Перейти к содержанию

Вирус шифровальщик расширение .pumas

probst
 Поделиться

Рекомендуемые сообщения

probst Новичок

probst

Опубликовано
Опубликовано (изменено)

Здравствуйте!
При запуске компьютера WiNDOWS 10 самостоятельно запустилась программа обновления WiNDOWS. Отключить не удалось. После перезагрузки перешифровались файлы : jpg.pumas , vcf.pumas , txt.pumas , ini.pumas , doc.pumas , dropbox.pumas, mp4.pumas , exe.pumas , zip.pumas .
Так же после ререзагрузки постоянно просит установить программу BDCF.txt.exe неизвестного производителя. 
Помогите пожалуйста восстановить файлы.
 


В папке Пользователя нашёл файл письмо.
Файл прилагаю.


Файл письмо

Заражённые файлы.7z

!readme.7z

Изменено пользователем probst
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

+

Постарайтесь найти пару - зашифрованный и его незашифрованный оригинал. Ищите такой в резервных копиях, на внешних носителях, в почте и т.п.

Упакуйте и прикрепите к следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
probst Новичок

probst

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

Посмотрите файлы.
Возможно я не правильно создал ZIP файл логов. У меня не получилось выполнить инструкцию как там описано, но проверку прошёл и это отчёт.
Зашифрованные файлы и их аналоги у меня есть только в формате БЛОКНОТ. Других форматов нет.

 

avz_log.zip

Зашифрованные файлы и их аналоги.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Возможно я не правильно создал ZIP файл логов

Да, неправильно. В итоге должен получиться архив с именем CollectionLog (вручную ничего паковать и переименовывать не нужно).

 

Зашифрованные файлы и их аналоги у меня есть только в формате

Нужны размером не менее 150 kb
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Через Панель управления - Удаление программ - удалите нежелательное ПО:

CloudNet

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 StopService('Winmon');
 StopService('WinmonFS');
 StopService('WinmonProcessMonitor');
 QuarantineFile('C:\Program Files\6N2TDDYSS4\6N2TDDYSS.exe', '');
 QuarantineFile('C:\Program Files\7FP29I40GM\7FP29I40G.exe', '');
 QuarantineFile('C:\Program Files\eBesucher Restarter\EQ0EILL212AP\FWLdrhzqUM.exe', '');
 QuarantineFile('C:\Program Files\eBesucher Restarter\EQ0EILL212AP\yYMMgOHJfB.exe', '');
 QuarantineFile('C:\Program Files\F7PEJTKP4P\SWWTRTQQ3.exe', '');
 QuarantineFile('C:\Program Files\LT5TPT99LK\LT5TPT99L.exe', '');
 QuarantineFile('C:\Program Files\MP80BSIXB1\MP80BSIXB.exe', '');
 QuarantineFile('C:\Program Files\ShutdownTime\E1JCB.exe', '');
 QuarantineFile('C:\Program Files\T0S1IKBBUS\T0S1IKBBU.exe', '');
 QuarantineFile('C:\ProgramData\cuvmox\emehedj.exe', '');
 QuarantineFile('C:\ProgramData\Voyasollam\Betaing.dll', '');
 QuarantineFile('C:\Users\DEXP\AppData\Local\Apps\2.0\C484WMRR.371\Y1TP7DTY.1CX\glob..tion_0e9bece345a75cf6_0003.0002_ce1b140f0d73bc23\Globus.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Local\Temp\csrss\mrt.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Local\Temp\csrss\scheduled.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Local\Temp\QmmPzzGwxvciqZWuV\CmcQDQfVJofpjgmc\WsnWLwg.dll', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\3bccxjoqg0k\f1jwqclffxg.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\5v1gaulmgy4\fs1kh5xm5yu.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\amiaza3uvlw\3s4x1iy3iyh.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\fjbes3o3fa3\d30ypcivxxv.exe', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\givgibca.lnk', '');
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\ntkwy2xz3y3\5je0wqvh5q4.exe', '');
 QuarantineFile('C:\Users\DEXP\bivvyjbw.exe', '');
 QuarantineFile('C:\Users\DEXP\miworboromi.exe', '');
 QuarantineFile('C:\WINDOWS\rss\csrss.exe', '');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winmon.sys', '');
 QuarantineFile('C:\WINDOWS\System32\drivers\WinmonProcessMonitor.sys', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 DeleteSchedulerTask('csrss');
 DeleteSchedulerTask('jnyKYTYajtlSOfh');
 DeleteSchedulerTask('Movies');
 DeleteSchedulerTask('Movies2');
 DeleteSchedulerTask('MRT');
 DeleteSchedulerTask('ScheduledUpdate');
 DeleteSchedulerTask('Test Task17');
 DeleteSchedulerTask('Test Task17.job');
 DeleteSchedulerTask('YoutubeDownloader');
 DeleteSchedulerTask('YoutubeDownloader_upd');
 DeleteFile('C:\Program Files\6N2TDDYSS4\6N2TDDYSS.exe', '32');
 DeleteFile('C:\Program Files\7FP29I40GM\7FP29I40G.exe', '32');
 DeleteFile('C:\Program Files\eBesucher Restarter\EQ0EILL212AP\FWLdrhzqUM.exe', '32');
 DeleteFile('C:\Program Files\eBesucher Restarter\EQ0EILL212AP\yYMMgOHJfB.exe', '32');
 DeleteFile('C:\Program Files\F7PEJTKP4P\SWWTRTQQ3.exe', '32');
 DeleteFile('C:\Program Files\LT5TPT99LK\LT5TPT99L.exe', '32');
 DeleteFile('C:\Program Files\MP80BSIXB1\MP80BSIXB.exe', '32');
 DeleteFile('C:\Program Files\ShutdownTime\E1JCB.exe', '32');
 DeleteFile('C:\Program Files\ShutdownTime\E1QKL.exe', '32');
 DeleteFile('C:\Program Files\T0S1IKBBUS\T0S1IKBBU.exe', '32');
 DeleteFile('C:\Program Files\TZHMDZYELR\TZHMDZYEL.exe', '32');
 DeleteFile('C:\ProgramData\cuvmox\emehedj.exe', '32');
 DeleteFile('C:\ProgramData\Voyasollam\Betaing.dll', '32');
 DeleteFile('C:\Users\DEXP\AppData\Local\Apps\2.0\C484WMRR.371\Y1TP7DTY.1CX\glob..tion_0e9bece345a75cf6_0003.0002_ce1b140f0d73bc23\Globus.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Local\Temp\csrss\mrt.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Local\Temp\csrss\scheduled.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Local\Temp\QmmPzzGwxvciqZWuV\CmcQDQfVJofpjgmc\WsnWLwg.dll', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\3bccxjoqg0k\f1jwqclffxg.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\5v1gaulmgy4\fs1kh5xm5yu.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\amiaza3uvlw\3s4x1iy3iyh.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\fjbes3o3fa3\d30ypcivxxv.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\ntkwy2xz3y3\5je0wqvh5q4.exe', '32');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\q3p0hxk1yng\hwmgjtxdo1a.exe', '32');
 DeleteFile('C:\Users\DEXP\bivvyjbw.exe', '32');
 DeleteFile('C:\Users\DEXP\miworboromi.exe', '32');
 DeleteFile('C:\WINDOWS\pgmcgutdsansyvama.cgmc glHLBLBx', '32');
 DeleteFile('C:\WINDOWS\rss\csrss.exe', '32');
 DeleteFile('C:\WINDOWS\System32\drivers\Winmon.sys', '32');
 DeleteFile('C:\WINDOWS\System32\drivers\WinmonFS.sys', '32');
 DeleteFile('C:\WINDOWS\System32\drivers\WinmonProcessMonitor.sys', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteService('Winmon');
 DeleteService('WinmonFS');
 DeleteService('WinmonProcessMonitor');
 DeleteService('ZGIzYWMxOWRiNjY0ZT');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '1516574', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '3249142', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '4299742', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '4909733', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '4TP40JNPKESRV0K', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '5353063', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '5888271', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '68OT6RACU6V5FE8', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'CloudNet', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'feukzeou', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'feukzeou', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'FWLdrhzqUM.exe', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Globus', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'LLVFT40PJ6WYHAE', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'miworboromi', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'miworboromi', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NZ6HF9BWYDIAEDF', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ProudBird', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Q60GAQBW3MFLZ1U', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'RD8FH0R2B2M12DW', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Regedit32', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Regedit32', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'TPJUXDF4W6J3DFF', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'UVHBHQCY2T6K1IQ', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'XBPE81CXWGSXO20', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'YoutubeDownloader', 'x32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'YoutubeDownloader_upd', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'OMEWPRODUCT_', 'x32');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Полученный ответ сообщите здесь (с указанием номера KLAN).

Получили ответ?

 

 
Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 
begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\DEXP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\givgibca.lnk', '');
 QuarantineFile('C:\Users\DEXP\bivvyjbw.exe', '');
 DeleteFile('C:\Users\DEXP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\givgibca.lnk');
 DeleteFile('C:\Users\DEXP\bivvyjbw.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'feukzeou', '32');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.
 
Компьютер перезагрузится. 
 
После перезагрузки, выполните такой скрипт:
 
begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
 
Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN).
 
 
"Пофиксите" в HijackThis (некоторых строк может не быть):

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5765hRiUWwHcpXGZnT6jfcJpk9Pk0h0vapY5--8768msOQEUHn6wh6Tc29oTfxovrAwvb1EbzyJ17r_YPPIoEV-UmbtpOfX3JTnOOiAZ_6mR-xzatfDWpwBo6ZPp_Zao0y8jlasO1vukg-Y68AywehDKaHMg,,&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5765hRiUWwHcpXGZnT6jfcJpk9Pk0h0vapY5--8768msOQEUHn6wh6Tc29oTfxovrAwvb1EbzyJ17r_YPPIoEV-UmbtpOfX3JTnOOiAZ_6mR-xzatfDWpwBo6ZPp_Zao0y8jlasO1vukg-Y68AywehDKaHMg,,&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Start Page] = https://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5765hRiUWwHcpXGZnT6jfcJpk9Pk0h0vapY5--8768msOQEUHn6wh6Tc29oTfxovrMPVQf2F4U2kAjjKaCWtFlzo94_jcWWbx9t-OMSsS_9K0PLddIgEiDHpJa8x7O82f6_LUOoEDXFDNlsGE9m12pf4a0WQ,,
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5765hRiUWwHcpXGZnT6jfcJpk9Pk0h0vapY5--8768msOQEUHn6wh6Tc29oTfxovrAwvb1EbzyJ17r_YPPIoEV-UmbtpOfX3JTnOOiAZ_6mR-xzatfDWpwBo6ZPp_Zao0y8jlasO1vukg-Y68AywehDKaHMg,,&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5765hRiUWwHcpXGZnT6jfcJpk9Pk0h0vapY5--8768msOQEUHn6wh6Tc29oTfxovrAwvb1EbzyJ17r_YPPIoEV-UmbtpOfX3JTnOOiAZ_6mR-xzatfDWpwBo6ZPp_Zao0y8jlasO1vukg-Y68AywehDKaHMg,,&q={searchTerms}
O4 - HKCU\..\Run: [feukzeou] = C:\Users\DEXP\bivvyjbw.exe  (file missing)
O4 - User Startup: C:\Users\DEXP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\givgibca.lnk    ->    C:\Windows\System32\cmd.exe /c start "" "C:\Users\DEXP\AppData\Roaming\Microsoft\Windows\givgibca\iewgjtjj.exe"
O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\ProgramData\Voyasollam\Betaing.dll (file missing)
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
Прикрепите к следующему сообщению свежий CollectionLog.
 
Дополнительно:
  •  
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.
 
Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
probst Новичок

probst

Опубликовано
  • Автор
Опубликовано (изменено)

Файл quarantine.zip из папки AVZ [KLAN-9224638530]

 

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В следующих файлах обнаружен вредоносный код, определяемый продуктами с включенной технологией KSN:
quarantine.zip/yYMMgOHJfB.exe - UDS:DangerousObject.Multi.Generic
yYMMgOHJfB.exe - UDS:DangerousObject.Multi.Generic

В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip/givgibca.lnk
quarantine.zip/bivvyjbw.exe
quarantine.zip/bcqr00041.dat
quarantine.zip/bcqr00042.dat
givgibca.lnk
bivvyjbw.exe
bcqr00041.dat
bcqr00042.dat

В следующих файлах обнаружен вредоносный код:
quarantine.zip/csrss.exe - Trojan.Win32.AntiAV.crpj
quarantine.zip/Winmon.sys - Rootkit.Win32.Agent.elob
csrss.exe - Trojan.Win32.AntiAV.crpj
Winmon.sys - Rootkit.Win32.Agent.elob

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ


Файл quarantine.zip из папки AVZ [KLAN-9225737950]

 

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В следующих файлах обнаружен вредоносный код, определяемый продуктами с включенной технологией KSN:
givgibca.lnk - UDS:DangerousObject.Multi.Generic

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ


Здравствуйте!

Пофиксил . 
Слово для меня новое и я с дуру поставил все галочки. 77 штук. Наверно всё что нужно и не нужно удалил. Потому что при повторном  запуске HiJack This появились 4 строки .Их я не удаляю.

Оба отчёта отправляю.

Посмотрите и дайте ответ на сколько эти мои не правильные действия осложнили процесс восстановления файлов.

 


Восстановил с помощью программы HiJack This, далее выделил те строки  что Вы указали .
Профиксил.
Файл отчёта высылаю.

Продолжаю дальше


Проверил программой AutoLogger-test

Отправляю обновлённый файл

HiJackThis.log

HiJackThis повторный.log

CollectionLog-2018.12.05-10.08.zip

HiJackThis после восстановления и удаления.log

CollectionLog-2018.12.06-11.17.zip

Изменено пользователем probst
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Восстановил с помощью программы HiJack This

Будьте внимательны на будущее. Как правило, каждую инструкцию мы сопровождаем ссылкой, в которой подробно (с картинками) описано что и как следует делать.

 

Жду еще:

Скачайте AdwCleaner (by Malwarebytes) и сохраните его

процесс восстановления файлов

Этим займемся тогда, когда в системе будет чисто. Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Панель управления нажмите Сканировать.
  • По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • AlexYarm
      Вирус-шифровальщик Hardbit4
      Автор AlexYarm
      Зашифровались файлы. Расширение файлов hardbit4. Прилагаю необходимые архивы. Прошу помочь с расшифровкой.
      Hardbit4Virus.zip
    • vasia15
      вирус похож на шифровальщик
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • Fantamax
      Шифровальщик - вымогатор поменял расширение файлов на i54m390g5b4
      Автор Fantamax
      Добрый день. Сегодня в 6 утра вирус поменял расширение у многих файлов и зашифровал. 
      Похожая тема была, но у меня есть бекапы некоторых файлов, можно ли расшифровать (файл бекапа тоже прикрепил в архив):
       
      Addition.txt FRST.txt files.rar
    • escadron
      Вирус-шифровальщик из далекого 2015 года
      Автор escadron
      В далеком 2015 году скачал какую-то фигню на комп, потерял практически все фотографии и видео. Получил от матери по шапке и благополучно об этом забыл.
      Сейчас же внезапно захотелось восстановить файлы, если, конечно, это возможно.
      Из-за ограничений формата прикрепляемых файлов не могу предоставить пример зашифрованных данных.
      Файл с почтой/другой информацией (README**.txt) либо был утерян, либо же вообще не появлялся на компьютере.
      Надеюсь, знатоки смогут помочь.
    • Keldenis
      Вирус-шифровальщик. Сервер 1с.
      Автор Keldenis
      Здравствуйте! Наш сервер был поражен вирусом-шифровальщиком. Все зараженные файлы приобрели вид блокнота при нажатии на который выходило сообщение от мошенников. Мы воспользовались утилитой от Касперского Rakhni Decryptor. Она смогла подобрать пароль и (по её мнению) расшифровать файлы. Но ни один из "расшифрованных" файлов не открывался. При этом, мы использовали утилиту дважды. В первый раз мы не использовали функцию удаления пораженных файлов, расшифрованная копия которых уже была сделана. Таким образом, после первого использования утилиты, у нас на сервере появились копии практически всех зашифрованных файлов. При этом, сам зашифрованный файл имел вид блокнотика, а его расшифрованная копия имела обычный для такого типа файла внешний вид. У зашифрованных файлов и их расшифрованной копии, при этом, был одинаковый размер файла. Мы решили, что, возможно нам нужно было поставить галочку для функции "Удалять зашифрованные файлы после успешной расшифровки", чтобы после расшифровки файлы открывались. Кроме того, дубляж файлов съел практически всё свободное место на наших жестких дисках. Поэтому, мы удалили наиболее тяжелые копии расшифрованных файлов и запустили утилиту повторно, поставив галочку для удаления зашифрованных файлов. Утилита вновь успешно подобрала пароль и расшифровала файлы, удалив все зашифрованные. Но файлы так и не начали открываться. Как описано выше, мы удалили копии только тяжелых файлов. Те зашифрованные файлы, расшифрованные копии которых мы не удалили после первого применения утилиты, при втором использовании утилиты остались нетронутыми. Поэтому мы прикрепляем в архиве именно такие файлы, т.е. сам зашифрованный файл и его расшифрованную утилитой копию, чтобы понять на примере зашифрованного файла, можно ли его расшифровать; а на примере "расшифрованного" утилитой файла, действительно ли он был расшифрован, но не открывается, потому что испорчен и не подлежит или подлежит восстановлению, либо он не был на самом деле расшифрован, и его всё еще можно расшифровать в будущем, хоть он уже и не имеет вид того самого блокнотика. Кроме того, мы установили антивирус от Касперсого на сервер и он, вероятно, уже удалил сам файл шифровальщик.
      Зашифрованные файлы.zip Addition.txt FRST.txt
×
×
  • Создать...