Перейти к содержанию

Большинство файлов на компьютере зашифровали

MatroskinPR
 Поделиться

Рекомендуемые сообщения

MatroskinPR

MatroskinPR

Опубликовано
Опубликовано (изменено)

Здравствуйте
Столкнулся с проблемой зашифрованных файлов на моём пк, в какой момент это произошло и после каких действий сказать точно не могу, так же обнаружил что был удалён антивирус, утром он ещё был.
Все файлы переименованы с ссылкой {yourdataonline@aliyun.com}, можно ли их спасти?
Прикрепляю логи и некоторые файлы в том числе и файл с некоторой инструкцией который удалось найти

Addition.txt FRST.txt Архив WinRAR.rar

Чуть не забыл про само требование

RESTORE_FILES_INFO.txt

Изменено пользователем MatroskinPR
mike 1

mike 1

Опубликовано
Опубликовано (изменено)

Здравствуйте.

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\john\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mystartup.lnk [2021-04-02]
ShortcutTarget: mystartup.lnk -> C:\Users\Unknown\AppData\Local\Temp\RESTORE_FILES_INFO.txt (Нет файла)
2021-04-02 15:32 - 2020-10-31 02:36 - 001179648 _____ (wj32) C:\Users\john\Documents\PHru.exe
2021-04-02 15:32 - 2019-12-17 15:12 - 000035328 _____ () C:\Users\john\Documents\pass.exe
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\rdp
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\ProgramData\ESET
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\RDP Wrapper
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\ESET
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2021-03-27 12:13 - 2021-04-02 15:51 - 000000000 __SHD C:\ProgramData\install
2021-03-27 12:13 - 2021-04-02 15:32 - 000000000 __SHD C:\ProgramData\WindowsTask
2021-03-27 12:13 - 2021-04-02 15:32 - 000000000 __SHD C:\ProgramData\Windows
2021-03-27 12:13 - 2021-03-27 12:22 - 000000000 __SHD C:\ProgramData\RealtekHD
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Setup
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\RunDLL
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Norton
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\McAfee
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\grizzly
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Doctor Web
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\360safe
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\SpyHunter
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Malwarebytes
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Enigma Software Group
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\COMODO
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Cezurity
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\ByteFence
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\AVG
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\AVG
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\360
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\KVRT_Data
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\AdwCleaner
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\Windows\speechstracing
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\System32
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\MB3Install
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\Malwarebytes
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\Indus
hosts:
zip:C:\FRST\Quarantine

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Сделайте новый логи FRST. 

Изменено пользователем mike 1
MatroskinPR

MatroskinPR

Опубликовано
  • Автор
Опубликовано (изменено)

Вот новые логи и фикс, так же создался файл с временем и датой, попытался загрузить через форму выдало ошибку "Данный файл уже был загружен"

Addition.txt Fixlog.txt FRST.txt

Изменено пользователем MatroskinPR
mike 1

mike 1

Опубликовано
Опубликовано (изменено)
12 часов назад, mike 1 сказал:

Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод

Не выполнено. Выделил специально цветом, но все равно не обратили внимания. 

 

Удалите или заблокируйте учетную запись john, если ее не создавали сами. 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
CloseProcesses:
() [Файл не подписан] C:\ProgramData\Windows\rutserv.exe
U3 aswbdisk; отсутствует ImagePath
Unlock: C:\ProgramData\Windows
C:\ProgramData\Windows

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Изменено пользователем mike 1
MatroskinPR

MatroskinPR

Опубликовано
  • Автор
Опубликовано (изменено)

Вот следующие логи фикса и новые логи сконирования, создавал в юникоде, учетной записи john не обнаружил.

Fixlog.txt

Addition.txt FRST.txt

Изменено пользователем MatroskinPR
mike 1

mike 1

Опубликовано
Опубликовано (изменено)

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот в кодировке Юникод и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
C:\ProgramData\Windows\rutserv.exe
2021-03-27 12:14 C:\ProgramData\Avira
CMD: net user john /delete

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Удалите папку C:\ProgramData\Windows.  

Изменено пользователем mike 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • nike_66
      Большинство файлов на компьютере имеют вид *.*.d3ad
      Автор nike_66
      Сегодня после включения компьютера на эклане появилось сообщение с требованием связаться по почте и прислать какойто код и я понял что это вымогатель,  не запустилась 1С когда посмотрел через проводник то большинство файлов на компьютере имеют вид *.*.d3ad . 
      Addition.txt FRST.txt Док и треб.rar
    • heimdall
      Файлы компьютера зашифрованы BlackBit
      Автор heimdall
      Добрый день. Компьютер сотрудника утром обрадовал сообщением, что файлы зашифрованы blackbit. К компу был доступ по rdp, следом еще 2 пк в сети зашифрованы. 
      files.rar Addition.rar
    • Сергей Кобызев
      Зашифрованы все файлы. На нескольких компьютерах сети.
      Автор Сергей Кобызев
      Зашифрованы все файлы. На нескольких компьютерах сети. На всех дисках.
      прилагаю сканы программой FarBar, и в архиве инструкцию злоумышленников и пару зашифрованных файлов.
       
       
      FRST.txt Z.zip Addition.txt
    • infort
      Зашифрованы все файлы на компьютере (trojan.encoder.36031)
      Автор infort
      Здравствуйте!
      Зашифрованы все файлы на компьютере (trojan.encoder.36031)
      FRST.7z Files.7z
    • 4tetree
      Зашифровали компьютер
      Автор 4tetree
      Добрый день!Зашифровали компьютер с файлами пишут:
       
      ссылка удалена ссылка на скачивание двух зараженных файлов
×
×
  • Создать...