Перейти к содержанию

шифратор

Геннадий Потапов

Автор Геннадий Потапов
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.

O4 - HKCU\..\Run: [1484355211] = C:\Users\Администратор\AppData\Local\Temp\QYCFJNQSVZ.exe

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\QYCFJNQSVZ.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1484355211','x32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\QYCFJNQSVZ.exe','32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\QYCFJNQSVZ.exe','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1484355211','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите сервер вручную.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ загрузите этот архив через данную форму
 

 

 

 

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Геннадий Потапов

Геннадий Потапов

Опубликовано
  • Автор
Опубликовано

при попытке загрузить карантин зип через форму

Результат загрузки Ошибка загрузки. Данный файл уже был загружен

FRST.txt

Addition.txt

quarantine.zip

Геннадий Потапов

Геннадий Потапов

Опубликовано
  • Автор
Опубликовано

ждать расшифровки ?

SQ

SQ

Опубликовано
Опубликовано

ждать расшифровки ?

К сожалению с расшифровкой помочь не сможем, у Вас новый вариант шифровальщика, на данный момент нет решения (у добровольцев форума). Пробуйте обратиться в тех. поддержку Kaspersky согласно следующей инструкции.

https://forum.kasperskyclub.ru/index.php?showtopic=48525

Вам знакомо следующее:

 

HKLM-x32\...\Run: [1018496] => 1018496

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    Start::
CreateRestorePoint:
2019-06-07 16:24 - 2019-06-07 16:24 - 000001282 _____ C:\Users\Все пользователи\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000001282 _____ C:\ProgramData\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\Downloads\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\Documents\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\AppData\Roaming\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\AppData\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\AppData\LocalLow\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Администратор\AppData\Local\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Public\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Public\Downloads\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Public\Documents\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Public\Desktop\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\Downloads\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\Documents\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\Desktop\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\AppData\Roaming\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\AppData\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default\AppData\Local\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\Downloads\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\Documents\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\Desktop\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\AppData\Roaming\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\AppData\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Users\Default User\AppData\Local\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ C:\Program Files (x86)\README.txt
2019-06-07 16:23 - 2019-06-07 16:24 - 000000050 _____ C:\Users\README.txt
2019-06-07 16:23 - 2019-06-07 16:23 - 000000050 _____ C:\Program Files\README.txt
2019-06-07 16:23 - 2019-06-07 16:23 - 000000050 _____ C:\Program Files\Common Files\README.txt
Folder: C:\ProgramData\Embarcadero
2019-06-07 16:23 - 2019-06-07 16:23 - 000000050 _____ () C:\Program Files\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ () C:\Program Files (x86)\README.txt
2019-06-07 16:23 - 2019-06-07 16:23 - 000000050 _____ () C:\Program Files\Common Files\README.txt
2019-06-07 16:23 - 2019-06-07 16:23 - 000000050 _____ () C:\Program Files (x86)\Common Files\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ () C:\Users\Администратор\AppData\Roaming\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ () C:\Users\Администратор\AppData\Roaming\Microsoft\README.txt
2019-06-07 16:24 - 2019-06-07 16:24 - 000000050 _____ () C:\Users\Администратор\AppData\Local\README.txt
End::
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что сервер возможно будет перезагружен.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Vyacheslv B.
      Шифратор Zeppelin
      Автор Vyacheslv B.
      Здравствуйте. Пострадал от действий вируса-шифровальщика. Возможно ли восстановить файлы?
       
       
       
      encrypt.zipFRST.zip
    • organism
      шифратор jinxishere@onionmail.org
      Автор organism
      в выходные зашифровались все файлы, включая 1с
      установленный касперский больше не работает
      прилагаю образцы файлов и  сообщение от вируса
      пароль архива 32768
      эквилибриум.zip
    • Galem333
      сестра скачала шифратор на ноутбук
      Автор Galem333
      Всем здравствуйте, Опишу в кратце что произошло. Прихожу домой я с тренировки и вижу на мамином ноутбуке такою картину (фото приклал) Моя сестра сказала что захотела поиграть в роблокс (детская игра) но не просто поиграть в игру а поиграть с читами некий друг по игре (которого она вообще в реальности не знает) скидывает ей файлик с этим так называемым читом ну она его открыла и компьютер перезагрузился а шифратор удалил все данные на мамином ноутбуке ну так вот дело в том что это не просто какой-то шифратор а самый настоящее зло которое сломала виндовс и не даëт что либо сделать с ОС прошу помогите!!!!!! (Логи я не могу предоставить т.к вирус превратил всю виндовс в блокнот) 


      Ноутбук сломан вариант с безопасным режимом сразу можно отмести
    • Pavel Morozov
      Поймал вирус шифратор Black Bit
      Автор Pavel Morozov
      На протяжении некоторого времени, мой компьютер находился во включенном состоянии. Ранее я баловался с удаленным доступом к компьютеру через удаленный рабочий стол. Сегодня вывел компьютер из спящего режима и увидел на рабочем столе изображение с надписью "BLACK BIT и т.д", изображение с полным текстом в архиве, также я написал сообщение на указанный почтовый адрес изображение с ответом также есть в архиве. По инструкции в архив были добавлены зашифрованные файлы и их оригиналы, а также файлы которые создал вирус, это два файла "Cpriv.BlackBit", "Cpriv2.BlackBit", "info.hta" и "Restore-My-Files.txt". Также в инструкции было написан про "Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool" данная программа не запускается от слова совсем не в обычном режиме не в режиме администратора.
      файлы.rar
    • KrivosheevYS
      Поймали шифратор Neshto, зашифрованы файлы в корне папок диска (вложенные папки остались не повреждены)
      Автор KrivosheevYS
      Здравствуйте!
      Поймали шифратор Neshto, зашифрованы файлы в корне папок диска (вложенные папки остались не повреждены)! расширение .XEXK просим о помощи в расшифровке.
      Файл с логами прилагается.
      Neshta.rar
×
×
  • Создать...