Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

[РЕШЕНО] Вирус шифровальщик

PioneerOrigin
 Поделиться

Рекомендуемые сообщения

PioneerOrigin

PioneerOrigin

Опубликовано
Опубликовано (изменено)

Был скачан и запущен файл [ссылка] из яндекс почты и через некоторое время файлы зашифровались

Изменено пользователем Sandor
Убрал ссылку
thyrex

thyrex

Опубликовано
Опубликовано

Прикрепите файл с логами к следующему сообщению, используя кнопку Расширенная форма

Sandor

Sandor

Опубликовано
Опубликовано

Это Shade, расшифровки нет. Будет только удаление активного вредоноса и чистка мусора.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Subsystem', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Sunlounger

Sunlounger

Опубликовано
Опубликовано (изменено)

Добрый день! А расширение crypted007?Просто тоже словили вчера на рабочий компьютер( Спрашиваю чтоб по сто тем не создавать. У Вас  есть информация, когда появится утилита для расшифровки или этого не произойдёт совсем??

 

Сообщение от модератора
В этом разделе действуют определенные правила, поэтому не пишите в чужой теме, а создайте свою (если нужно).
Изменено пользователем Sandor
Уведомление
PioneerOrigin

PioneerOrigin

Опубликовано
  • Автор
Опубликовано

 

Добрый день! А расширение crypted007?Просто тоже словили вчера на рабочий компьютер( Спрашиваю чтоб по сто тем не создавать. У Вас  есть информация, когда появится утилита для расшифровки или этого не произойдёт совсем??

Это Shade, расшифровки нет. Будет только удаление активного вредоноса и чистка мусора.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Subsystem', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

 

Расширение .crypted000007 Ну да

Это Shade, расшифровки нет. Будет только удаление активного вредоноса и чистка мусора.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Subsystem', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

Получается ничего не сделать? Можно переустанавливать систему? Все фалы в никуда?

Sandor

Sandor

Опубликовано
Опубликовано

Не цитируйте полностью предыдущее сообщение, используйте форму быстрого ответа внизу.

 

для старого Shade была ведь утилита

Ключевое слово "старого".

 

Жду логи.

Sandor

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

PioneerOrigin

PioneerOrigin

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Addition.txt

FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано

Auslogics BoostSpeed Premium 7 - рекомендую удалить.

 

Далее:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKU\S-1-5-21-2301322411-1287110291-1113894879-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
2019-06-04 13:39 - 2019-06-04 13:39 - 006220854 _____ C:\Users\pashkova\AppData\Roaming\3B7E33703B7E3370.bmp
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README9.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README8.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README7.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README6.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README5.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README4.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README3.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README2.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README10.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README1.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README9.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README8.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README7.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README6.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README5.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README4.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README3.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README2.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README10.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README1.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README9.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README8.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README7.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README6.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README5.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README4.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README3.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README2.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README10.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README1.txt
2019-06-04 11:25 - 2019-06-06 10:36 - 000000000 __SHD C:\ProgramData\Windows
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

PioneerOrigin

PioneerOrigin

Опубликовано
  • Автор
Опубликовано

Auslogics BoostSpeed Premium 7 - рекомендую удалить.

 

Далее:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKU\S-1-5-21-2301322411-1287110291-1113894879-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
2019-06-04 13:39 - 2019-06-04 13:39 - 006220854 _____ C:\Users\pashkova\AppData\Roaming\3B7E33703B7E3370.bmp
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README9.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README8.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README7.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README6.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README5.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README4.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README3.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README2.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README10.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\Public\Desktop\README1.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README9.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README8.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README7.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README6.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README5.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README4.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README3.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README2.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README10.txt
2019-06-04 13:39 - 2019-06-04 13:39 - 000004154 _____ C:\Users\pashkova\Desktop\README1.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README9.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README8.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README7.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README6.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README5.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README4.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README3.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README2.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README10.txt
2019-06-04 11:26 - 2019-06-04 11:26 - 000004154 _____ C:\README1.txt
2019-06-04 11:25 - 2019-06-06 10:36 - 000000000 __SHD C:\ProgramData\Windows
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Fixlog.txt

Sandor

Sandor

Опубликовано
Опубликовано

Достаточно было один раз выполнить скрипт.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • vovans
      xtbl
      Автор vovans
      Здравствуйте! Вирус шифровальщик зашифровал весь домашний фото и видеоархив.Сын удалил все вирусы и переустановил Винду.
      Название вируса не сохранил,не знаю что делать. Может есть какая надежда. Стоит Anti-virus 6.0 1688-000451-1CAB33D7.
      ++ESOAXTI-mH+-uhRET6nBLflYWVIDFR6Q7o9t-sNgI=.56697943D750721BF718.xtbl.zip
    • avanGARd62
      Вирус зашифровал файлы в *XTBL
      Автор avanGARd62
      Вирус-шифровальщик зашифровал многочисленные файлы на ноутбуке, сделав расширение XTBL. На рабочем столе создалось несколько файлов README, в которых содержится призыв отправить злоумышленникам на e-mail код для получения дальнейших инструкций.
      Прикрепляю лог, полученный при сканировании (согласно инструкции).
       
      Пожалуйста, помогите.
      CollectionLog-2015.08.13-23.13.zip
    • Людмила 84
      Файлы зашифрованы в формат XTBL
      Автор Людмила 84
      Файлы зашифрованы в формат XTBL, нужен,как вернуть их в прежний формат. Проблема появилась после скачивания книги с непонятным форматом. Вкладываю в сообщение файл протоколов (логов) CollectionLog-2015.08.15-11.17.zip. Обнаружен файл txt с текстом: Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: 77CF48B1169A0CBE123D|79|2|2 на электронный адрес decodefiles1@gmail.com или decodefiles@india.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 77CF48B1169A0CBE123D|79|2|2 to e-mail address decodefiles1@gmail.com or decodefiles@india.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your dat CollectionLog-2015.08.15-11.17.zip
    • wild_difi
      файлы зашифрованы в *XTBL
      Автор wild_difi
      Вирус-шифровальщик зашифровал многочисленные файлы на ноутбуке, сделав расширение XTBL.Так же на рабочем столе присутствуют файлы readme с инструкцией отправки кода но почту!Прикрепляю лог, полученный при сканировании (согласно инструкции).
      Помогите
      CollectionLog-2015.08.15-02.47.zip
    • warg24
      Шифровка всех важных файлов компьютера неведомой заразой.
      Автор warg24
      Ребята кто нибудь, помогите. Включил вечером комп. начались проблемы. Сначала не удавалось к сети интернет подключиться, все запрашивал пароль от wi-fi. Потом через некоторое время появилась черная заставка с неприятным текстом от том что все файлы были зашифрованы((( все они теперь с расширением xtbl... Также имеются текстовые файлы с таким вот текстом. 
       
       Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: FAA4417C82D5F25AC88F|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: FAA4417C82D5F25AC88F|0 to e-mail address decode010@gmail.com or decode1110@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.     Что делать? Подскажите!
×
×
  • Создать...