Перейти к содержанию

Рекомендуемые сообщения

Добрый день. Обнаружен шифровальщик. Закодировал файлы, теперь они с расширением .dat. Помогите в расшифровке и чистке. Лог вложил.

CollectionLog-2018.06.15-15.39.zip

Ссылка на сообщение
Поделиться на другие сайты
  • Ответов 39
  • Created
  • Последний ответ

Top Posters In This Topic

  • nevus68

    17

  • thyrex

    13

  • mike 1

    9

  • akoK

    1

По чьей рекомендации запускался Combofix?

видимо самостоятельно, но не помню чтобы запускал

Изменено пользователем nevus68
Ссылка на сообщение
Поделиться на другие сайты

Для информации: https://safezone.cc/threads/combofix-rukovodstvo-po-primeneniju.2773/. Выводы сами сделайте. 

 

Прикрепите C:\ComboFix.txt

Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты
Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.



DeQuarantine::
C:\Qoobox\Quarantine\c\windows\wininit.ini
 
DirLook::
c:\windows\system32\unknown
 
Quit::


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

 

cfscript.gif

 

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

Ссылка на сообщение
Поделиться на другие сайты

 

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.
DeQuarantine::
C:\Qoobox\Quarantine\c\windows\wininit.ini
 
DirLook::
c:\windows\system32\unknown
 
Quit::
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
 
cfscript.gif
 
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

готово

ComboFix.txt

Ссылка на сообщение
Поделиться на другие сайты
Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"
 
671e520b7c2d.jpg
 
Скачайте OTCleanIt, запустите, нажмите Clean up
 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
 

 

Ссылка на сообщение
Поделиться на другие сайты

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"
 
671e520b7c2d.jpg
 
Скачайте OTCleanIt, запустите, нажмите Clean up
 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
 

 

FRST.txt

Addition.txt

Ссылка на сообщение
Поделиться на другие сайты
Деинсталлируйте Служба автоматического обновления программ .

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 


  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.


  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:



CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\...\Run: [MailRuUpdater] => C:\Users\Bitum\AppData\Local\Mail.Ru\MailRuUpdater.exe [3477176 2018-05-11] (Mail.Ru) <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ahnphcmhmhcjjcjhmnnjjlbmaeljecga] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dmpojjilddefgnhiicjcmhbkjgbbclob] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ehfjihahbphdpljpiadbkmgmhnfehhgi] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ajflepegnononcfmoikdnephfleldnbh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [epgjfmblhacacphaljkdcjllkomdcjpc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pcodcgbpjdphncjkengnfigoiemaiapc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
S2 BitStreamSvc; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 BitStreamSvc; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
R2 mrupdsrv; C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe [1314008 2017-08-11] (Mail.Ru) <==== ATTENTION
R2 Updater.Mail.Ru; C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe [3477176 2018-05-11] (Mail.Ru) <==== ATTENTION
Task: {FD582CE7-A772-4FEF-9051-3B73DDC9225A} - System32\Tasks\MailRuUpdater => C:\Users\Bitum\AppData\Local\Mail.Ru\MailRuUpdater.exe [2018-05-11] (Mail.Ru) <==== ATTENTION
C:\Users\Bitum\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

Ссылка на сообщение
Поделиться на другие сайты

 

Деинсталлируйте Служба автоматического обновления программ .
 
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\...\Run: [MailRuUpdater] => C:\Users\Bitum\AppData\Local\Mail.Ru\MailRuUpdater.exe [3477176 2018-05-11] (Mail.Ru) <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ahnphcmhmhcjjcjhmnnjjlbmaeljecga] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dmpojjilddefgnhiicjcmhbkjgbbclob] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ehfjihahbphdpljpiadbkmgmhnfehhgi] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1553684141-3448958588-3310098841-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ajflepegnononcfmoikdnephfleldnbh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [epgjfmblhacacphaljkdcjllkomdcjpc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pcodcgbpjdphncjkengnfigoiemaiapc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
S2 BitStreamSvc; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 BitStreamSvc; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
R2 mrupdsrv; C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe [1314008 2017-08-11] (Mail.Ru) <==== ATTENTION
R2 Updater.Mail.Ru; C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe [3477176 2018-05-11] (Mail.Ru) <==== ATTENTION
Task: {FD582CE7-A772-4FEF-9051-3B73DDC9225A} - System32\Tasks\MailRuUpdater => C:\Users\Bitum\AppData\Local\Mail.Ru\MailRuUpdater.exe [2018-05-11] (Mail.Ru) <==== ATTENTION
C:\Users\Bitum\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

готово, архив на рабочем столе не появился

Fixlog.txt

Ссылка на сообщение
Поделиться на другие сайты

C:\Users\Bitum\Desktop\useragent.txt.dat

C:\Users\Bitum\Desktop\30к за 24ч.png.dat
C:\Users\Bitum\Desktop\k7odX1XFcg8.jpg.dat
C:\Users\Bitum\Documents\DecryptFiles.txt

Упакуйте в архив и прикрепите к сообщению.

Ссылка на сообщение
Поделиться на другие сайты

 

C:\Users\Bitum\Desktop\useragent.txt.dat

C:\Users\Bitum\Desktop\30к за 24ч.png.dat
C:\Users\Bitum\Desktop\k7odX1XFcg8.jpg.dat
C:\Users\Bitum\Documents\DecryptFiles.txt

Упакуйте в архив и прикрепите к сообщению.

 

Desktopfiles.rar

Ссылка на сообщение
Поделиться на другие сайты

Есть образцы зашифрованных doc, docx, xls, xlsx, rar, zip файлов? Если есть таковые, прикрепите в архиве к следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.


×
×
  • Создать...