Шифровальщик .CBF

[shuzaky]

Здравствуйте. Поймал шифровальщика. Автозапуск чист, но файлы продолжают шифроваться. Файлы шифруются на флешке, которая последнюю неделю с компьютера не извлекалась. Ссылка на шифрованные файлы
https://dropmefiles.com/w6LrQ
Логи прикрепляю

[Info_bot]

Уважаемый(ая) shuzaky, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Сделайте лог CheckBrowsers' Lnk

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

[shuzaky]

Логи во вложении

[thyrex]

Активного шифровальщика в логах нет. Уверены, что шифровальщик запускали именно на этом компьютере?

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.istartsurf.com/?type=hp&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.istartsurf.com/?type=hp&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
HKU\S-1-5-21-1890232164-936624274-1771143215-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.istartsurf.com/?type=hp&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
HKU\S-1-5-21-1890232164-936624274-1771143215-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hp&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1890232164-936624274-1771143215-1000 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1890232164-936624274-1771143215-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX&q={searchTerms}
S1 qrnfd_1_10_0_12; system32\drivers\qrnfd_1_10_0_12.sys [X]
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?type=sc&ts=1431685545&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=air&uid=HitachiXHTS543232A7A384_E203421L3GG23P3GG23PX
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[shuzaky]

Не уверен, что шифровальщик запускался здесь... Но шлефка заражена и стояла (как и сейчас стоит) в нем.

[thyrex]

Если компьютер находится в сети с каким-либо другим, то шифровальщик мог добраться к нему именно по сети

[shuzaky]

Логи компьютера, с которым он был в сети

[thyrex]

Никаких следов шифровальщика тут нет