Перейти к содержанию

[РЕШЕНО] шифровальщик .limbo

квадрат2
 Поделиться

Рекомендуемые сообщения

квадрат2

квадрат2

Опубликовано
Опубликовано

Здравствуйте. зашифровались файлы на пк, базы SQL базы 1с, ярлыкы, экзешники, дллки, да почти все. во вложении архив с письмом требований и пример файла

 

doc.rar

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ из папки Autologger

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\Windows Screen Manager\Windows screen manage updater.exe','');
 DeleteService('rijufoze');
 DeleteService('rocufyky');
 DeleteService('zelikugizbt');
 DeleteFile('C:\Program Files (x86)\03AA02FC-1459745293-0510-9006-910700080009\hnsn56F7.tmp','64');
 DeleteFile('C:\Program Files (x86)\03AA02FC-1459745293-0510-9006-910700080009\jnsyB08.tmp','64');
 DeleteFile('C:\Program Files (x86)\03AA02FC-1459745293-0510-9006-910700080009\knszD233.tmpfs','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SaveYouTime','x32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msiql','x32');
 DeleteFile('C:\ProgramData\msiql.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SpaceSoundPro','x64');
 DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe','64');
 DeleteFile('C:\Program Files\SpaceSoundPro\idsccom_PAK.exe','64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','IDSCCOMPAK','x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','IDSCCOMZON','x64');
 DeleteFile('C:\Program Files (x86)\Hostify\idsccom_ZON.exe','64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','WINDOWS_SCREEN_MANAGER_UPDATER_1','x64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SaveYouTime','x64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msiql','x64');
 DeleteSchedulerTask('WinTaske');
 DeleteFile('C:\Program Files (x86)\WinTaske\WinTaske\WinTaske.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.
  • Обратите внимание: перезагрузку компьютеранужно выполнить вручную после скрипта.
Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM-x32\...\Run: [SystemClose] => D:\Documents\systemfile.exe
HKLM-x32\...\Run: [mpck_en_005030287] => [X]
HKLM-x32\...\Run: [sun21] => [X]
HKLM-x32\...\Run: [rec_ru_238] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Read-Me-Now.txt [2019-06-24] () [File not signed]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Read-Me-Now.txt [2019-06-24] () [File not signed]
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-1445598152-355041772-2473437214-500\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Task: {196A9598-00B0-4D0A-B0AA-EF3B2DF7A275} - System32\Tasks\Soft installer => C:\Users\Администратор\AppData\Local\Hostinstaller\3270802868_monster.exe
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Windows\Tasks\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Windows\SysWOW64\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Windows\SysWOW64\Drivers\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Windows\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Все пользователи\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Администратор\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\USR1CV8.SERVER\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLSERVERAGENT\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\SQLAgent$RAIPO_SQL\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Public\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Public\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Public\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Public\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQLSERVER\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\AppData\LocalLow\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\MSSQL$RAIPO_SQL\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\Downloads\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\Documents\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\Desktop\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\AppData\Roaming\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\AppData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Users\Default User\AppData\Local\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\ProgramData\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Program Files\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Program Files\Common Files\Read-Me-Now.txt
2019-06-24 03:11 - 2019-06-24 03:11 - 000000201 _____ C:\Program Files (x86)\Read-Me-Now.txt
2019-06-24 03:11 - 2016-04-04 09:38 - 000000000 ____D C:\Program Files (x86)\WinTaske
2019-06-24 03:11 - 2016-04-04 09:38 - 000000000 ____D C:\Program Files (x86)\Winsere
2019-06-24 03:11 - 2016-04-04 09:38 - 000000000 ____D C:\Program Files (x86)\SearchesToYesbnd
2019-06-24 03:11 - 2016-04-04 09:38 - 000000000 ____D C:\extensions
2019-06-24 03:11 - 2016-04-04 09:37 - 000000000 ____D C:\Program Files\Windows Screen Manager
2019-06-24 03:11 - 2016-04-04 09:37 - 000000000 ____D C:\Program Files (x86)\Hostify
2019-06-24 03:11 - 2016-04-04 09:24 - 000000000 ____D C:\Program Files\ContentProtector
2019-06-24 03:11 - 2016-04-04 09:23 - 000000000 ____D C:\Users\Администратор\AppData\Roaming\gplyra
2019-06-24 03:11 - 2016-04-04 09:23 - 000000000 ____D C:\Program Files (x86)\HomePageDefender
2019-06-24 03:11 - 2016-04-04 09:22 - 000000000 ____D C:\Users\Администратор\AppData\Roaming\UPUpdata
2019-06-24 03:11 - 2016-04-04 09:21 - 000000000 ____D C:\Program Files\SpaceSoundPro
2019-06-24 03:11 - 2016-04-04 08:45 - 000000000 ____D C:\Users\Администратор\AppData\Local\Hostinstaller
File: C:\ProgramData\uiapp.exe
End::
2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после скрипта.
thyrex

thyrex

Опубликовано
Опубликовано

C:\ProgramData\uiapp.exe заархивируйте с паролем virus, выложите на https://sendspace.com и пришлите ссылку на скачивание мне в личные сообщения

thyrex

thyrex

Опубликовано
Опубликовано

Удаляйте файл. Он отвечает всего лишь за сообщение вымогателей для связи.

 

Пока не удается идентифицировать шифратор, но шансов на расшифровку все равно мало.

  • 3 недели спустя...
Шахоб Муродов

Шахоб Муродов

Опубликовано
Опубликовано

На моем сервере тоже проник такой шифровальшик. Лазил по форумам но ответа не нашел. Прошу помочь.

Лог из AVZ

CollectionLog-2019.07.16-14.19.zip

thyrex

thyrex

Опубликовано
Опубликовано

Шахоб Муродов, не нужно бегать по форумам и плодить темы по одной проблеме. Продолжайте на Вирусинфо.

thyrex

thyrex

Опубликовано
Опубликовано

Мы были рады Вам помочь!
Надеемся, что Вы остались довольны результатом.
На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить компьютерные технологии, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно!
Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы!
Будем рады видеть Вас в наших рядах!
Всегда ваш, фан-клуб "Лаборатории Касперского".

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Константин Нездиминов
      Зашифрованы разделы
      Автор Константин Нездиминов
      Здравствуйте! В локальную сеть организации попал шифровальщик.  Шифрует только системный раздел с установленной ОС. Загрузочный раздел и раздел восстановления не зашифрованы.
      Никаких требований выкупа нет. Есть образ частично зашифрованного диска на 256 ГБ, если понадобится(первые 70 ГБ зашифрованы, дальше процесс почему-то прервался).
      Можно ли как нибудь помочь?
      Спасибо большое!
      Сделал копию первых 2000000 секторов и последних 2000000 секторов полностью зашифрованного диска в файл виртуального диска(https://dropmefiles.com/yWfs8)
    • Konsta812
      Зашифрованные файлы с расширением 89vINnQSL
      Автор Konsta812
      Здравствуйте!
      Пожалуйста, помогите с расшифровкой файлов.
      Пользователем по невнимательности был запущен файл из письма.
      Сработал шифровальщик, после чего зашифрованные файл получили расширение 89vINnQSL
      Заранее признателен за любую помощь! 
    • Moritto
      Шифровальщик ixvB60I6b
      Автор Moritto
      Зашифровались все файлы на ноутбуке - файлы стали с расширением ixvB60I6b, а также сервер. Помогите, пожалуйста, вернуть файлы
      Addition.txt FRST.txt
    • Шиловский
      Шифровальщик; *.putin; Conti(Meow)?
      Автор Шиловский
      Добрый день.
       
      Система загружается. Файлы зашифрованы. Шифровальщик не детектируется. Во вложении логи FRST(FRST_logs.zip) и два семпла с запиской(Samples.zip).
       
      Помогите, пожалуйста.
      FRST_logs.zip Samples.zip
    • Study
      Шифровальщик M0rphine
      Автор Study
      Здравствуйте! Обращаюсь по не совсем рекомендуемой форме. Войти в систему под админом не удалось - изменена учетка администратора домена. Подключили диск к другой системе. 
      На сервере 2003 оказались зашифрованы файлы. Предположительно, было проникновение по RDP и шифровальщик запущен вручную.
      В корне C: обнаружен файл mor.exe, расширения зашифрованных файлов - .M0rphine.
      В прикрепленных файлах скрины сообщения, образец зашифрованного файла и файл HTML приложения(переименован), которое запускает сообщение (в архиве).
      Пока никакой информации по этому шифровальщику в инете не нашел.
      Надеюсь на вашу помощь. Спасибо.


      files.zip
×
×
  • Создать...