Вирус шифровальщик "breaking_bad" пойман через mail почту

**gennady163** · 26.11.2015, 13:59

Все файлы (фото, видео, файлы .doс...) в зашифрованном виде с разрешением breaking_bad.
Восстановить файлы путём "Восстановления системы" не удалось, т.к. не было ни единой из точек и "предыдущих версий" файла. Система проверена и пролечена утилитой касперского.
Потеряно очень много текстовых документов, которые очень необходимы в работе.
Согласно правил во вложения вкладываю все необходимые логи и блокнот с текстом мошенников. Надеюсь на Вашу помощь.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 26.11.2015, 14:01

Уважаемый(ая) gennady163, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**gennady163** · 27.11.2015, 10:49

Все логи приложены в первом сообщении

**thyrex** · 28.11.2015, 09:45

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

**gennady163** · 02.12.2015, 10:49

Сделал

**thyrex** · 03.12.2015, 21:06

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{0F130AC8-CDF1-4DAA-AA9B-7B4083F49EA4}\InprocServer32 -> \\13k1\d\Poker\Titan Poker\widgetbar\PtContainerUI.dll => No File
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{492042A2-4432-44A1-9A39-85B2D3C0119E}\InprocServer32 -> \\13k1\d\Poker\Titan Poker\widgetbar\PtContainerUI.dll => No File
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{875054F5-51BF-489F-E17D-10151B8DB408}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{876FA801-2B5E-4201-9E6B-2EF2C05A5C6B}\InprocServer32 -> \\13k1\d\Poker\Titan Poker\widgetbar\WidgetbarAPI.dll => No File
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{89425F5E-A2BD-44CD-9E4F-F1498522F0E5}\InprocServer32 -> \\13k1\d\Poker\Titan Poker\widgetbar\WidgetbarManagerUI.dll => No File
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{899cac9d-533d-45c2-8a07-afb42425b544}\InprocServer32 ->  => No File
CustomCLSID: HKU\S-1-5-21-2916740155-357172033-3350673396-1000_Classes\CLSID\{F6F8856F-374D-4397-BB1C-80AB57E60529}\InprocServer32 -> \\13k1\d\Poker\Titan Poker\widgetbar\WidgetbarAPI.dll => No File
AlternateDataStreams: C:\Users\Admin\Local Settings:wa
AlternateDataStreams: C:\Users\Admin\AppData\Local:wa
AlternateDataStreams: C:\Users\Admin\AppData\Local\Application Data:wa
HKLM\...\Run: [] => [X]
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
GroupPolicyScripts: Restriction <======= ATTENTION
BHO: Bestgame Toolbar -> {899cac9d-533d-45c2-8a07-afb42425b544} -> No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKLM - No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKLM - Bestgame Toolbar - {899cac9d-533d-45c2-8a07-afb42425b544} -  No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-2916740155-357172033-3350673396-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-2916740155-357172033-3350673396-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-2916740155-357172033-3350673396-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-2916740155-357172033-3350673396-1000 -> Bestgame Toolbar - {899CAC9D-533D-45C2-8A07-AFB42425B544} -  No File
CHR HKLM\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - <no Path\update_url>
CHR HKLM\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - <no Path\update_url>
OPR Extension: (RelevantKnowledge) - C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\mkndcbhcgphcfkkddanakjiepeknbgle [2015-08-25]
2015-11-25 11:24 - 2015-11-26 09:46 - 00035936 _____ C:\Users\Admin\Downloads\OklIaSBGNSEboTAYCYSLY7VbsAGav7E3
2015-11-25 10:40 - 2015-11-25 10:40 - 03888054 _____ C:\Users\Admin\AppData\Roaming\CD8A913CCD8A913C.bmp
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README9.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README8.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README7.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README6.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README5.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README4.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README3.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README2.txt
2015-11-24 16:22 - 2015-11-24 16:22 - 00000851 _____ C:\README10.txt
2015-11-24 16:03 - 2015-11-25 16:11 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-11-24 16:03 - 2015-11-25 16:11 - 00000000 __SHD C:\ProgramData\Windows
2015-11-25 10:40 - 2015-11-25 10:40 - 3888054 _____ () C:\Users\Admin\AppData\Roaming\CD8A913CCD8A913C.bmp
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

**gennady163** · 07.12.2015, 08:32

Файл приложил

**thyrex** · 08.12.2015, 06:28

С расшифровкой не поможем

**gennady163** · 13.01.2016, 13:50

Здравствуйте! У меня получилось востановить файлы на диске С с помощью утилиты ShadowExplorer 0.9, но вместе с ними востановился и вирус, который вновь все зашифровал, сделал отмену востановления. Может это могло бы помочь в расшифровке??? только я не знаю как его достать.

**thyrex** · 14.01.2016, 20:58

Плодить темы на форумах не нужно.

Закрыто

Вирус шифровальщик "breaking_bad" пойман через mail почту (заявка № 193465)

Опции темы