Вирус шифровальщик [goodjob24@foxmail.com].myjob

[strange 0]

Добрый день. Просьба помочь с расшифровкой. 

 

Все по инструкции вроде сделал. 

 

CollectionLog-2018.11.26-08.41.zip

[Sandor 1 253]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('d:\localprofiles$\test\downloads\expiorer.exe');
 TerminateProcessByName('d:\localprofiles$\test\downloads\local.exe');
 QuarantineFile('D:\LocalProfiles$\test\AppData\Roaming\expIorer.exe', '');
 QuarantineFile('D:\LocalProfiles$\test\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\expIorer.exe', '');
 QuarantineFile('d:\localprofiles$\test\downloads\expiorer.exe', '');
 QuarantineFile('d:\localprofiles$\test\downloads\local.exe', '');
 DeleteFile('D:\LocalProfiles$\test\AppData\Roaming\expIorer.exe', '32');
 DeleteFile('D:\LocalProfiles$\test\AppData\Roaming\expIorer.exe', '64');
 DeleteFile('D:\LocalProfiles$\test\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\expIorer.exe', '64');
 DeleteFile('d:\localprofiles$\test\downloads\expiorer.exe', '');
 DeleteFile('d:\localprofiles$\test\downloads\local.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-130120475-197673812-912770495-1114\Software\Microsoft\Windows\CurrentVersion\Run', 'D:\LocalProfiles$\test\AppData\Roaming\Info.hta', 'x32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-130120475-197673812-912770495-1114\Software\Microsoft\Windows\CurrentVersion\Run', 'D:\LocalProfiles$\test\AppData\Roaming\Info.hta', 'x64');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-130120475-197673812-912770495-1114\Software\Microsoft\Windows\CurrentVersion\Run', 'expIorer.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-130120475-197673812-912770495-1114\Software\Microsoft\Windows\CurrentVersion\Run', 'expIorer.exe', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

[strange 0]

@Sandor, 

 

Добрый день, при попытке выполнить скрипт - ошибка

 

 

Изменено 26 ноября, 2018 пользователем strange

[Sandor 1 253]

AVZ следует использовать из папки Автологера:

D:\LocalProfiles$\o.sychev\Desktop\AutoLogger-test\AutoLogger\AVZ\avz.exe

[strange 0]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В следующих файлах обнаружен вредоносный код:
expIorer.exe - Trojan-Ransom.Win32.Crusis.to
expIorer_0.exe - Trojan-Ransom.Win32.Crusis.to
expiorer.exe - Trojan-Ransom.Win32.Crusis.to

В перечисленных файлах обнаружена программа Riskware, которая может причинить вред вашему устройству:
local.exe - not-a-virus:NetTool.Win32.Scan.ot

В антивирусных базах информация по присланным вами ссылкам отсутствует:
https://forum.kasperskyclub.ru/index.php?showtopic=61124&st=0&p=906883

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ


KLAN-9180198050

 

 

Как быть? Поможете с расшифровкой?

[Sandor 1 253]

Ждем повторный лог.

[strange 0]

Ждем повторный лог.

 

 

Ждем повторный лог.

 

 

Во вложении

CollectionLog-2018.11.26-10.31.zip

Изменено 26 ноября, 2018 пользователем strange

[Sandor 1 253]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[strange 0]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Addition.txt

FRST.txt

[Sandor 1 253]

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Сообщение от модератора thyrex

Часть сообщений вынесена в тему https://forum.kasperskyclub.ru/index.php?showtopic=61126

[strange 0]

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

 

 

Скажите пожалуйста, расшифруют 100% ? Ну или есть шанс?

[Sandor 1 253]

Могу ошибиться, но шанс весьма невелик.