Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Вирус шифровальщик

Pru
 Поделиться

Рекомендуемые сообщения

Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
SystemRestore: On
CreateRestorePoint:
HKU\S-1-5-21-520684910-835111120-3769067808-1000\...\Run: [76339C25-A8E2685B] => C:\Users\vladyka\AppData\Local\Temp\svcztv.exe <==== ATTENTION
HKU\S-1-5-21-520684910-835111120-3769067808-1000\...\Run: [8E496FEA-78C93D53hta] => C:\Users\vladyka\AppData\Local\Temp\how_to_decrypt.hta [13918 2021-01-19] () [File not signed] <==== ATTENTION
HKU\S-1-5-21-520684910-835111120-3769067808-1000\...\MountPoints2: {2265743a-f3e3-11e8-a91a-448a5b33e473} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-520684910-835111120-3769067808-1000\...\MountPoints2: {bbb0d04b-aa3e-11e6-970c-448a5b33e473} - E:\AutoRun.exe
HKU\S-1-5-21-520684910-835111120-3769067808-1000\...\MountPoints2: {bbb0d05b-aa3e-11e6-970c-448a5b33e473} - E:\AutoRun.exe
GroupPolicy: Restriction - Chrome <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Task: {970CC1AE-D04B-4CE0-B571-60C9ECC07B3B} - \SidebarExecute -> No File <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [bgomnbpelpcdicbnicimghcecemjpbef]
CHR HKLM\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo]
CHR HKLM\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - C:\Program Files\Adobe\Acrobat 11.0\Acrobat\Browser\WCChromeExtn\WCChromeExtn.crx [2014-12-03]
CHR HKLM\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad]
CHR HKLM\...\Chrome\Extension: [kbddieidiedfcgiijjmlppjkcnmdkabk]
CHR HKLM\...\Chrome\Extension: [kppacdmmddediahklmcgkgdhhoojemmd]
CHR HKU\S-1-5-21-520684910-835111120-3769067808-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo]
CHR HKU\S-1-5-21-520684910-835111120-3769067808-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gkdkfnbddpdpidbpnljcocpjeaafngdb]
CHR HKU\S-1-5-21-520684910-835111120-3769067808-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh]
2021-01-20 08:11 - 2021-01-20 08:11 - 000013918 _____ C:\Users\vladyka\how_to_decrypt.hta
2021-01-20 08:11 - 2021-01-20 08:11 - 000013918 _____ C:\Users\vladyka\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-01-20 08:11 - 2021-01-20 08:11 - 000013918 _____ C:\how_to_decrypt.hta
2021-01-20 07:39 - 2021-01-20 07:39 - 000013918 _____ C:\Users\vladyka\Downloads\how_to_decrypt.hta
2021-01-20 07:36 - 2021-01-20 07:36 - 000013918 _____ C:\Users\vladyka\Documents\how_to_decrypt.hta
2021-01-20 07:36 - 2021-01-20 07:36 - 000013918 _____ C:\Users\vladyka\Desktop\how_to_decrypt.hta
2021-01-20 04:58 - 2021-01-20 04:58 - 000013918 _____ C:\Users\vladyka\AppData\Roaming\how_to_decrypt.hta
2021-01-20 04:58 - 2021-01-20 04:58 - 000013918 _____ C:\Users\vladyka\AppData\how_to_decrypt.hta
2021-01-20 04:51 - 2021-01-20 04:51 - 000013918 _____ C:\Users\vladyka\AppData\LocalLow\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\vladyka\AppData\Local\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\User1\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\User1\Desktop\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\Downloads\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\Documents\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\Desktop\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\AppData\Roaming\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\AppData\LocalLow\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\AppData\Local\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\TEMP\AppData\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\Public\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\Default\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\Default User\how_to_decrypt.hta
2021-01-19 22:05 - 2021-01-19 22:05 - 000013918 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Все пользователи\Documents\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Все пользователи\Desktop\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Public\Desktop\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default\Documents\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default\AppData\Local\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default\AppData\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default User\Downloads\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default User\Documents\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default User\Desktop\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default User\AppData\Roaming\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default User\AppData\Local\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\Users\Default User\AppData\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\ProgramData\Documents\how_to_decrypt.hta
2021-01-19 22:04 - 2021-01-19 22:04 - 000013918 _____ C:\ProgramData\Desktop\how_to_decrypt.hta
2021-01-19 22:03 - 2021-01-19 22:03 - 000013918 _____ C:\Users\Все пользователи\how_to_decrypt.hta
2021-01-19 22:03 - 2021-01-19 22:03 - 000013918 _____ C:\Users\how_to_decrypt.hta
2021-01-19 22:03 - 2021-01-19 22:03 - 000013918 _____ C:\ProgramData\how_to_decrypt.hta
Reboot:
End::

     


  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

 


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
48 минут назад, Sandor сказал:

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению

Покажите.

 

9 минут назад, Pru сказал:

как шифратор попал

Чаще всего через взломанный RDP. Поэтому пароли на него смените и желательно спрятать RDP за VPN.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Aleks yakov
      Вирус шифровальщик kozanostra
      Автор Aleks yakov
      Здравствуйте  шифровальщик заразил 2 пк в локальной сети (kozanostra)
      Новая папка.zip
    • AlexYarm
      Вирус-шифровальщик Hardbit4
      Автор AlexYarm
      Зашифровались файлы. Расширение файлов hardbit4. Прилагаю необходимые архивы. Прошу помочь с расшифровкой.
      Hardbit4Virus.zip
    • Aleksandr Korolev
      Вирус шифровальщик ContiCrypt.MFP!MTB
      Автор Aleksandr Korolev
      Добрый день. Недавно взломали RDP одного из рабочих пк, и через него зашифровали данные NAS , попробовали выкупить, сбросили только exe и ключи, расшифровывает, но работает дешифровщик секунд 10, второй раз запустить нельзя , блокируется. Можно ли что то с ним сделать? Сам дешифровшик тоже как вирус , потому что много изменений в реестр вносит , прилагаю файл изменений которые он вносит , сам exe и ключи user id и второй ключvirus.rarНовый текстовый документ.txt#README-TO-DECRYPT-FILES.txt
    • vasia15
      вирус похож на шифровальщик
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • escadron
      Вирус-шифровальщик из далекого 2015 года
      Автор escadron
      В далеком 2015 году скачал какую-то фигню на комп, потерял практически все фотографии и видео. Получил от матери по шапке и благополучно об этом забыл.
      Сейчас же внезапно захотелось восстановить файлы, если, конечно, это возможно.
      Из-за ограничений формата прикрепляемых файлов не могу предоставить пример зашифрованных данных.
      Файл с почтой/другой информацией (README**.txt) либо был утерян, либо же вообще не появлялся на компьютере.
      Надеюсь, знатоки смогут помочь.
×
×
  • Создать...