Printable View
Здравствуйте. Подцепил какую то заразу и все файлы зашифровались с расширением WannaCash. Скачал ключи для нод, разархивировал и запустил а потом понял что что то не так. Попытался удалить файл, не получилось удалился только после перезагрузки. Подскажите что делать? Требования злоумышленников я не вижу. Рабочий стол стал черный. Просканировал компьютер Dr.Web Curelt и удалил какой то вирус.
Уважаемый(ая) [B]vanika[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте.
Выполните скрипт в AVZ из папки Autologger
[code]begin
DeleteService('bufosyri');
DeleteService('xoperoze');
DeleteFile('C:\Users\TIMUR\AppData\Roaming\04EB41A7-1433742765-112B-F926-D02788154479\nsh92AC.tmpfs','32');
DeleteFile('C:\Users\TIMUR\AppData\Roaming\04EB41A7-1433742765-112B-F926-D02788154479\jnsmCC67.tmp','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]
[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]
Также прикрепите в архиве к следующему сообщению образцы зашифрованных doc, docx, png, pdf, xls, xslx-файлов. Также сообщите на всякий случай дату шифрования и адрес сайта, в комментариях на котором скачали вирус.
Здравствуйте.
Не знаю как сделать скрипт, avz.exe запустил в AVZ из папки Autologger, но перезагрузки не было, и что прикрепить не понял. Скачал и запустил вчера 23.06.19 с сайта [url]https://trialeset.ru[/url].
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
не получается прикрепить файлы. попробую завтра после работы.
[quote="vanika;1501504"]Не знаю как сделать скрипт[/quote][url]https://virusinfo.info/showthread.php?t=7239[/url]
[quote="vanika;1501504"]не получается прикрепить файлы[/quote]Видимо не упаковали в архив, как я просил.
Здравствуйте.
Вот теперь вроде получилось: скопировал текст из вчерашнего сообщения, вставил и выполнил скрипт, комп перезагрузился. Запустил Autologger. Прикрепил файлы которые влезли.
А не могли бы Вы отвечать оперативнее? Процесс настолько затягивается... Расшифровка будет выдана после зачистки мусора.
Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.
Здравствуйте.
Дорогой thyrex Вы бы знали как мне хотелось бы ускорить процесс. Жена стоит за спиной и угрожает "убийством", за испорченные файлы. Я утром рано ухожу на работу, возвращаюсь поздно. Вчера Вам ответил, и ждал ответа и не дождавшись ушёл спать. Ну да ладно.
Теперь сделал как Вы велели и вот прикладываю архив.
[quote="vanika;1501559"]Жена стоит за спиной и угрожает "убийством", за испорченные файлы[/quote]Можете ее успокоить. Ключ расшифровки я уже подобрал. Сама расшифровка будет выдана по окончании чистки мусора.
1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [139]
AlternateDataStreams: C:\ProgramData\TEMP:472FBBAF [137]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [139]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:472FBBAF [137]
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]
+ Запустите FRST.
В поле [B]Search[/B] скопируйте и вставьте:
[QUOTE]2AEF02C3-5159-4C81-A688-8D954F0DEE56[/QUOTE]
Нажмите кнопку [B]Search Registry[/B]
На выходе будет файл [B]Search.txt[/B]
Прикрепите его к следующему сообщению.
Выполнил первых четыре пункта. Но я не ставил галочки как в первый раз на List BCD и 90 Days Files. После перезагрузки запустил снова Farbar Recovery Scan Tool + просто запустил файл FRST и провел дальнейшие операции как велено, но также не ставил галочки на List BCD и 90 Days Files. Правильно? И что значит по окончании чистки мусора?
1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch
HKU\S-1-5-21-3402173742-1974716740-3965246718-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://spacesearch.ru/?ri=1&rsid=8afa9a27b0c43778c5e20f7adfc54dcb&q={searchTerms}
Handler: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\PROGRA~2\mcafee\SITEAD~1\mcieplg.dll No File
DefaultPrefix-x32: => http://spacesearch.ru/?ri=1&rsid=8afa9a27b0c43778c5e20f7adfc54dcb&q= <==== ATTENTION
CHR HKLM-x32\...\Chrome\Extension: [mibfbmhijjgpkmobcfdlelpccpeafoom] - <no Path/update_url>
S2 zedepory; C:\Users\TIMUR\AppData\Roaming\04EB41A7-1433742765-112B-F926-D02788154479\hnscEF35.tmp [X]
2019-06-24 19:19 - 2015-06-08 10:53 - 000001032 __RSH C:\Users\Все пользователи\ntuser.pol
2019-06-24 19:19 - 2015-06-08 10:53 - 000001032 __RSH C:\ProgramData\ntuser.pol
2019-06-23 12:45 - 2013-09-15 12:35 - 000000000 ____D C:\Program Files\Zaxar
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]
Здравствуйте.
Вот что получилось.
С помощью редактора реестра удалите эту запись
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch[/QUOTE]
Проверьте личные сообщения.
Не могу открыть архив "архив поврежден или имеет неизвестный формат"
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Пардон. Скачал другой архиватор, он открыл. Об исходе отвечу позже.
Расшифровал все файлы. Огромное спасибо.