Вирус зашифровал файлы.

[MihailKrasnodar]

Здравствуйте!
Несмотря на ежедневно обновляемый лицензионный Касперский, в компьютер проник вирус-шифровальщик, предположительно через электронную почту (фейковое письмо от Ростелекома). Полное сканирование антивирусом пока не делал - стоит ли, или потеряется шанс на расшифровку?
Посмотрите, пожалуйста, логи.
Есть ли у Вас возможность помочь с расшифровкой? Благодарю за любую помощь.

[Info_bot]

Уважаемый(ая) MihailKrasnodar, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[mike 1]

Несмотря на ежедневно обновляемый лицензионный Касперский, в компьютер проник вирус-шифровальщик, предположительно через электронную почту (фейковое письмо от Ростелекома).

Мониторинг системы в KES 10 был включен на момент заражения?

[MihailKrasnodar]

Мониторинг системы в KES 10 был включен на момент заражения?

Логи прикладываю.
Пользователь, который в это время просматривал почту, говорит, что защита была включена, но я сегодня увидел, что некоторые мониторы Касперского отключены.

[mike 1]

но я сегодня увидел, что некоторые мониторы Касперского отключены.

Какие именно?

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2017-03-10 17:00 - 2017-03-10 17:20 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-03-10 17:00 - 2017-03-10 17:20 - 00000000 __SHD C:\ProgramData\Csrss
2017-03-10 14:57 - 2017-03-10 14:57 - 03148854 _____ C:\Users\пользователь\AppData\Roaming\0684682D0684682D.bmp
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README9.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README8.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README7.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README6.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README5.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README4.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README3.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README2.txt
2017-03-10 14:57 - 2017-03-10 14:57 - 00004170 _____ C:\Users\пользователь\Desktop\README10.txt
2017-03-10 13:30 - 2017-03-10 19:02 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-03-10 13:30 - 2017-03-10 19:02 - 00000000 __SHD C:\ProgramData\Windows
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[MihailKrasnodar]

"Мониторинг уязвимостей" и "Контроль запуска программ" были отключены.
Лог прикладываю

[mike 1]

А мониторинг системы?

[MihailKrasnodar]

А мониторинг системы?

Остальные параметры были включены

[mike 1]

Пришлите содержимое папки C:\ProgramData\Kaspersky Lab\KES10\SysWHist

[MihailKrasnodar]

Прикладываю: https://yadi.sk/d/k139wzGA3FYfMr

[mike 1]

Если бы на момент заражения был включен модуль Мониторинг системы файлы остались бы целы, но он был отключен на момент заражения. Его включили только 11 марта в 21:39. Дата заражения шифровальщиком 10 марта в 13:30. Вот как-то так.

[MihailKrasnodar]

А сейчас шировальщик есть в системе?
Можно Вам подать заявку на расшифровку?

[thyrex]

С расшифровкой помочь не сможем никаким образом

[MihailKrasnodar]

С расшифровкой помочь не сможем никаким образом

Т.е. нет смысла откатываться до точки восстановления или пользоваться программами для расшифровки?

[mike 1]

А у вас точек восстановления нет по причине того, что восстановление системы было отключено, хотя даже если бы было включено восстановление системы у вас их все равно не было. Шифровальщик перед шифрованием удаляет их на всех дисках.

[MihailKrasnodar]

Спасибо за помощь!