[email protected]_165 Помогите

[WiNTeRxViP]

Помогите расшифровать файлы с припиской

[email protected]_165

Логи предоставляю

Спасибо

[Info_bot]

Уважаемый(ая) WiNTeRxViP, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Сколько лет назад произошло шифрование?

[WiNTeRxViP]

В начале августа вроде как. Может в конце июля

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[WiNTeRxViP]

сделано

[thyrex]

Не вижу в логах ни одного примера шифрованных файлов. Прикрепите в архиве к следующему сообщению

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKU\S-1-5-21-2671817431-1677094704-167330969-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
HKLM\SYSTEM\CurrentControlSet\Services\45837C52F0902AAB <==== ATTENTION (Rootkit!)
R2 wust; C:\OSRSS\wust.exe [0 ] (Windows (R) Win 7 DDK provider) <==== ATTENTION (zero byte File/Folder)
S2 TuneUp.UtilitiesSvc; "C:\Program Files (x86)\TuneUp Utilities\TuneUpUtilitiesService64.exe" [X]
S3 TuneUpUtilitiesDrv; \??\C:\Program Files (x86)\TuneUp Utilities\TuneUpUtilitiesDriver64.sys [X]
ContextMenuHandlers4: [TuneUp Disk Space Explorer Shell Extension] -> {4838CD50-7E5D-4811-9B17-C47A85539F28} => C:\Program Files (x86)\TuneUp Utilities\DseShExt-x64.dll -> No File
ContextMenuHandlers4: [TuneUp Shredder Shell Extension] -> {4858E7D9-8E12-45a3-B6A3-1CD128C9D403} => C:\Program Files (x86)\TuneUp Utilities\SDShelEx-x64.dll -> No File
ContextMenuHandlers5: [Gadgets] -> {6B9228DA-9C15-419e-856C-19E768A13BDC} =>  -> No File
Task: {07B44DE9-9C6F-47EE-A738-167B065D29D9} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {0A280850-C5A1-41AD-8971-CF88AD4B17FF} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {0DE7A2DC-89DE-40F2-9CEF-D3692FBFB4C9} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {0F8E0B32-C23B-4B5E-A1C2-440694359074} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {16E55C3F-8BFD-43B1-947B-74CA55AE5D3C} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {174EB2B5-F889-4344-9E74-CCA81C8E82A9} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {33C9A292-08F0-4D44-83DF-AB84158B82D3} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {5FB0ABBF-EC83-4847-A846-39A39EE12FB4} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {623EF725-9577-4C9C-8D78-B0E02FAFF22D} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {6E6B6751-AA56-4F10-B2E0-DB52C5283D5E} - \Microsoft\Windows\Setup\gwx\rundetector -> No File <==== ATTENTION
Task: {A79D6F78-B133-4EA6-8F01-AA27D48C3E22} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {C6403952-D2C8-469A-9520-F54518741BCE} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {DA3ABF61-8527-4C32-81AA-7BC20CDB2378} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {DAA94CC2-737C-4103-A19F-B5B22C88F4D2} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {E69C48EF-A992-4FA2-92DE-46A9E538D3D7} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[WiNTeRxViP]

готово

[thyrex]

Не вижу в логах ни одного примера шифрованных файлов. Прикрепите в архиве к следующему сообщению

Это я для себя написал?

[WiNTeRxViP]

Это я для себя написал?

Понял. доберусь до нетбука - прикреплю

- - - - -Добавлено - - - - -

форум ошибку выбивал при загрузке вложений. залил на ргхост http://rgho.st/6lKrhgSmh

[thyrex]

Как я и предполагал, файлы были зашифрованы в далеком 2014 году. Думаю, что и с самими злодеями Вы не сможете связать

[WiNTeRxViP]

Как я и предполагал, файлы были зашифрованы в далеком 2014 году. Думаю, что и с самими злодеями Вы не сможете связать

И шифровальщик каким-то образом выжидал 3 года? А как такое возможно, учитывая, что 1,5 года назад система была перебита начисто?

[thyrex]

Этот шифратор никогда не сохранял первоначальную дату файлов. И никоим образом не мог выжидать три года. Как перебивалась система и почему уцелели эти файлы, если они были найдены на системном диске, только Вы сами и можете знать. В любом случае их не расшифровать.

[mike 1]

И шифровальщик каким-то образом выжидал 3 года? А как такое возможно, учитывая, что 1,5 года назад система была перебита начисто?

Пришлите зашифрованный doc файл в архиве.

[WiNTeRxViP]

Пришлите зашифрованный doc файл в архиве.

Дело в том, что зашифрованы только фотографии. И то не все. DOC файлы целые

[mike 1]

Совсем нет?

[WiNTeRxViP]

Совсем нет?

Совсем. Только фото в некоторых папках

[mike 1]

Тогда ищите самого шифровальщика.