Зашифрованы файлы [decrypthelp@qq.com].arrow

[Android1 0]

Добрый день!

 

На компьютер, на котором был запущен Kasperskiy Internet Security , проник вирус и зашифровал файлы. Расширение зашифрованых файлов [decrypthelp@qq.com].arrow. Подскажите, возможно ли дешифровать файлы и как это сделать? 

Как в будущем все таки защищаться от этого шифровальщика?

[kmscom 2 359]

внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».

[Android1 0]

 

внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».

 

 

Прошу прощения, но в предоставленной теме не совсем понятно, что делать, если Антивирус Kaspersky уже стоит. Он же проводил очистку и делал логи, можно ли их предоставлять?

[kmscom 2 359]

 Скачайте актуальную версию автоматического сборщика логов, необходимого для анализа ОС и распакуйте полученный архив в любую удобную для Вас папку. Обязательно выгрузите защитное ПО (антивирус, фаерволл, брандмауэр) во избежание конфликтов при работе утилит автоматического сборщика логов, т.к. иначе возможно значительное снижение производительности ОС, её зависание и/или отказ (появление BSOD, т. е. синего экрана смерти). Запустите файл AutoLogger.exe и следуйте выводимым рекомендациям. Дождитесь окончания работы автоматического сборщика логов. В папке AutoLogger, расположенной там же, куда Вы ранее распаковали архив, будет находиться zip-архив с собранными логами - CollectionLog-yyyy.mm.dd-hh.mm.zip, где yyyy.mm.dd-hh.mm - дата и время запуска сканирования. Например: CollectionLog-2014.07.14-21.04.zip

• вложите в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip

4. Дождитесь действий консультантов.

 

[Android1 0]

 

 Скачайте актуальную версию автоматического сборщика логов, необходимого для анализа ОС и распакуйте полученный архив в любую удобную для Вас папку. Обязательно выгрузите защитное ПО (антивирус, фаерволл, брандмауэр) во избежание конфликтов при работе утилит автоматического сборщика логов, т.к. иначе возможно значительное снижение производительности ОС, её зависание и/или отказ (появление BSOD, т. е. синего экрана смерти). Запустите файл AutoLogger.exe и следуйте выводимым рекомендациям. Дождитесь окончания работы автоматического сборщика логов. В папке AutoLogger, расположенной там же, куда Вы ранее распаковали архив, будет находиться zip-архив с собранными логами - CollectionLog-yyyy.mm.dd-hh.mm.zip, где yyyy.mm.dd-hh.mm - дата и время запуска сканирования. Например: CollectionLog-2014.07.14-21.04.zip

• вложите в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip

4. Дождитесь действий консультантов.

 

 

 

Прикладываю файл логов. Спасибо!

CollectionLog-2018.06.30-23.51.zip

[mike 1 1 044]

Как в будущем все таки защищаться от этого шифровальщика?

>> Безопасность: Разрешены терминальные подключения к данному ПК

 

Задуматься о резервном копировании важной информации. Хотя в Вашем случае злоумышленник удаленно зашел на Вашу систему и вручную запустил шифровальщика, но скорее всего перед этим выключил антивирус. 

 

RDP Wrapper сами себе ставили?

 

Рекомендую удалить SpyHunter 5 от греха подальше. https://safezone.cc/threads/pochemu-ne-sleduet-ispolzovat-programmu-spyhunter.28842/

 

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

 

O4 - HKLM\..\Run: [workout.exe] = C:\Users\Public\workout.exe  (file missing)

 

Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

Изменено 30 июня, 2018 пользователем mike 1

[Android1 0]

Добрый вечер!

 

RDP Wrapper - ставил сам, нужна была возможность реализовать RDP доступ нескольких пользователей  к определенной программе. Видимо на этом и прокололся. Но все равно непонятно, как злоумышленник получил удаленный доступ.

 

На счет HiJackThis не совсем понял, что нужно было менять, по инструкции по ссылке запустил сканирование, лог во вложении.

 

Программу Farbar Recovery Scan Tool скачал, запустил, результативные файлы во вложении.

 

 

 

 

Addition.txt

FRST.txt

hijackthis.log

[mike 1 1 044]

Вас еще просили строчку пофиксить и удалить программу, но видимо Вы не заметили.

 

SpyHunter 5 (HKLM-x32\...\SpyHunter5) (Version: 5.0.30.51 - EnigmaSoft Limited)

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
HKLM\...\Run: [workout.exe] => C:\Users\Public\workout.exe
2018-06-23 19:41 - 2018-06-27 14:07 - 000000066 _____ C:\Users\Public\config.dat
2018-06-23 19:41 - 2018-06-23 19:41 - 000204288 _____ (GomTech) C:\Windows\system32\workout.exe
zip:C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

[Android1 0]

 

Вас еще просили строчку пофиксить

 

и удалить программу, но видимо Вы не заметили.

 

SpyHunter 5 (HKLM-x32\...\SpyHunter5) (Version: 5.0.30.51 - EnigmaSoft Limited)

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
HKLM\...\Run: [workout.exe] => C:\Users\Public\workout.exe
2018-06-23 19:41 - 2018-06-27 14:07 - 000000066 _____ C:\Users\Public\config.dat
2018-06-23 19:41 - 2018-06-23 19:41 - 000204288 _____ (GomTech) C:\Windows\system32\workout.exe
zip:C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

Добрый день!

 

SpyHunter 5 удалил, как-то странно, может быть запустил Farbar Recovery Scan Tool до удаления.

 

Вас еще просили строчку пофиксить

 

Я не понял, где фиксить, поэтому и написал: На счет HiJackThis не совсем понял, что нужно было менять, по инструкции по ссылке запустил сканирование, лог во вложении. Нужно было фиксить выходной лог?

 

Файл с логами во вложении.

 

Архив Дата_время.zip загрузил через форму.

Fixlog.txt

[thyrex 1 412]

На счет HiJackThis не совсем понял, что нужно было менять

https://virusinfo.info/showthread.php?t=165835&p=1154517&viewfull=1#post1154517

[Android1 0]

 

На счет HiJackThis не совсем понял, что нужно было менять

https://virusinfo.info/showthread.php?t=165835&p=1154517&viewfull=1#post1154517

 

Спасибо! Теперь буду знать, прошлая инструкция заканчивалась на выводе файла логов. Сейчас этой строки нет, видимо после запуска Farbar. На будущее буду знать.

[thyrex 1 412]

прошлая инструкция заканчивалась на выводе файла логов

Если читать только первое сообщение темы по HiJack, то, конечно, инструкция закончится

[mike 1 1 044]

Порт используете стандартный для RDP 3389? VPN используется для подключения по RDP к серверу?

[Android1 0]

Доступ через Rdp выключил вообще, позже настрою VPN для доступа по rdp. Сейчас бы расшифровывать зашифрованные файлы.

[mike 1 1 044]

Создайте запрос на расшифровку https://forum.kasperskyclub.ru/index.php?showtopic=48525