Вирус шифровальщик .doubleoffset

[nick032]

Доброго времени суток!

Попал на компьютер вирус шифровальщик. Отработал и удалился. Все файлы имеют вид - email-komar@tuta.io.ver-CL 1.5.1.0.id-235974403-675717948326176492675746.fname-readme.htm.doubleoffset

Прикрепляю файл автологгера и архив с файлами зашифрованный + оригинал

CollectionLog-2018.05.14-12.56.zip

Зашифрованый+Оригинал.rar

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[nick032]

Результат работы FRST

FRST64-Logs.rar

[thyrex]

С расшифровкой помочь не сможем. Будет только зачистка следов мусора.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://do-search.com/web/?type=ds&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://do-search.com/web/?type=ds&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://do-search.com/?type=hp&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://do-search.com/?type=hp&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://do-search.com/web/?type=ds&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://do-search.com/web/?type=ds&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN&q={searchTerms}
HKU\S-1-5-21-2049055792-728103719-1408950590-500\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://do-search.com/?type=hp&ts=1430904671&z=8a810ab02bddecd8458a919g4zcc0edt9e8b4zfoce&from=cor&uid=INTELXSSDSC2BW120A4_CVDA404103SR1207GN
S1 aqlcoyqm; \??\C:\Windows\system32\drivers\aqlcoyqm.sys [X]
S1 ffcrdvbi; \??\C:\Windows\system32\drivers\ffcrdvbi.sys [X]
S1 fgbcsjnh; \??\C:\Windows\system32\drivers\fgbcsjnh.sys [X]
S1 gztbicxp; \??\C:\Windows\system32\drivers\gztbicxp.sys [X]
S1 igkpikmr; \??\C:\Windows\system32\drivers\igkpikmr.sys [X]
S1 jfuadrez; \??\C:\Windows\system32\drivers\jfuadrez.sys [X]
S1 jlxbihhg; \??\C:\Windows\system32\drivers\jlxbihhg.sys [X]
S1 kkgglrsl; \??\C:\Windows\system32\drivers\kkgglrsl.sys [X]
S1 lewcqbne; \??\C:\Windows\system32\drivers\lewcqbne.sys [X]
S1 rdnmfvbj; \??\C:\Windows\system32\drivers\rdnmfvbj.sys [X]
S1 rigwxrpl; \??\C:\Windows\system32\drivers\rigwxrpl.sys [X]
2018-05-13 22:01 - 2018-05-13 22:01 - 000000054 _____ () C:\Program Files\README.txt
2018-05-13 22:01 - 2018-05-13 22:01 - 000000054 _____ () C:\Program Files (x86)\README.txt
2018-05-13 22:01 - 2018-05-13 22:01 - 000000054 _____ () C:\Program Files\Common Files\README.txt
2018-05-13 22:01 - 2018-05-13 22:01 - 000000054 _____ () C:\Program Files (x86)\Common Files\README.txt
2018-05-13 22:02 - 2018-05-13 22:02 - 000000054 _____ () C:\Users\Администратор\AppData\Roaming\README.txt
2018-05-13 22:02 - 2018-05-13 22:02 - 000000054 _____ () C:\Users\Администратор\AppData\Roaming\Microsoft\README.txt
Task: {6E37A17A-7AAC-47E0-A56B-D64E4BE7B853} - System32\Tasks\ServiceApp => C:\ProgramData\windir.exe <==== ATTENTION
Task: {AD9D4779-1D55-4637-9E3D-9C764FBF3C0C} - \WindowsServiceRun -> No File <==== ATTENTION

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную.