Шифровальщик помогите [email protected]

[edikkk]

Добрый день. Собственно начал делать логи согласно правилу оформления, Запустил файл AutoLogger.exe он попросил перезагрузку и теперь не загружается система пишет . ntldr is nissing press ctrl-alt-del to restart
ОС - win serwer 2003
все файлы переименованы с окончанием [email protected]
в каждой паке текстовый документ с "Зашифрованы файлы? Пишите: [email protected] , и укажите ПИН: 30"
Снимок.JPG

[Info_bot]

Уважаемый(ая) edikkk, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Загрузиться с какого-либо LiveCD возможно?

[edikkk]

еще не пробовал, боюсь напортить

[edikkk]

Загрузиться с какого-либо LiveCD возможно?

еще не пробовал, боюсь навредить

[edikkk]

Загрузиться с какого-либо LiveCD возможно?

во становить загрузчик удалось, не могу прикрепить логи

[thyrex]

Кнопка Расширенный режим и значок скрепки

[edikkk]

прикладываю autologger

[thyrex]

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelBHO('{50F4150A-48B2-417A-BE4C-C83F580FB904}');
 DeleteService('QMUdisk');
 SetServiceStart('QMUdisk', 4);
 DeleteService('kysykiti');
 DeleteService('rohopygy');
 DeleteService('xoperoze');
 DeleteService('zedepory');
 DeleteFile('C:\Documents and Settings\11\Application Data\00000000-1434701073-0000-0000-4061864D0C01\knsrB0.tmpfs','32');
 DeleteFile('C:\Documents and Settings\11\Application Data\00000000-1434701073-0000-0000-4061864D0C01\jnsoC7.tmp','32');
 DeleteFile('C:\Documents and Settings\11\Application Data\00000000-1434701073-0000-0000-4061864D0C01\hnszCA.tmp','32');
 DeleteFile('C:\Documents and Settings\11\Local Settings\Application Data\00000000-1434712065-0000-0000-4061864D0C01\snsd104.tmp','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMUdisk.sys','32');
 DeleteFile('C:\Program Files\YouTube Accelerator\YouTubeAccelerator.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','GoobzoYouTubeAccelerator');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QQPCTray.exe','32');
 DeleteFile('C:\Program Files\Application Assistance\ap.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','32');
 DeleteFile('C:\Program Files\gmsd_re_236\gmsd_re_236.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gmsd_re_236','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BaiduAnTray','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ap','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ QQPCTray','command');
 DeleteFile('C:\Program Files\Common Files\Tencent\QQPhoneManager\2.0.201.3198\npQQPhoneManagerExt.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Перезагрузку компьютера выполните вручную.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[edikkk]

повторно

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[edikkk]

Farbar Recovery Scan Tool

[thyrex]

ATTENTION: ====> FRSTversion is 304 days old and could be outdated

Переделывайте сбор логов обновленной версией утилиты.

Не вижу в логах примеров зашифрованных файлов

[edikkk]

33.JPG
скачивается эта версия

[thyrex]

Да, странно.

Не вижу в логах примеров зашифрованных файлов

Проигнорировали

[edikkk]

Да, странно.

Проигнорировали

как быть теперь с этим

[thyrex]

Мне еще раз десять нужно обратить внимание на эту фразу?

Не вижу в логах примеров зашифрованных файлов

[edikkk]

Мне еще раз десять нужно обратить внимание на эту фразу?

не в обиду но обьясните мне темному профану как так может быть 1с легла все файлы заканчиваюся на [email protected] и при этом в логах ни чего . я для себя хочу понять что произошло плюс ко всему бугалтерам проблема они не сделали бекап баз

[edikkk]

Мне еще раз десять нужно обратить внимание на эту фразу?

тогда я ни чего не понимаю по факту есть испорченые файлы, а по логам нет и антивиры не нашли ни чего

[thyrex]

Пострадали файлы только в папке с базой 1С? Для этого шифратора такое маловероятно. Тем более пострадал и загрузчик ОС.

Данный компьютер явно входит в состав локальной сети. Есть ли еще компьютеры, на которых пострадала информация?
Сохранились ли логи сервера? Как удалось восстановить загрузку сервера?