Зашифроовало [email protected] 1.2.0.0.id-GJMPSVYADFILNQTVYADGJLNRTWZBEGJMORUX-12.12.201510@[email protected]

Открываю я сегодня свой чудо ПК, а у меня большенство файлов пропало((((

вот куча таких файлов на диске: [email][email protected][/email]-CL [email]1.2.0.0.id-GJMPSVYADFILNQTVYADGJLNRTWZBEGJMORUX-12.12.201510@[email protected][/email]


Походу кто то словил шифровальщина, файлы созданы все в одно и тоже самое время 12 декабря 2015 г., 11:15:46

И теперь пропала функция поиска, думал по маске найти все файлы да удалить но не открывает поиск, никакой ошибки не выдает

При проверке на вирусы был обнаружен Trojan.Win32.Scar

Проверку на avz и касперского уже делал.


так же добавляю:
[FONT=Verdana]Зашифрованый файл[/FONT]
[URL]http://rghost.ru/78kvXHFjD[/URL]
[FONT=Verdana]Отчет AdwCleaner (by Xplode)[/FONT]
[URL="http://rghost.ru/private/6bNcNk9DN/7580b94361a1e37c3ab2e894be15c0a2"]http://rghost.ru/private/6bNcNk9DN/7580b94...ab2e894be15c0a2[/URL]


[FONT=Verdana]Addition.txt [/FONT]
[URL="http://rghost.ru/private/8WPH5DPHh/8c1ecbb8084a83e022b32ea0fac335d4"]http://rghost.ru/private/8WPH5DPHh/8c1ecbb...2b32ea0fac335d4[/URL]

[FONT=Verdana]FRST.txt[/FONT]
[URL="http://rghost.ru/private/6mdyMvqsP/be296da984a76e867c70910685d34145"]http://rghost.ru/private/6mdyMvqsP/be296da...c70910685d34145[/URL][FONT=Verdana] [/FONT]

Уважаемый(ая) [B]kot488[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

И с avz отчет

Логи нужны с компьютера, ставшего источником шифрования

[QUOTE=thyrex;1341876]Логи нужны с компьютера, ставшего источником шифрования[/QUOTE]

Так это они и есть

Так что вариантов нет?

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.

В первом сообщении были прикреплены эти отчеты

Лазить по обменникам я не буду

сделал

Будет время посмотрите пожалуйста возможно ли расшифровать файлы, спасибо за отзывчивость)

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
AlternateDataStreams: C:\Documents and Settings\alla:id
AlternateDataStreams: C:\Documents and Settings\byx:id
AlternateDataStreams: C:\Documents and Settings\direktor:id
AlternateDataStreams: C:\Documents and Settings\olya:id
AlternateDataStreams: C:\Documents and Settings\Администратор:id
2015-12-12 10:59 - 2015-12-12 11:26 - 0000081 _____ () C:\Program Files\TUNWPDWWCZ.XKT
2015-11-25 17:26 - 2015-11-25 17:26 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DF5CA.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DF53B.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00016384 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DF596.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF5D4.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF5A0.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF545.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000000 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF6891.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000000 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF630B.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFD7.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DFFEDB.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFE2.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFFF11.tmp
2015-12-14 11:20 - 2015-12-14 11:20 - 00016384 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFF275.tmp
2015-12-14 11:20 - 2015-12-14 11:20 - 00016384 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFEA65.tmp
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!

Перезагрузите сервер вручную

Сделал
Смотрю по логих то не нашло то что нужно? я все файлы которые зашифровало удалил, может их востановить?

С расшифровкой не поможем

Спасибо за помощь

Можно Вопрос? что должно было бть в тех файлах темпа? И почему только от одно учетки?

Нашел вот эти файлы через р-студия, согласно файлу Fixlog.txt,

C:\Program Files\TUNWPDWWCZ.XKT
C:\Documents and Settings\direktor\Local Settings\Temp\~DF5CA.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF53B.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF596.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF5D4.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF5A0.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF545.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF6891.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF630B.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFD7.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFE2.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFEDB.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFF11.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFF275.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFEA65.tmp

может попробовать вернуть назад и опять проделать это?
2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Это простой мусор

[QUOTE=thyrex;1342899]Это простой мусор[/QUOTE]

Извини за надоедание, а чего мы тогда его искали?

Наша приоритетная задача - зачистка следов вирусов, а расшифровка по мере возможности

Нашел у себя такой вирус heur backdoor.win32.generic, читаю в инете вроде как шифровальщик и создан был сегодня ночь, хотя никто на машине не работал, все стандартные порты закрыты, на рдп был придуман порт с головы, админские права забраны у всех кроме одной учетки. По авторизации только учетка службы акронис, не ужели в ней вирусня сидит(

KIS уже час крутиться никак вылечить не может

[IMG]http://savepic.su/6823882.jpg[/IMG]


А вот это уже в логах kis показало

[IMG]http://savepic.su/6857676.jpg[/IMG]

backdoor.win32.generic - открывает удаленный доступ к вашему компьютеру злоумышленнику.

[QUOTE]хотя никто на машине не работал, все стандартные порты закрыты, на рдп был придуман порт с головы, админские права забраны у всех кроме одной учетки[/QUOTE]
А Вы пароли от всех учеток меняли после этого случая?