Перейти к содержанию

Еще один шифровальщик helps@tutanota.com

mmag
 Поделиться

Рекомендуемые сообщения

mmag

mmag

Опубликовано
Опубликовано (изменено)

На сервере оказалось все зашифровано.

Видимо пролез по RDP, в папке Users/Public остались файлы шифровальщика.

 

 

Выполнил рекомендованные операции с autologger и прикладываю лог: CollectionLog-2018.05.30-16.33.zip

Изменено пользователем mmag
regist

regist

Опубликовано
Опубликовано

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\Kadry\AppData\Roaming\Ohahx\qeovx.exe', '');
 QuarantineFileF('C:\Users\Kadry\AppData\Roaming\Ohahx', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Users\Kadry\AppData\Roaming\Ohahx\qeovx.exe', '64');
 DeleteFileMask('C:\Users\Kadry\AppData\Roaming\Ohahx', '*', true);
 DeleteDirectory('C:\Users\Kadry\AppData\Roaming\Ohahx');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-3263246186-511806803-1035854158-1133\Software\Microsoft\Windows\CurrentVersion\Run', '{F6C3B460-7B8B-E131-87A7-3E40C4633031}');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.


 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
 

mmag

mmag

Опубликовано
  • Автор
Опубликовано

После выполнения скрипта получается пустой архив карантина. В окне сообщений AVZ следующие ошибки при попытке доступа к файлам: «Ошибка карантина файла, попытка прямого чтения (<имя файла>)»

 

Антивирус и файрволл выгружены.

 

Ссылка: https://virusinfo.info/virusdetector/report.php?md5=7A09BFDC757DE37112ACF3F8E22A4936(часть файлов, собранные для отправки в вирусинфо также не были обработаны из-за описанной выше ошибки)

 

Лог ADWCleaner: AdwCleanerS00.txt


Повторные логи: CollectionLog-2018.05.31-12.56.zip

regist

regist

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Tools ->Options (Инструменты ->Настройки) отметьте:
    • Сброс политик IE
    • Сброс политик Chrome

    [*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления. [*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[C00].txt. [*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

+ такой лог сделайте https://safezone.cc:443/threads/kak-podgotovit-log-hijackthis.2304/

regist

regist

Опубликовано
Опубликовано

  • Пожалуйста, запустите adwcleaner.exe
  • В меню Настройки - Удалить AdwCleaner - выберите Удалить.
  • Подтвердите удаление, нажав кнопку: Да.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

regist

regist

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Start::
CreateRestorePoint:
Startup: C:\Users\buh_2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.hta [2018-05-28] ()
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Windows\SysWOW64\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Windows\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\Documents\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\Desktop\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\AppData\Roaming\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\AppData\LocalLow\README.hta
2018-05-28 03:28 - 2018-05-28 03:28 - 000000000 _____ C:\Users\администратор.ECO-L\AppData\Local\Temp\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\Documents\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\Desktop\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\AppData\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Администратор\AppData\Local\Temp\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\администратор.ECO-L\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\администратор.ECO-L\AppData\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\test\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\test\Documents\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\test\AppData\Roaming\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\test\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\test\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\test\AppData\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Technical\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Technical\Documents\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Technical\AppData\Roaming\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Technical\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Technical\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Technical\AppData\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Secretar\Documents\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Secretar\Desktop\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Secretar\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ C:\Users\Secretar\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\Secretar\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\Secretar\AppData\Roaming\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\Secretar\AppData\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\Documents\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\AppData\Roaming\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\AppData\README.hta
2018-05-28 03:26 - 2018-05-28 03:26 - 000000000 _____ C:\Users\SCANER\AppData\Local\Temp\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\Public\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\Public\Documents\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\Documents\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\AppData\Roaming\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\AppData\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\ppa\AppData\LocalLow\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\Documents\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\AppData\Roaming\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\AppData\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\AppData\LocalLow\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\npritulo\AppData\Local\Temp\README.hta
2018-05-28 03:24 - 2018-05-28 03:24 - 000000000 _____ C:\Users\Lihotnikova\Downloads\README.hta
2018-05-28 03:20 - 2018-05-28 03:20 - 000000000 _____ C:\Users\Lihotnikova\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:20 - 2018-05-28 03:20 - 000000000 _____ C:\Users\Lihotnikova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:19 - 2018-05-28 03:19 - 000000000 _____ C:\Users\Lihotnikova\README.hta
2018-05-28 03:19 - 2018-05-28 03:19 - 000000000 _____ C:\Users\Lihotnikova\AppData\Roaming\README.hta
2018-05-28 03:19 - 2018-05-28 03:19 - 000000000 _____ C:\Users\Lihotnikova\AppData\README.hta
2018-05-28 03:19 - 2018-05-28 03:19 - 000000000 _____ C:\Users\Lihotnikova\AppData\LocalLow\README.hta
2018-05-28 03:18 - 2018-05-28 03:18 - 000000000 _____ C:\Users\Kadry\Documents\README.hta
2018-05-28 03:17 - 2018-05-28 03:17 - 000000000 _____ C:\Users\Kadry\Desktop\README.hta
2018-05-28 03:17 - 2018-05-28 03:17 - 000000000 _____ C:\Users\Kadry\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:17 - 2018-05-28 03:17 - 000000000 _____ C:\Users\Kadry\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Kadry\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Kadry\AppData\Roaming\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Kadry\AppData\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Kadry\AppData\LocalLow\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\Documents\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\AppData\Roaming\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\AppData\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\AppData\LocalLow\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\isadmin\AppData\Local\Temp\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default\Documents\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default\AppData\Roaming\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default\AppData\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default User\Documents\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default User\AppData\Roaming\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\Default User\AppData\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\Documents\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\Desktop\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\AppData\Roaming\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\AppData\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\AppData\LocalLow\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord\AppData\Local\Temp\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\Documents\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\Desktop\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\AppData\Roaming\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\AppData\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\AppData\LocalLow\README.hta
2018-05-28 03:16 - 2018-05-28 03:16 - 000000000 _____ C:\Users\crazylord.OCE-S8K-TS1\AppData\Local\Temp\README.hta
2018-05-28 03:14 - 2018-05-28 03:14 - 000000000 _____ C:\Users\Buh_5\Downloads\README.hta
2018-05-28 03:09 - 2018-05-28 03:09 - 000000000 _____ C:\Users\Buh_5\Desktop\README.hta
2018-05-28 03:05 - 2018-05-28 03:05 - 000000000 _____ C:\Users\Buh_5\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:05 - 2018-05-28 03:05 - 000000000 _____ C:\Users\Buh_5\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:04 - 2018-05-28 03:04 - 000000000 _____ C:\Users\Buh_5\README.hta
2018-05-28 03:04 - 2018-05-28 03:04 - 000000000 _____ C:\Users\Buh_5\AppData\Roaming\README.hta
2018-05-28 03:04 - 2018-05-28 03:04 - 000000000 _____ C:\Users\Buh_5\AppData\README.hta
2018-05-28 03:04 - 2018-05-28 03:04 - 000000000 _____ C:\Users\Buh_5\AppData\LocalLow\README.hta
2018-05-28 03:04 - 2018-05-28 03:04 - 000000000 _____ C:\Users\Buh_5\AppData\Local\Temp\README.hta
2018-05-28 03:04 - 2018-05-28 03:04 - 000000000 _____ C:\Users\Buh_4\Documents\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\Desktop\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\AppData\Roaming\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\AppData\README.hta
2018-05-28 03:03 - 2018-05-28 03:03 - 000000000 _____ C:\Users\Buh_4\AppData\LocalLow\README.hta
2018-05-28 03:01 - 2018-05-28 03:01 - 000000000 _____ C:\Users\Buh_3\README.hta
2018-05-28 03:01 - 2018-05-28 03:01 - 000000000 _____ C:\Users\Buh_3\AppData\Roaming\README.hta
2018-05-28 03:01 - 2018-05-28 03:01 - 000000000 _____ C:\Users\Buh_3\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 03:01 - 2018-05-28 03:01 - 000000000 _____ C:\Users\Buh_3\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 03:01 - 2018-05-28 03:01 - 000000000 _____ C:\Users\Buh_3\AppData\README.hta
2018-05-28 03:01 - 2018-05-28 03:01 - 000000000 _____ C:\Users\Buh_3\AppData\LocalLow\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\AppData\Roaming\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\AppData\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\AppData\LocalLow\README.hta
2018-05-28 02:53 - 2018-05-28 02:53 - 000000000 _____ C:\Users\buh_2\AppData\Local\Temp\README.hta
2018-05-28 02:52 - 2018-05-28 02:52 - 000000000 _____ C:\Users\buh_1\Downloads\README.hta
2018-05-28 02:51 - 2018-05-28 02:51 - 000000000 _____ C:\Users\buh_1\Documents\README.hta
2018-05-28 02:49 - 2018-05-28 02:49 - 000000000 _____ C:\Users\buh_1\Desktop\README.hta
2018-05-28 02:48 - 2018-05-28 02:48 - 000000000 _____ C:\Users\buh_1\AppData\Roaming\README.hta
2018-05-28 02:48 - 2018-05-28 02:48 - 000000000 _____ C:\Users\buh_1\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 02:48 - 2018-05-28 02:48 - 000000000 _____ C:\Users\buh_1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 02:48 - 2018-05-28 02:48 - 000000000 _____ C:\Users\buh_1\AppData\LocalLow\README.hta
2018-05-28 02:48 - 2018-05-28 02:48 - 000000000 _____ C:\Users\buh_1\AppData\Local\Temp\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000009026 _____ C:\Users\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000009026 _____ C:\Users\ADMIN\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000009026 _____ C:\Users\ADMIN\AppData\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\buh_1\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\buh_1\AppData\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin\Documents\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin\AppData\Roaming\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin\AppData\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\Documents\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\AppData\Roaming\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\AppData\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\apelsin.OCE-S8K-TS1\AppData\Local\Temp\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\ADMIN\Documents\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\ADMIN\AppData\Roaming\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\ADMIN\AppData\LocalLow\README.hta
2018-05-28 02:47 - 2018-05-28 02:47 - 000000000 _____ C:\Users\ADMIN\AppData\Local\Temp\README.hta
2018-05-28 02:41 - 2018-05-28 02:41 - 000009026 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.hta
2018-05-28 02:41 - 2018-05-28 02:41 - 000009026 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-28 02:40 - 2018-05-28 02:40 - 000009026 _____ C:\Users\Все пользователи\README.hta
2018-05-28 02:40 - 2018-05-28 02:40 - 000009026 _____ C:\ProgramData\README.hta
2018-05-28 02:38 - 2018-05-28 02:38 - 000009026 _____ C:\Program Files (x86)\README.hta
2018-05-28 02:36 - 2018-05-28 02:36 - 000009026 _____ C:\Program Files\README.hta
2018-05-28 02:36 - 2018-05-28 02:36 - 000009026 _____ C:\Program Files\Common Files\README.hta
2018-05-28 02:33 - 2018-05-28 02:33 - 000009026 _____ C:\Users\buh_2\Desktop\README.hta
2018-05-28 02:33 - 2018-05-28 02:33 - 000009026 _____ C:\README.hta
2018-05-28 02:36 - 2018-05-28 02:36 - 000009026 _____ () C:\Program Files\README.hta
2018-05-28 02:38 - 2018-05-28 02:38 - 000009026 _____ () C:\Program Files (x86)\README.hta
2018-05-28 02:36 - 2018-05-28 02:36 - 000009026 _____ () C:\Program Files\Common Files\README.hta
2018-05-28 02:39 - 2018-05-28 02:39 - 000009026 _____ () C:\Program Files (x86)\Common Files\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ () C:\Users\Администратор\AppData\Roaming\Microsoft\README.hta
2018-05-28 03:27 - 2018-05-28 03:27 - 000000000 _____ () C:\Users\Администратор\AppData\Local\README.hta
EmptyTemp:
Reboot:
End::
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
regist

regist

Опубликовано
Опубликовано

пример зашифрованного файла и сообщение вымогателей прикрепите.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Vich
      имена файлов зашифрованны something_ne@india.com_(id)
      Автор Vich
      после выходных на рабочем компьютере, который остался включенным увидел что имена файлов приобрели вид:
       
      something_ne@india.com_73657475702E696E69
       
      на рабочем столе и в каждой папке присутствует файл:
       
      HOW DECRIPT FILES.hta
       
      Прочтя соседнюю тему воспользовался утилитой FRST64.
       
      В прикрепленном addition, frst
       
      Окажите помощь, в расшифровке.....
      ransom.7z
    • vinny_b
      Шифровальщик-вымогатель биткоинов (something_ne@india.com)
      Автор vinny_b
      Товарищ на работе словил вышеуказанного зловреда.
      Просят 0,7 биткоинов: требования:
       
       
      Штатным Kaspersky Small Office был обнаружен и помещен в карантин единственный зашифрованный файл в папке "C:\Confused\folder". (архив virus.zip, пароль "virus").
      CollectionLog-2017.02.28-03.38.zip
    • xander21
      Файлы зашифрованы uncrypte@india.com
      Автор xander21
      К сожалению, не получается расшифровать. Программа пропускает файлы. Вот лог:
      41EC4F072318644D3074FF skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_6D94D9F33AF40A8098EAC9AC0A30FE57A3E0D6EB17DFFEB9DF109F303AF17858 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_8AF2E4BF1FFA56424B652F903338539EB8A6C0604C6259BCB1493EE77A493EB2 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_C21DC898EF12E9196792FA977AB7DE74 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_EEC76F7A1D7184C287D23999B88E19527E8419C66FBDFD2DCD858A145D909E26 skipped
       
      Successfully decrypted 0 files!
       
      Skipped 5 files
       

      Сообщение от модератора thyrex Выделено из темы https://forum.kasperskyclub.ru/index.php?showtopic=54305
    • elec3on
      Шифровальщик heineken@tuta.io...
      Автор elec3on
      Добрый день!
      Найден шифровальщик 
      зашифровал файлы под именем heineken@tuta.io_D0B2D0B5D0B4D0BED0BCD0BED181D182D18C2E786C73
      после @tuta.io значения разные.
      Определить Шифровальщик не получается, в связи с чем невозможно определить существует ли дешифровщик к нему.
      Нужна помощь! 
      CollectionLog-2018.06.09-10.28.zip
    • Monmak25
      Вирус-шифровальщик excaliburarthur@protonmail.com
      Автор Monmak25
      Всем доброго времени суток!
       
      Не успел я расшифровать файлы от вируса zeman@tutanota.de (естественно, с помощью специалистов этого форума), как тут же не успел защитить их от нового шифровальщика (кто-то открыл какое-то письмо).
       
      Второй email в сообщении: symbyosis@protonmail.com.
       
      Проверил KVRT - чисто.
      Запустил FRST и Autologger - собрал нужные логи.
       
      Также в корне расшаренной папки на другом компьютере среди зашифрованных файлов нашел файл формата .key, которого раньше не было. Правда, ни в какой кодировке он у меня не принял читабельный вид.
       
      Кроме этого, в приложенном архиве зашифрованный файл и readme.txt с PID.
       
       
      Прошу помощи с расшифровкой.
      406.rar
×
×
  • Создать...