Вирус шифровальщик d-......dec999@cockli.bip

[alexander.gaysin 0]

Здравствуйте. на одном из ПК с установленным антивирусом Касперского попал вирус d-......dec999@cockli.bip и зашифровал все файлы.

помогите с лечением и расшифровкой 

 Прикладываю архив логов и пример зашифрованных файлов

CollectionLog-2018.07.11-13.24.zip

03b7d3821fea66f2de521d61d7cf5cac.png.id-F086E6CB.dec999@cock.li.rar

Промсвязьбанк.jnlp.id-F086E6CB.dec999@cock.li.rar

 

[Sandor 1 296]

Здравствуйте!

 

Файл Info.hta упакуйте в архив и тоже прикрепите к следующему сообщению.

+

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.key-find.com/?type=hppp&ts=1423828937&from=corna&uid=395049983_266035_F086E6CB
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.key-find.com/web/?type=dspp&ts=1423828937&from=corna&uid=395049983_266035_F086E6CB&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.key-find.com/web/?type=dspp&ts=1423828937&from=corna&uid=395049983_266035_F086E6CB&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.key-find.com/?type=hppp&ts=1423828937&from=corna&uid=395049983_266035_F086E6CB
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.key-find.com/web/?type=dspp&ts=1423828937&from=corna&uid=395049983_266035_F086E6CB&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.key-find.com/web/?type=dspp&ts=1423828937&from=corna&uid=395049983_266035_F086E6CB&q={searchTerms}
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\80E378A3B03DA3550A551849399C5A47 [URL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - Яндекс
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\A73D9FCC8F5A6BE61664BE2682983CB6 [URL,TopResultURL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - e
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A} [URL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - Bing
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} [URL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - e
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{26519AE6-31DB-4778-8EAD-C1D15DB262C0} [URL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - Google
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [TopResultURL] = http://www.key-find.com/web/?type=ds&ts=1423828920&from=corna&uid=395049983_266035_F086E6CB&q={searchTerms} - key-find
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [URL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - key-find
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{E733165D-CBCF-4FDA-883E-ADEF965B476C} [URL] = http://www.key-find.com/web/?utm_source=b&utm_medium=corna&utm_campaign=install_ie&utm_content=ds&from=corna&uid=395049983_266035_F086E6CB&ts=1423828974&type=default&q={searchTerms} - Google
O2 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O4 - Global User Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
O4 - HKCU\..\Run: [C:\Users\user\AppData\Roaming\Info.hta] = C:\Windows\system32\mshta.exe "C:\Users\user\AppData\Roaming\Info.hta"
O4 - HKLM\..\Run: [C:\Users\user\AppData\Roaming\Info.hta] = C:\Windows\system32\mshta.exe "C:\Users\user\AppData\Roaming\Info.hta"
O4 - HKLM\..\Run: [C:\Windows\System32\Info.hta] = C:\Windows\system32\mshta.exe "C:\Windows\System32\Info.hta"
O4 - User Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
O22 - Task: {9279DEFF-01D1-4FA1-91C2-4466FF89986A} - C:\Windows\system32\pcalua.exe -a "C:\Users\user\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\FFJR17BU\JavaSetup8u161.exe" -d C:\Users\user\Desktop

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.