 2015-09-18 11:16 - 063346272 _____ (Kometa LCC) C:\Users\Dizainer\AppData\Local\Temp\kometa_vd.exe
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Denis333]

Жаль, но спасибо за оперативную и ясную помощь!

[Sandor]

Скрипт все же выполните и покажите отчет fixlog.txt