Странный шифровальщик email-hola-veglass@x-mail.pro.ver-CL 1.5.1.0

[den1308]

Доброго времени, словили довольно странный шифровальщик. Создает файлы вида: email-hola-veglass@x-mail.pro.ver-CL 1.5.1.0.id-875139473-452241725463815457776148.fname-ReadMe.txt.bat.doubleoffset. Почему странный? Потому что он шифровал файлы .ini, .dat, некоторые экзешники, .bmp, png файлы, а стандартный файлы пользователя (док, ексель, пдф) не тронул. Самое интересное, что ни установленный касперский, ни KVRT и Cureit ничего не нашли! Вот хотелось бы все таки найти его и провести лечение, и вообще узнать что это было??))

 

Могу прикрепить только то что на создавал этот вирус

 

Спасибо!

email-hola-veglass.rar

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

 

Если есть текстовый файл с требованием выкупа, его тоже прикрепите в архиве.

[den1308]

Прошу прощения.

 

Текстовый файл README прикреплен в архиве в первом сообщении. Собранные логи ниже.

CollectionLog-2018.09.05-17.12.zip

[Sandor]

Создайте запрос на расшифровку.

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

Далее:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Файл Hosts правили самостоятельно?

[den1308]

Сделал!

 

 

 

Файл Hosts правили самостоятельно?

Да

AdwCleanerS00.txt

ClearLNK-2018.09.06_07.57.00.log

[den1308]

И кажется я нашел сам вирус. Осторожно!

Изменено 6 сентября, 2018 пользователем Sandor
Убрал вирус

[Sandor]

Не нужно сюда выкладывать вирус.

 

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[den1308]

Готово

Addition.txt

FRST.txt

AdwCleanerC01.txt

AdwCleanerS01.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  GroupPolicyScripts: Restriction <==== ATTENTION
  BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
  BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[den1308]

Готово

Fixlog.txt

[Sandor]

Создайте запрос на расшифровку.

Если будет возможно, здесь сообщите результат.

[den1308]

Постараюсь, на этом лечение окончено?

[Sandor]

Да, пароль на RDP смените.

[den1308]

Спасибо

[regist]

@Никита Прокопьев, Порядок оформления запроса о помощи

Особенно внимательно пункт №3 прочитайте.