ransom.shade Зашифрованы файлы cryptsen7fo43rr6.onion

[v1tales]

Добрый день, шифровальщик cryptsen7fo43rr6.onion нам испортил файлы, помоги с восстановлением.

 

Прикрепленные файлы из  Farbar Recovery Scan Tool

 

Addition.rar

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

[v1tales]

все сделал как описано выше, вот логи

CollectionLog-2019.02.27-09.20.zip

[Sandor]

Расшифровки нет, будет только очистка.

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

DriverPack Notifier

Кнопка "Яндекс" на панели задач

Kaspersky CRYSTAL - очень устаревшая версия. Надо бы обновить до актуальной.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\SysWOW64\JEaXs.cmd', '');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\SysWOW64\JEaXs.cmd', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Command Line Support', '32');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Прикрепите к следующему сообщению свежий CollectionLog.

[v1tales]

KLAN-9682198639

Thank you for contacting Kaspersky Lab

The files have been scanned in automatic mode.

No information about the specified files can be found in the antivirus databases:
JEaXs.cmd

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

This is an automatically generated message. Please do not reply to it.

Anti-Virus Lab, Kaspersky Lab HQ

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia
Tel./Fax: + 7 (495) 797 8700
http://www.kaspersky.com https://www.securelist.com"

[Sandor]

Продолжайте

Прикрепите к следующему сообщению свежий CollectionLog

[v1tales]

простите забыл

CollectionLog-2019.02.27-10.49.zip

[Sandor]

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Цитата

DriverPack Notifier Кнопка "Яндекс" на панели задач

Это почему не удалили?

[v1tales]

в том то и дело что не удаляется

[Sandor]

Так нужно было и сообщить

 

Удалите принудительно через Geek Uninstaller

[v1tales]

все сделал 

CollectionLog-2019.02.27-11.49.zip

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[v1tales]

готово 

FRST.txt

Addition.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
  2019-02-27 11:24 - 2019-02-27 11:24 - 000000000 ____D C:\Documents and Settings\Администратор\AppData\LocalLow\IObit
  2019-02-27 11:23 - 2019-02-27 11:33 - 000000000 ____D C:\Program Files\IObit
  2019-02-27 11:23 - 2019-02-27 11:31 - 000000000 ____D C:\Documents and Settings\All Users\Application Data\ProductData
  2019-02-27 11:23 - 2019-02-27 11:24 - 000000000 ____D C:\Documents and Settings\Администратор\Application Data\IObit
  2019-02-27 11:23 - 2019-02-27 11:24 - 000000000 ____D C:\Documents and Settings\All Users\Application Data\IObit
  2019-02-27 11:23 - 2019-02-27 11:23 - 000000000 ____D C:\WINDOWS\Tasks\ImCleanDisabled
  2019-02-27 11:23 - 2019-02-27 11:23 - 000000000 ____D C:\Program Files\Common Files\IObit
  2019-02-26 16:19 - 2019-02-27 10:22 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\SysWOW64
  2019-02-26 16:19 - 2010-11-12 00:00 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\Resources
  2019-02-26 16:18 - 2010-11-12 00:00 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\services
  2019-02-26 14:29 - 2019-02-26 14:29 - 003148854 _____ C:\Documents and Settings\Администратор\Application Data\F311CFAFF311CFAF.bmp
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README9.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README8.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README7.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README6.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README5.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README4.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README3.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README2.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README10.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\Администратор\Рабочий стол\README1.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
  2019-02-26 14:29 - 2019-02-26 14:29 - 000004150 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README9.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README8.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README7.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README6.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README5.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README4.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README3.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README2.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README10.txt
  2019-02-26 14:14 - 2019-02-26 14:14 - 000004150 _____ C:\README1.txt
  2019-02-26 14:11 - 2019-02-26 17:07 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
  Task: C:\WINDOWS\Tasks\At1.job => C:\Program Files\DriverPack Notifier\DriverPackNotifier.exe
  HKU\S-1-5-21-602162358-963894560-682003330-500\Software\Classes\.scr: scrfile =>  <==== ATTENTION
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[v1tales]

готово 

Fixlog.txt