Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

C:\Windows\System32\1c_bitrix.exe проверьте на virustotal.com и пришлите ссылку на результат анализа 

Опубликовано

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\...\Run: [1c_bitrix.exe] => C:\Windows\System32\1c_bitrix.exe [94720 2021-06-10] () [Файл не подписан]
HKLM\...\Run: [C:\Windows\System32\Info.hta] => mshta.exe "C:\Windows\System32\Info.hta"
HKLM\...\Run: [C:\Users\Администратор\AppData\Roaming\Info.hta] => mshta.exe "C:\Users\Администратор\AppData\Roaming\Info.hta"
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2021-06-10] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1c_bitrix.exe [2021-06-10] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2021-06-10] () [Файл не подписан]
2021-06-10 05:42 - 2021-06-10 05:42 - 000013917 _____ C:\Windows\system32\Info.hta
2021-06-10 05:42 - 2021-06-10 05:42 - 000013917 _____ C:\Users\Администратор\AppData\Roaming\Info.hta
2021-06-10 05:42 - 2021-06-10 05:42 - 000000208 _____ C:\Users\Администратор\Desktop\FILES ENCRYPTED.txt
2021-06-10 05:42 - 2021-06-10 05:42 - 000000208 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
2021-06-10 05:42 - 2021-06-10 05:42 - 000000208 _____ C:\ProgramData\Desktop\FILES ENCRYPTED.txt
2021-06-10 05:42 - 2021-06-10 05:42 - 000000208 _____ C:\FILES ENCRYPTED.txt
C:\Windows\System32\1c_bitrix.exe
End::


2. Скопируйте выделенный текст (правая кнопка мышиКопировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.


 

Опубликовано
14 часов назад, 12fingers сказал:

После перезагрузки стало похуже

А Вы случайно не удаленно выполняете скрипт? Нужно локально за компьютером. Потому и шифратор продолжает свою работу.

 

Предлагаю перейти к ручной зачистке.

 

1. Остановите через диспетчер задач все процессы 1c_bitrix.exe и mshta.exe.

2. Удалите вручную файлы

Цитата

 

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\1c_bitrix.exe

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta

C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1C_BIT~1.EXE

C:\Windows\system32\1C_BIT~1.EXE

C:\Windows\system32\Info.hta
C:\Users\Администратор\AppData\Roaming\Info.hta

C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta

C:\Users\Администратор\Desktop\FILES ENCRYPTED.txt
C:\Users\Public\Desktop\FILES ENCRYPTED.txt
C:\ProgramData\Desktop\FILES ENCRYPTED.txt
C:\FILES ENCRYPTED.txt

 

 

3. С помощью редактора реестра удалите в ветке HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run параметры

Цитата

1C_BIT~1.EXE
C:\Windows\System32\Info.hta
C:\Users\Администратор\AppData\Roaming\Info.hta

 

С расшифровкой помочь не сможем.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Сергей47
      Автор Сергей47
      Кто-нибудь сталкивался с этим?
    • bigV
      Автор bigV
      Прошу помочь в расшифровке.
      Есть база данный MySQL на 6 Gb, и файловое хранилище, основная цель дешифровать эти файлы.

      Если расшифровка невозможна, прошу указать в ответе.
      Заранее благодарю.
      ----------------------
      Please help me decrypt files. There is a 6 Gb MySQL database, and file storage, the main purpose is to decrypt these files. If decryption is not possible, please indicate in the answer. Thank you in advance.
      encrypted and orig files.7z
      FILES ENCRYPTED.txt
    • Stedxem91
      Автор Stedxem91
      Здравствуйте! У меня несколько не стандартная ситуация! В организации 4 компьютера заражены вирусом шифровальщиком с почтой james2020m@aol.com, странно что не в хронологическом порядке и не с общими папками! Три из них заражены полностью, то есть камня на камне не осталось от информации, затерто буквально все что можно, но есть один, по которому он прошелся всего ничего - зашифровал три базы 1с из 20 примерно, все документы в порядке, это я смотрю через live cd. Но я также вижу, что у него живые точки восстановления! В папке system volume information, там файлы по 5 гигабайт не зашифрованы! Я так понимаю, что если я заведу компьютер в обычном режиме - то вирус продолжит свою работу! Если же не заведу - то не смогу воспользоваться точкам восстановления! Подскажите, как его остановить, чтобы можно было запустить систему и предыдущие версии баз восстановить!
      DESKPR.0.rar Подпись модуль.2.jpg.id-043779A6.[James2020m@aol.com].rar
    • test17
      Автор test17
      PROJECTBLACK@CRIPTEXT.COM
       
      Не платите выкуп данному мошеннику!
      Это кидалово.
      Деньги перечислены - декриптора нет уже неделю!
      Потеряны деньги, потеряно время.
       
      Do not pay a ransom to this fraudster!
      This is a scam.
      The money has been transferred - the descriptor has been missing for a week!
    • mixa200z
      Автор mixa200z
      28.06.2021 залетел вирус  
      Каталоги 2018.zip FILES ENCRYPTED.txt
×
×
  • Создать...