Шифровальщик зашифровал файлы

[Morfius76 0]

Стоял Kaspersky Endpoint Security 10 for Window обновленная база была, но бухгалтер все равно словил вирус, просьба помочь.

CollectionLog-2019.03.18-16.41.zip

зашифрованные файлы.rar

[Sandor 1 296]

Здравствуйте!

 

Kaspersky Endpoint Security 10 for Window обновленная база была, но бухгалтер все равно

Эту версию нужно настраивать. В актуальной версии подобная защита встроена.

 

Java 7 Update 67 и Java 6 Update 17 - очень устаревшие и дырявые версии. Удалите и, если нужно, установите актуальную.

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

uBar

Unity Web Player

Кнопка "Яндекс" на панели задач

Менеджер браузеров

Служба автоматического обновления программ

Далее:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Morfius76 0]

Здравствуйте!

 

Kaspersky Endpoint Security 10 for Window обновленная база была, но бухгалтер все равно

Эту версию нужно настраивать. В актуальной версии подобная защита встроена.

 

Java 7 Update 67 и Java 6 Update 17 - очень устаревшие и дырявые версии. Удалите и, если нужно, установите актуальную.

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

uBar

Unity Web Player

Кнопка "Яндекс" на панели задач

Менеджер браузеров

Служба автоматического обновления программ

Далее:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

В результате сканирования AdwCleaner найдены угрозы, скажите надо ли их очистить/восстановить?

AdwCleanerS00.txt

[Sandor 1 296]

Не цитируйте предыдущее сообщение полностью. Используйте форму быстрого ответа внизу.

 

Временно деинсталлируйте Mail.Ru Agent (версия 10.0.20275)

 

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Morfius76 0]

процедуры сделал, программы к сожелению не деинсталируются , они испорчены

FRST.txt

Addition.txt

AdwCleanerS01.txt

[Sandor 1 296]

Отчёт об очистке в AdwCleaner содержит в имени файла символ [Cxx], а не [sxx].

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM\...\Run: [C:\Windows\System32\Info.hta] => C:\Windows\System32\Info.hta [13916 2019-03-17] () [File not signed]
  HKLM\...\Run: [C:\Users\2\AppData\Roaming\Info.hta] => C:\Users\2\AppData\Roaming\Info.hta [13916 2019-03-17] () [File not signed]
  HKU\S-1-5-21-3889168566-1210120301-4075265970-1001\...\Run: [mrupdsrv] => "C:\Users\user1\AppData\Local\Mail.Ru\Update Service\mrupdsrv.exe" --u
  Startup: C:\Users\2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2019-03-17] () [File not signed]
  Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2019-03-17] () [File not signed]
  GroupPolicyScripts: Restriction <==== ATTENTION
  CHR HKU\S-1-5-21-3889168566-1210120301-4075265970-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-3889168566-1210120301-4075265970-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-3889168566-1210120301-4075265970-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
  2019-03-17 21:02 - 2019-03-17 21:02 - 000013916 _____ C:\Windows\system32\Info.hta
  2019-03-17 21:02 - 2019-03-17 21:02 - 000013916 _____ C:\Users\2\AppData\Roaming\Info.hta
  2019-03-17 21:02 - 2019-03-17 21:02 - 000000168 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
  2019-03-17 21:02 - 2019-03-17 21:02 - 000000168 _____ C:\Users\2\Desktop\FILES ENCRYPTED.txt
  2019-03-17 21:02 - 2019-03-17 21:02 - 000000168 _____ C:\FILES ENCRYPTED.txt
  2019-03-17 20:57 - 2019-03-15 12:46 - 000094720 _____ C:\Users\2\Downloads\reaItek.exe
  2019-03-17 20:57 - 2018-11-24 16:27 - 000116224 _____ C:\Users\2\Downloads\local.exe
  ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
  Task: {ABA4523A-2192-41B2-8B7C-3072BC80BCCF} - System32\Tasks\Avast Software\Overseer => C:\Program Files\AVAST Software\Avast\setup\overseer.exe
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Morfius76 0]

не понял куда вставлять выделенный текст

[thyrex 1 412]

Никуда не нужно вставлять. Читаем внимательно

Скопируйте выделенный текст (правой кнопкой - Копировать).

Запустите FRST (FRST64) от имени администратора.

Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

[Morfius76 0]

сделал

Fixlog.txt

[Sandor 1 296]

Создайте запрос на расшифровку через CA.

 

До окончательного решения не удаляйте папку C:\FRST

[Morfius76 0]

создавал ранее, ждать теперь ответа?

[Sandor 1 296]

Да. Не хочется огорчать, но скорее всего расшифровки не будет.

Так или иначе, ответ ТП сообщите здесь, пожалуйста.

[Morfius76 0]

Ответ ТП " Владимир, я получила сведения от Вирусных аналитиков. Предоставленные Вами файлы зашифрованы модификацией троянской программы Trojan-Ransom.Win32.Crusis. Шифровальщик использует криптографически стойкий алгоритм шифрования. Я сожалею, но расшифровка пока не возможна."

[Sandor 1 296]

Ярлыки запуска программ вам придётся пересоздать вручную.

 

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Если не планируете ждать до лучших времён (появления расшифровки):

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.

Компьютер перезагрузится.

 

Остальные утилиты лечения и папки можно просто удалить.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.