Шифровальщик .id-E6D8821B.[restorehelp@qq.com].bip

[halaboa]

Зашифровались только документы.

Система не перезагружалась.

 

Касперский совсем ничего не находит.

 

Cureit находит 30.exe как Trojan.Encoder.3953 по пути c:\Users\test.SERVER1C\AppData\Roaming\ и c:\Users\test.SERVER1C\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

 

Интересует правильно почистить систему от трояна и следов.

Дешифровка желательна, но преживем и без нее....

CollectionLog-2018.07.27-12.50.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[halaboa]

Готово!

frst.zip

[thyrex]

C:\Users\test.SERVER1C\AppData\Roaming\Info.hta

C:\Users\test.SERVER1C\Desktop\FILES ENCRYPTED.txt

 

удалите вручную.

 

Больше ничего плохого. Возможно, если сделать логи в проблемной учетке, найдется что-либо еще

[halaboa]

как я понимаю c:\Users\test.SERVER1C\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\30.exe и c:\Users\test.SERVER1C\AppData\Roaming\30.exe  тоже поудалять?

все шифрованные тоже могу удалять смело?

[thyrex]

 

 

ак я понимаю c:\Users\test.SERVER1C\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\30.exe и c:\Users\test.SERVER1C\AppData\Roaming\30.exe  тоже поудалять?

если они есть, удаляйте.

 

С расшифровкой помочь не сможем.

[halaboa]

Спасибо.

[regist]

@halaboa, просьба сделайте экспорт ключа реестра

HKU\S-1-5-80-3038775161-878922232-1125894187-3506562229-3126804295\

заархивируйте и прикрепите к сообщению.

[halaboa]

@halaboa, просьба сделайте экспорт ключа реестра

HKU\S-1-5-80-3038775161-878922232-1125894187-3506562229-3126804295\

заархивируйте и прикрепите к сообщению.

 Для чего?

[regist]

для улучшения работы наших утилит.

[halaboa]

для улучшения работы наших утилит.

Прошу

hku.zip