Перейти к содержанию

Большинство файлов на компьютере зашифровали

MatroskinPR
 Поделиться

Рекомендуемые сообщения

MatroskinPR

MatroskinPR

Опубликовано
Опубликовано (изменено)

Здравствуйте
Столкнулся с проблемой зашифрованных файлов на моём пк, в какой момент это произошло и после каких действий сказать точно не могу, так же обнаружил что был удалён антивирус, утром он ещё был.
Все файлы переименованы с ссылкой {yourdataonline@aliyun.com}, можно ли их спасти?
Прикрепляю логи и некоторые файлы в том числе и файл с некоторой инструкцией который удалось найти

Addition.txt FRST.txt Архив WinRAR.rar

Чуть не забыл про само требование

RESTORE_FILES_INFO.txt

Изменено пользователем MatroskinPR
mike 1

mike 1

Опубликовано
Опубликовано (изменено)

Здравствуйте.

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\john\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mystartup.lnk [2021-04-02]
ShortcutTarget: mystartup.lnk -> C:\Users\Unknown\AppData\Local\Temp\RESTORE_FILES_INFO.txt (Нет файла)
2021-04-02 15:32 - 2020-10-31 02:36 - 001179648 _____ (wj32) C:\Users\john\Documents\PHru.exe
2021-04-02 15:32 - 2019-12-17 15:12 - 000035328 _____ () C:\Users\john\Documents\pass.exe
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\rdp
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\ProgramData\ESET
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\RDP Wrapper
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\ESET
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2021-03-27 12:13 - 2021-04-02 15:51 - 000000000 __SHD C:\ProgramData\install
2021-03-27 12:13 - 2021-04-02 15:32 - 000000000 __SHD C:\ProgramData\WindowsTask
2021-03-27 12:13 - 2021-04-02 15:32 - 000000000 __SHD C:\ProgramData\Windows
2021-03-27 12:13 - 2021-03-27 12:22 - 000000000 __SHD C:\ProgramData\RealtekHD
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Setup
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\RunDLL
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Norton
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\McAfee
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\grizzly
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Doctor Web
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\360safe
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\SpyHunter
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Malwarebytes
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Enigma Software Group
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\COMODO
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Cezurity
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\ByteFence
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\AVG
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\AVG
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\360
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\KVRT_Data
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\AdwCleaner
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\Windows\speechstracing
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\System32
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\MB3Install
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\Malwarebytes
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\Indus
hosts:
zip:C:\FRST\Quarantine

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Сделайте новый логи FRST. 

Изменено пользователем mike 1
MatroskinPR

MatroskinPR

Опубликовано
  • Автор
Опубликовано (изменено)

Вот новые логи и фикс, так же создался файл с временем и датой, попытался загрузить через форму выдало ошибку "Данный файл уже был загружен"

Addition.txt Fixlog.txt FRST.txt

Изменено пользователем MatroskinPR
mike 1

mike 1

Опубликовано
Опубликовано (изменено)
12 часов назад, mike 1 сказал:

Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод

Не выполнено. Выделил специально цветом, но все равно не обратили внимания. 

 

Удалите или заблокируйте учетную запись john, если ее не создавали сами. 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
CloseProcesses:
() [Файл не подписан] C:\ProgramData\Windows\rutserv.exe
U3 aswbdisk; отсутствует ImagePath
Unlock: C:\ProgramData\Windows
C:\ProgramData\Windows

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Изменено пользователем mike 1
MatroskinPR

MatroskinPR

Опубликовано
  • Автор
Опубликовано (изменено)

Вот следующие логи фикса и новые логи сконирования, создавал в юникоде, учетной записи john не обнаружил.

Fixlog.txt

Addition.txt FRST.txt

Изменено пользователем MatroskinPR
mike 1

mike 1

Опубликовано
Опубликовано (изменено)

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот в кодировке Юникод и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
C:\ProgramData\Windows\rutserv.exe
2021-03-27 12:14 C:\ProgramData\Avira
CMD: net user john /delete

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Удалите папку C:\ProgramData\Windows.  

Изменено пользователем mike 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Шиловский
      Шифровальщик; *.putin; Conti(Meow)?
      Автор Шиловский
      Добрый день.
       
      Система загружается. Файлы зашифрованы. Шифровальщик не детектируется. Во вложении логи FRST(FRST_logs.zip) и два семпла с запиской(Samples.zip).
       
      Помогите, пожалуйста.
      FRST_logs.zip Samples.zip
    • Study
      Шифровальщик M0rphine
      Автор Study
      Здравствуйте! Обращаюсь по не совсем рекомендуемой форме. Войти в систему под админом не удалось - изменена учетка администратора домена. Подключили диск к другой системе. 
      На сервере 2003 оказались зашифрованы файлы. Предположительно, было проникновение по RDP и шифровальщик запущен вручную.
      В корне C: обнаружен файл mor.exe, расширения зашифрованных файлов - .M0rphine.
      В прикрепленных файлах скрины сообщения, образец зашифрованного файла и файл HTML приложения(переименован), которое запускает сообщение (в архиве).
      Пока никакой информации по этому шифровальщику в инете не нашел.
      Надеюсь на вашу помощь. Спасибо.


      files.zip
    • chirkov@szte.ru
      Поймали шифровальщика
      Автор chirkov@szte.ru
      Добрый день.
       
      Поймали вирус-шифровальщик, зашифровал все файлы, кроме системных.
      Возможно отработал от имени какой-то доменной учетки.
      Файл с логами во вложении.
      CollectionLog-2020.03.24-16.17.zip
    • Andrew.4.4
      Помощь в расшифровке файлов
      Автор Andrew.4.4
      У организации, которой я помогаю время от времени на сервер проникли злоумышленники и зашифровали файлы. Необходимости в очистке системы нет, так как зараженная ОС была снесена. ID Ransomware определил, как семейство Globe, но брут ключа по паре файлов решениями от Emsisoft не принёс результата. Пару зашифрованный-оригинал прикрепляю. Записки от вымогателей также не осталось. Буду благодарен за любую помощь.
      andrew.4.4.zip
    • Edison77
      зашифрованные фото
      Автор Edison77
      суть проблемы в следующем,дочка занесла вирус на комп,а он был связон с облаком на котором хранились все фотки и видео.вообщем комп почистили и винду переустановили,но как восстановить фотки с облака?Программы дешифровальщики не помогли! Но повезло- есть зашифрованное фото и его начальное !!!! прилагаю 2 файла и жду каких либо советов,извините если не тут обращаюсь,просто хочется верить в наших програмистов!   Ошибка Вы не можете загружать файлы подобного типа    Ребята а закодированный файл не грузится?????как быть

×
×
  • Создать...