Перейти к содержанию

Рекомендуемые сообщения

кодировщик выборочно перекодировал файлы на машине в домашней сети, куда сбрасывали фото и другое медиа. Ценность только как фото и видео детей.

Я так понял, что с данными можно попрощаться?

сам скрипт я так понял в useful.exe?

Как вычистить хвосты, в таком случае?

Интересно, что на машинHelp.7zе никто не работал. Просто в воскресенье откуда-то проснулся троян... видимо. откатить назад машину не дал - не было видимой точки до троянца.

Заранее спасибо.

Addition.txt FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Файл RESTORE_FILES_INFO.txt тоже прикрепите к следующему сообщению.

 

Логи собирали из безопасного режима. Удалите их и соберите из нормального.

 

Предварительно попробуйте пролечить систему с помощью KVRT.

Ссылка на сообщение
Поделиться на другие сайты
  • 1 month later...

Деинсталлируйте через Панель управления нежелательное ПО:

Цитата

 

Advanced SystemCare Pro

Driver Booster 8

IObit Uninstaller 10

Smart Defrag 4

 

 

Далее:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\...\RunOnce: [da51e1af-a2db-4e60-b8c5-eb084efc10e2] => "C:\Users\Svetik\AppData\Local\Temp\{ff8860a0-1ea2-42bb-9411-70f0e544a5a9}\da51e1af-a2db-4e60-b8c5-eb084efc10e2.cmd" <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    Startup: C:\Users\Denis\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mystartup.lnk [2021-03-14]
    ShortcutTarget: mystartup.lnk -> C:\Users\Svetik\AppData\Local\Temp\RESTORE_FILES_INFO.txt () [Файл не подписан] [Файл уже используется]
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\Users\1server.ACER9815\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    Policies: C:\Users\Denis\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    Policies: C:\Users\Svetik\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    Task: {1F44602D-8ED6-4A8D-ADE8-8846202AF589} - System32\Tasks\SpyHunter4 => C:\Program Files (x86)\SpyHunter\SpyHunter4.exe [8218296 2017-07-13] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.) [Файл не подписан]
    Task: {458B9170-827D-4264-B880-616FF0D816EB} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\8.3.0\AutoUpdate.exe [2268432 2020-12-23] (IObit Information Technology -> IObit)
    Task: {850EA98E-A3D9-49A5-881B-4790F9C031B8} - System32\Tasks\ASC12_SkipUac_Valentina => C:\Program Files (x86)\Advanced SystemCare Pro\ASC.exe [8801040 2020-01-08] (IObit Information Technology -> IObit) [Файл не подписан] [Файл уже используется]
    Task: {9D981632-C3ED-4BE7-88C2-92EB2800D18B} - System32\Tasks\Uninstaller_SkipUac_Denis => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe [6435088 2020-08-19] (IObit Information Technology -> IObit)
    Task: {AF699081-A972-4584-AAA6-978ED3843D96} - \Inst_Rep -> Нет файла <==== ВНИМАНИЕ
    Task: {D305DCA6-E2C4-4050-AC67-A9653FE9AABA} - System32\Tasks\ASC12_SkipUac_Denis => C:\Program Files (x86)\Advanced SystemCare Pro\ASC.exe [8801040 2020-01-08] (IObit Information Technology -> IObit) [Файл не подписан] [Файл уже используется]
    Task: {D81EB013-F1E9-459D-9513-186B9F0C08AC} - System32\Tasks\ASC_SkipUac_Denis => C:\Program Files (x86)\Advanced SystemCare Pro\ASC.exe [8801040 2020-01-08] (IObit Information Technology -> IObit) [Файл не подписан] [Файл уже используется]
    Task: {F98B2B1A-6958-49BD-A2DD-820C2435F8B2} - System32\Tasks\Driver Booster SkipUAC (Denis) => C:\Program Files (x86)\IObit\Driver Booster\8.3.0\DriverBooster.exe [8152016 2021-02-03] (IObit Information Technology -> IObit)
    Task: C:\Windows\Tasks\SpyHunter4.job => C:\Program Files (x86)\SpyHunter\SpyHunter4.exe
    S4 Windows Host Service; C:\Windows\system32\Windows Host Service\WindowsHostService.exe [12800 2020-04-18] () [Файл не подписан] [Файл уже используется]
    C:\Windows\system32\Windows Host Service\WindowsHostService.exe
    Toolbar: HKU\S-1-5-21-691817225-334091049-3898403143-1000 -> Нет имени - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  Нет файла
    FirewallRules: [{B9D19086-806C-4D2D-BAC0-F3043D32131C}] => (Allow) LPort=8613
    FirewallRules: [{72A502A3-35EE-4899-B8AE-391BEAEC03F1}] => (Allow) LPort=445
    FirewallRules: [{86181085-72B0-4AE5-B6E2-D151F409CC0B}] => (Allow) LPort=3389
    Zip: c:\FRST\Quarantine\
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

На рабочем столе появится архив Date_Time.zip (Дата_Время)
Отправьте его на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Ссылка на сообщение
Поделиться на другие сайты

С расшифровкой помочь не сможем, к сожалению.

 

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.


 
Ссылка на сообщение
Поделиться на другие сайты

При попытке запустить программу пишет - "ошибка подключения к интернету"

Ни брандмауэра ни антивира нет. Видимо вирус похозяйничал.

Я не могу даже в безопасном режиме загрузиться...

Поэтому лог от локальной базы.

SecurityCheck.txt

в любом случае, спасибо, что пытались помочь

если нет расшифровки, то ничего дальше делать не надо.

спасу оставшиеся файлы данных вставив диск в линукс машину.

а эту систему - в утиль.

Раз нельзя поставить 10ю винду, поставлю Линукс.

Слишком машина дорога, как память...

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Jaunty
      зашиврованы многие файлы кроме архивов
      Desktop.rar
    • От Miqueza
      Добрый день!
       
      Помогите пожалуйста. Имена файлов сменились на это: "After Effects.lnk.secure[milleni5000@qq.com]".
       
      Как вернуть обратно?

      На диске С появился документ: "RESTORE_FILES_INFO"
       
      Содержит след. инфу:
       
      Your files are secured... Write to this email with your Key Identifier: milleni5000@qq.com Key Identifier: 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 Number of files that were processed is: 276600  
      Проверил AVZ:
       
      Протокол утилиты AVZ версии 5.50 Сканирование запущено в 17.03.2021 10:00:13 Загружена база: сигнатуры - 297569, нейропрофили - 2, микропрограммы лечения - 56, база от 05.03.2021 04:00 Загружены микропрограммы эвристики: 404 Загружены микропрограммы ИПУ: 10 Загружены цифровые подписи системных файлов: 1195561 Режим эвристического анализатора: Средний уровень эвристики Режим лечения: выключено Версия Windows: 10.0.19042, "Windows 10 Pro" (Windows 10 Pro) x64, дата инсталляции 15.11.2020 23:35:37 ; AVZ работает с правами администратора (+) Восстановление системы: включено 1. Поиск RootKit и программ, перехватывающих функции API 1.1 Поиск перехватчиков API, работающих в UserMode Анализ kernel32.dll, таблица экспорта найдена в секции .rdata Анализ ntdll.dll, таблица экспорта найдена в секции .text Анализ user32.dll, таблица экспорта найдена в секции .text Анализ advapi32.dll, таблица экспорта найдена в секции .text Анализ ws2_32.dll, таблица экспорта найдена в секции .text Анализ wininet.dll, таблица экспорта найдена в секции .text Анализ rasapi32.dll, таблица экспорта найдена в секции .text Анализ urlmon.dll, таблица экспорта найдена в секции .text Анализ netapi32.dll, таблица экспорта найдена в секции .text 1.4 Поиск маскировки процессов и драйверов Проверка не производится, так как не установлен драйвер мониторинга AVZPM 2. Проверка памяти Количество найденных процессов: 188 Количество загруженных модулей: 360 Проверка памяти завершена 3. Сканирование дисков Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\06ae21f6-6c91-479e-a6b5-1df8ab21d7f2.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\0889ba8a-1464-4db7-b1c8-51a1e6610981.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\19fed871-304c-4240-8236-db6ca170f75f.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\1a15d823-bef1-4e01-bf6b-3bbe016bce40.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\2f88d172-2a53-486f-985d-1c97a2c85445.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\2f90f84c-9fc5-47bd-a650-4e393cb36cc0.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\3c570bc6-e843-4dbb-8efc-4960ed125890.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\6ace7528-baf3-4c12-8eb5-59759d9db1c4.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\7a055c71-3994-4f67-94b9-b5caa43c6134.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\7f30e013-be7f-445a-a7c3-1240b3d64058.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\902eabf4-be69-412f-acfe-2f45ac43d9d4.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\90bf3e25-e7d0-41f2-96eb-37b7d640a183.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\a6c8469c-438d-4f69-94f5-5d4c10cf3d11.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\c1b6144e-36b1-438a-91ad-be50ede7f614.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\d0ce9301-561c-41f2-b86f-03314595abe2.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\db02bd7a-8d71-4d18-9065-d3b2a69074cc.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\db89599f-ec38-4afa-9c14-7c83eaf9d4cf.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\e1034dcd-951f-4501-9d5a-ef873306bdbe.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\e296bd3f-94dd-4963-8551-ca00e92c6a30.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\f9b5e172-855d-4ec1-ae1f-98a630b89652.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\fa019844-6bde-43ff-bc8f-be33e6ed6464.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\fcc1bbd4-db74-4ed0-afec-b2e3792e5c34.tmp 4. Проверка Winsock Layered Service Provider (SPI/LSP) Настройки LSP проверены. Ошибок не обнаружено 5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL) 6. Поиск открытых портов TCP/UDP, используемых вредоносными программами Проверка отключена пользователем 7. Эвристичеcкая проверка системы >>> C:\Windows\aact_tools\aact.exe ЭПС: подозрение на Файл с подозрительным именем (CH) Проверка завершена 8. Поиск потенциальных уязвимостей >> Безопасность: разрешен автозапуск программ с CDROM >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) >> Безопасность: к ПК разрешен доступ анонимного пользователя >>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные >>> Безопасность: В IE разрешена загрузка подписанных элементов ActiveX без запроса >>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX >>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX >>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса >> Безопасность: Разрешены терминальные подключения к данному ПК >> Безопасность: Разрешена отправка приглашений удаленному помощнику >> Проводник - включить отображение расширений для файлов известных системе типов Проверка завершена 9. Мастер поиска и устранения проблем >> Разрешен автозапуск с HDD >> Разрешен автозапуск с сетевых дисков >> Разрешен автозапуск со сменных носителей Проверка завершена Просканировано файлов: 104321, извлечено из архивов: 4283, найдено вредоносных программ 0, подозрений - 0 Сканирование завершено в 17.03.2021 10:03:50 Сканирование длилось 00:03:38  
      До этого правда удалось cureit запустить, вот что он почистил: https://yadi.sk/i/Nvv8_HKkCFw-VQ (скриншот)
       
      Купил Касперский, он не запускает установщик.
       
      Прочитал и дополнительно высылаю еще файлы FRST: 
      Addition.txt FRST.txt Shortcut.txt
×
×
  • Создать...