Printable View
Здравствуйте.
Запустился из почты, дама открыла по незнанию архив 7073115akt.gz
Windows 7 64bit
Беда в том, что был примонтирован сетевой диск, с расшаренной папкой, с сервака на Debian, и там тоже накрылось всё.
Файлы не прикрепляются почему то к письму, но название примерно такое:
M7O4gcD4FZLQUTbSxorWYg==.083695F64C557A0F779A.better_call_saul
wH0WY2wzVromg7guba2pGvQsw2bQvpn7QO78XtARVEQ=.083695F64C557A0F779A.better_call_saul
Возможно ли нам помочь?
Уважаемый(ая) [B]JuliaLy139[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url]http://virusinfo.info/pravila.html[/url]
Итак, по [B]1 пункту[/B]:
AVZ - virusinfo_syscure.zip - [url]http://files.antrax-energo.ru/index.php/s/Evqygfrxtp8zJpA[/url]
AVZ - virusinfo_syscheck.zip - [url]http://files.antrax-energo.ru/index.php/s/g017d7Xl9HHX4L8[/url]
HJT - hijackthis.log - [url]http://files.antrax-energo.ru/index.php/s/7W1AvkL0WaFWUgS[/url]
[B]2 пункт[/B] зашифрованные файлы:
[url]http://files.antrax-energo.ru/index.php/s/ZXTnhsRT0sEogaB[/url]
[url]http://files.antrax-energo.ru/index.php/s/zQV8viBRjnaR7ZG[/url]
[url]http://files.antrax-energo.ru/index.php/s/hXtG60xbDKiKGzQ[/url]
[B]3,4,5 пункт:[/B]
стоял антивирус - Microsoft Essential ничего не нашел, когда ситуация случилась, был снесен, поставили DrWeb Katana - было найдено порядка 50 вредоносных файлов, что то полечили, что то удалили, затем еще прошлись утилитой касперского - еще 3 шт нашлось. утилитой Curelt уже ничего найдено не было.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
виндовый пк не так жаль, в случае с линуксовым серваком - катастрофа, использовался как надежный, информации там очень много важной.
Бэкапы сервака оказались кривыми, откатиться некуда.
Логи прикрепляют на форуме через кнопку Расширенный режим
Поправила
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Готово.
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.sweet-page.com/?type=hp&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.sweet-page.com/?type=hp&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58&q={searchTerms}
HKU\S-1-5-21-986590313-1160240224-2433907677-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.sweet-page.com/?type=hp&ts=1397640408&from=cor&uid=ST500DM002-1BD142_W2AYKY58XXXXW2AYKY58
HKU\S-1-5-21-986590313-1160240224-2433907677-1000\Software\Microsoft\Internet Explorer\Main,First Home Page = hxxp://go.microsoft.com/fwlink/?LinkID=226786&Mkt=ru-RU&Src=MSE&Tid=0003446E&OHP=http%3A%2F%2Fwww.sweet%2Dpage.com%2F%3Ftype%3Dhp%26ts%3D1397640408%26from%3Dcor%26uid%3DST500DM002%2D1BD142%5FW2AYKY58XXXXW2AYKY58&OSP=http%3A%2F%2Fwww.sweet%2Dpage.com%2Fweb%2F%3Ftype%3Dds%26ts%3D1397640408%26from%3Dcor%26uid%3DST500DM002%2D1BD142%5FW2AYKY58XXXXW2AYKY58%26q%3D%7BsearchTerms%7D
2016-04-15 05:53 - 2016-04-15 05:53 - 06220854 _____ C:\Users\tatyana-lar\AppData\Roaming\39AD409939AD4099.bmp
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README9.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README8.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README7.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README6.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README5.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README4.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README3.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README2.txt
2016-04-15 05:53 - 2016-04-15 05:53 - 00002722 _____ C:\Users\tatyana-lar\Desktop\README10.txt
2016-04-14 17:14 - 2016-04-15 11:02 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-14 17:14 - 2016-04-15 11:02 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
Готово.
C расшифровкой помогут только сами злодеи
денег ему заплатили, дешифратор прислал, комп ожил.
но зараза, папку ту самую, расшаренную, не спасли, за неё еще денег просит...
сможете помочь, с уже готовым примером дешифратора?
[quote="JuliaLy139;1376734"]папку ту самую, расшаренную, не спасли[/quote]Возможно ее зашифровали с другим ключом. Подобрать его точно не получится.
А что происходит при попытке расшифровать файлы в расшаренной папке?
скопировала несколько файлов из этой папки на комп., они расшифровались, т.е. ключ один...
дешифратор при запуске смотрит только два диска С и D.
там тьма файлов, пробовала самое важное вручную на комп перетаскивать, расшифровывать и обратно класть, он не все файлы копирует, т.к. у некоторых слишком длинное имя файла..
если дешифратор класть на сам сервак и запускать оттуда, то он не находит ключ, хотя тот лежит в тот же папке что и запускаемый файл
Значит таки придется вручную работать. Другого выхода нет