Показать полную графическую версию : Последствия шифровальщика
madmaxmc
14-07-2017, 15:08
Здравствуйте, принес друг системач с зашифрованными данными после расширений файлов было еще одно расширение 707, запустил утилиту от касперского для расшифровки данных rectordecryptor расширения исчезли, а вот программы не открываются. Кроме шифратора была еще куча вирусов. В общем, помогите кто чем может побороть эту хрень(извиняюсь за выражение). Лог прикладываю.
madmaxmc
15-07-2017, 08:08
Вчера забыл выложить логи сканирования антивирусов kaspersky rescue disk 10 и Nod32. Может эти логи подскажут что за вирус у меня вообще зашифровал файлы. ScanObject.txt от касперского, 123 архив от Nod32
madmaxmc
15-07-2017, 11:23
Аууууу, люди есть кто дома? Я понимаю что вы мне ничего не должны, но если не хотите заниматься моей проблемой, то напишите, буду искать другие варианты. Компьютер принес друг,но он с работы и там много важных документов, которые им нужны.
Здравствуйте!
Через Панель управления - Удаление программ - удалите нежелательное ПО:
Mobogenie
rollApp File Opener version 1.2.0
Search Protect
Амиго
Кнопка "Яндекс" на панели задач
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).
Выполните скрипт в АВЗ (http://forum.oszone.net/post-1430637-4.html) (Файл - Выполнить скрипт):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\admin\vrcwlgrk.exe', '');
DeleteFile('C:\Users\admin\vrcwlgrk.exe', '32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MSConfig','command');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
После перезагрузки, выполните такой скрипт:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Повторите логи по правилам (http://forum.oszone.net/thread-98169.html). Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
Скачайте AdwCleaner (by Malwarebytes) (https://toolslib.net/downloads/viewdownload/1-adwcleaner/) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Sx].txt.
Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве (http://safezone.cc/threads/22250).
madmaxmc
17-07-2017, 15:44
Здравствуйте, спасибо, что ответили. К сожалению Амиго и Кнопка "Яндекс" на панели задач удалить через панель управления не удалось. Поэтому возможно скрипт выполнялся с ошибками. quarantine.zip отправил, логи прикладываю
Амиго и Кнопка "Яндекс" на панели задач удалить через панель управления не удалось »
Удалите принудительно через Revo Uninstall (http://www.revouninstaller.com/download-free-portable.php)
Затем:
1.
Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
Нажмите кнопку "Scan" ("Сканировать").
По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
Политики IE
Политики Chrome
и нажмите Ok.
Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.
Подробнее читайте в этом руководстве (http://safezone.cc/threads/22250/#post-157088).
2.
Скачайте Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (или с зеркала (http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/)) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве ('http://safezone.cc/threads/17759/').
madmaxmc
17-07-2017, 15:54
У меня не открывается ваша ссылка на Revo Uninstall какую версию скачать, что бы я поискал в другом месте
Пробуйте этот https://geekuninstaller.com/geek.zip
madmaxmc
17-07-2017, 16:29
Спасибо, эта программка удалила, правда только через принудительное удаление. Логи прикладываю. Shortcut.txt оказался слишком большим поэтому в архиве
C:\Users\Default\Desktop\инфо.txtэто записка с требованием выкупа?
Если да, ее и пару зашифрованных файлов упакуйте и прикрепите к следующему сообщению.
Отключите до перезагрузки антивирус.
Выделите следующий код:
Start::
CreateRestorePoint:
AVG PC TuneUp 2015 (en-US) (HKLM\...\{4AC74ED1-719B-46DA-8B8A-340FBF892291}) (Version: 15.0.1001.518 - AVG Technologies) Hidden
AlternateDataStreams: C:\Users\admin\Local Settings:init [8656776]
AlternateDataStreams: C:\Users\admin\AppData\Local:init [8656776]
AlternateDataStreams: C:\Users\admin\AppData\Local\Application Data:init [8656776]
FirewallRules: [TCP Query User{AEE8EEF8-1105-4176-9290-8C3A6EC5B1BF}C:\program files\mobogenie3\mobogeniehelper.exe] => (Block) C:\program files\mobogenie3\mobogeniehelper.exe
FirewallRules: [UDP Query User{B7D8423A-DF88-481B-8F71-81002E0A097B}C:\program files\mobogenie3\mobogeniehelper.exe] => (Block) C:\program files\mobogenie3\mobogeniehelper.exe
FirewallRules: [TCP Query User{9E427F0C-8904-469B-A236-A971E15697FC}C:\program files\mobogenie3\mobogeniehelper.exe] => (Block) C:\program files\mobogenie3\mobogeniehelper.exe
FirewallRules: [UDP Query User{A6132FDD-7948-4F01-8415-3CB944708E18}C:\program files\mobogenie3\mobogeniehelper.exe] => (Block) C:\program files\mobogenie3\mobogeniehelper.exe
FirewallRules: [{BA3A1FC3-B1B4-4CBD-8C93-A147EF63A1E8}] => (Allow) C:\Program Files\Mobogenie3\mobogenieP2sp.exe
FirewallRules: [{CC95BA6F-DDB5-4B8D-945F-B95A09C3489B}] => (Allow) C:\Program Files\Mobogenie3\mobogenieP2sp.exe
FirewallRules: [{8D712B7E-9FA1-4DA9-BA75-BD1CE75890F0}] => (Allow) C:\Program Files\Mobogenie3\mobogenieP2sp.exe
FirewallRules: [{C8FB7CDF-C87E-48AA-9FED-DC91698F466E}] => (Allow) C:\Program Files\Mobogenie3\mobogenieP2sp.exe
Reboot:
End::
Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве ('http://safezone.cc/threads/17760/').
В перечне установленных программ появится AVG PC TuneUp 2015 (en-US). Деинсталлируйте.
madmaxmc
17-07-2017, 16:40
Я открыл инфо.txt там только какие-то иероглифы( Возможно не она,но скину на всякий случай
madmaxmc
17-07-2017, 16:59
Выполнил перечисленные действия, кроме "В перечне установленных программ появится AVG PC TuneUp 2015 (en-US). Деинсталлируйте." Кнопка деинсталлировать не активна на панеле управления. Или ее тоже через geek удалить?
Возможно не она »
Либо повреждена.
К сожалению, после манипуляций из первого сообщения определить тип вымогателя не представляется возможным.
madmaxmc
17-07-2017, 17:08
А есть ли программки для восстановления таких файлов, как удаленных типа R-Studio может смогут восстановить предыдущую версию?
madmaxmc
17-07-2017, 17:38
А с системой поможете восстановить или это уже невозможно?
madmaxmc
17-07-2017, 17:59
Случайно увидел на диске C может это что подскажет
madmaxmc
17-07-2017, 18:08
Восстановил несколько файлов с расширением которое было 707
А с системой поможете восстановить или это уже невозможно? »
Система в порядке.
Какое-то время подождите, подключу коллег.
madmaxmc
17-07-2017, 19:58
система у меня не в порядке, почти ничего не открывается, только блокнот, хром, смд и виндоус медиа плэер. А такие приложения как офис например не запускаются выскакивает смд-окошко на долю секунды и все, дальше ничего не происходит. Есть подозрения что этот вирус Petya, а он систему тоже повреждает. (((
С расшифровкой обрадовать нечем. Похоже на GlobeImposter 2.0, от которого пока таблетки нет и "восстановленные" файлы забиты мусором.
как офис например не запускаются »
Переустановить офис не пробовали?
С какими еще программами трудности?
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.
Available in ZeroNet 1osznRoVratMCN3bFoFpR2pSV5c9z6sTC