Шифровальщик

[Scanalex]

Файлы зашифрованы, расширение ROGER

[Info_bot]

Уважаемый(ая) Scanalex, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Sandor]

Здравствуйте!

Вероятно это Dharma, расшифровки которой нет.
Для верности пару зашифрованных в архиве прикрепите к следующему сообщению.

Помощь в очистке системы от возможных следов нужна или планируете переустановку?

[Scanalex]

Умом понимаю, что проще переставить систему, тем более, что файлы все равно потеряны навсегда. И на двух зараженных машинах так и сделаю. А вот на той, чей лог предоставил, хотелось бы истребить гада. Буду премного благодарен за помощь с очисткой.

[Sandor]

истребить гада

Обычно после своего черного дела он само уничтожается.

Для верности сделайте дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[Scanalex]

Не дает загрузить файлы отчета. В менеджере вложений висят файлы аж с 2008 года, и как их удалить - непонятно

- - - - -Добавлено - - - - -

Вообще, довольно странно проявляет себя зловред. На двух машинах просто по-тихому зашифрованы файлы. На третьей после загрузки системы черный экран, ярлыки зашифрованы, сразу открываются несколько окон с предупреждением о шифровании и данными для связи с авторами.

[Sandor]

https://virusinfo.info/showthread.php?t=130567

- - - - -Добавлено - - - - -

На третьей после загрузки системы черный экран, ярлыки зашифрованы, сразу открываются несколько окон

Эта машина и была заражена. На остальных скорее всего в расшаренных папках, куда был доступ с зараженного ПК.

[Scanalex]

Логи

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-1377160593-526890680-2369731321-1000\...\MountPoints2: {bc2aa9e5-4bc1-11ea-a8d8-902b3477cfa8} - H:\JoinMe_for_Android.exe
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {EFEE4E34-F14B-46BD-AE4C-D76AC4272BC2} - \OInstall -> Нет файла <==== ВНИМАНИЕ
  CHR StartupUrls: Default -> "hxxps://www.google.com/","hxxp://www.mail.ru/cnt/9516","hxxp://www.google.com/","hxxp://mail.ru/cnt/10445?gp=811009","hxxp://mail.ru/cnt/10445?gp=811036"
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.


Следов вымогателя тут не видно.

[Scanalex]

Лог

[Sandor]

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Scanalex]

Лог

[Sandor]

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.18860 Внимание! Скачать обновления
^Используйте Средство устранения неполадок при проблемах установки^
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft .NET Framework 4.8 v.4.8.03761 Внимание! Скачать обновления
Foxit Reader v.6.0.10.1213 Внимание! Скачать обновления
^Локализованные версии могут обновляться позже англоязычных!^
Microsoft Office Access database engine 2007 (English) v.12.0.4518.1031 Данная программа больше не поддерживается разработчиком.
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.80 (64-разрядная) v.5.80.0 Внимание! Скачать обновления
------------------------------- [ Imaging ] -------------------------------
FastStone Image Viewer 7.4 v.7.4 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45704 Внимание! Клиент сети P2P с рекламным модулем!.
--------------------------------- [ SPY ] ---------------------------------
Radmin Server 3.5.2 v.3.52.1.0000 Внимание! Программа удаленного доступа!
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 251 (64-bit) v.8.0.2510.8 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u291-windows-x64.exe)^
---------------------------- [ UnwantedApps ] -----------------------------
Reg Organizer, версия 8.29 v.8.29 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.

[Scanalex]

Спасибо!