Здравствуйте.
Зашифровались файлы, не запускаются программы, при попытке входа под всеми пользователями, кроме дефолтного "Администратор", появляется сообщение о том, что все файлы защифрованы.
Операционная система Windows Server 2012 R2.
Логи, согласно инструкции прикрепляю.
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) shihovmv, спасибо за обращение на наш форум!
Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.
Здравствуйте!
Расшифровки скорее всего нет. Чтобы ответить точно, упакуйте в архив 2-3 зашифрованных документа вместе с запиской Restore-My-Files.txt
Процитируйте содержимое файла
C:\Users\ShihovMV\AppData\Roaming\Microsoft\Window s\Start Menu\Programs\Startup\wvtymcow.bat
Содержимое файла:Сообщение от Sandor
REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
Тот батник удалите.
Да, это Loki Locker, расшифровки нет, увы.
Дополнительно, пожалуйста:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.
Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Отправляю файлы
Не нужно полностью цитировать предыдущее сообщение. Пишите в нижнем поле быстрого ответа.
- Отключите до перезагрузки антивирус.
- Выделите следующий код:
Код:Start:: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ HKLM\...\Policies\system: [legalnoticecaption] Encrypted by BlackBit HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer HKU\S-1-5-21-2631274279-1351655820-3643007491-1001\...\MountPoints2: {de5547ff-cde5-11eb-80b3-806e6f6e6963} - "E:\SETUP.EXE" Startup: C:\Users\ShihovMV\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2022-10-24] () [Файл не подписан] 2022-10-24 02:22 - 2022-10-24 02:22 - 000000277 _____ C:\ProgramData\Restore-My-Files.txt 2022-10-24 02:22 - 2022-10-24 02:22 - 000000277 _____ C:\Program Files\Restore-My-Files.txt 2022-10-24 02:22 - 2022-10-24 02:22 - 000000277 _____ C:\Program Files (x86)\Restore-My-Files.txt 2022-10-24 02:21 - 2022-10-24 02:21 - 000000277 _____ C:\Users\ShihovMV\Restore-My-Files.txt 2022-10-24 02:21 - 2022-10-24 02:21 - 000000277 _____ C:\Users\Public\Restore-My-Files.txt 2022-10-24 02:21 - 2022-10-24 02:21 - 000000277 _____ C:\Users\Public\Downloads\Restore-My-Files.txt 2022-10-24 02:21 - 2022-10-24 02:21 - 000000277 _____ C:\Users\Public\Documents\Restore-My-Files.txt 2022-10-24 02:21 - 2022-10-24 02:21 - 000000277 _____ C:\Users\Public\Desktop\Restore-My-Files.txt 2022-10-24 02:21 - 2022-10-24 02:21 - 000000277 _____ C:\Users\Makc_go\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\Makc_go\Downloads\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\Makc_go\Documents\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\Makc_go\Desktop\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\AvanesovSA\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\AvanesovSA\Downloads\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\AvanesovSA\Documents\Restore-My-Files.txt 2022-10-24 02:20 - 2022-10-24 02:20 - 000000277 _____ C:\Users\AvanesovSA\Desktop\Restore-My-Files.txt 2022-10-24 02:17 - 2022-10-24 02:17 - 000000277 _____ C:\Users\ShihovMV\Downloads\Restore-My-Files.txt 2022-10-24 02:17 - 2022-10-24 02:17 - 000000277 _____ C:\Users\ShihovMV\Documents\Restore-My-Files.txt 2022-10-24 02:17 - 2022-10-24 02:17 - 000000277 _____ C:\Users\ShihovMV\Desktop\Restore-My-Files.txt 2022-10-24 02:17 - 2022-10-24 02:17 - 000000277 _____ C:\Restore-My-Files.txt Folder: C:\Users\AvanesovSA\Desktop\svchost FirewallRules: [{156D9C57-2EF8-4278-819D-DFCFD898007C}] => (Allow) LPort=475 FirewallRules: [{488A250C-2797-4610-A5DC-425492A69B31}] => (Allow) LPort=475 End::- Скопируйте выделенный текст (правой кнопкой - Копировать).
- Запустите FRST (FRST64) от имени администратора.
- Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер перезагрузите вручную.
Ваши права в разделе
Ответить с цитированием
