Шифровальщик xtbl [Trojan-Dropper.Win32.Injector.ommd ]

**IvanShm** · 12.03.2016, 13:31

Доброе время суток.
наш сотрудник заразил комп и вирус начал шифрование файликов.
Возможно ли расшифровать. Есть сам вирус, есть шифрованный файл + оригинальный.
Отчеты прилагаю.
В архиве зашифрованный/оригинальный файлы.
Спасибо

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 12.03.2016, 13:32

Уважаемый(ая) IvanShm, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**mike 1** · 13.03.2016, 16:24

Правила читаем.

**IvanShm** · 15.03.2016, 16:26

Сделал логи.

**mike 1** · 17.03.2016, 18:57

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**IvanShm** · 21.03.2016, 10:22

Выполнено

**mike 1** · 21.03.2016, 17:28

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

Временно выгрузите антивирус, файрволл и прочее защитное ПО.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
HKLM\...\RunOnce: [{BC39E268-C9C9-4163-9D94-96C7D934C654}] => cmd.exe /C start /D "C:\Users\admingos\AppData\Local\Temp" /B {BC39E268-C9C9-4163-9D94-96C7D934C654}.cmd
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [clpdgmdkdnijjbgmnajolnbnjejoeogm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - C:\Program Files\Skype\Toolbars\ChromeExtension\skype_chrome_extension.crx <not found>
CHR HKLM\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
Task: {877EADFF-E372-4124-8390-199F4EF4EC8D} - \Express FilesUpdate -> No File <==== ATTENTION

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.
Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

**IvanShm** · 28.03.2016, 10:38

Проверил.

**mike 1** · 28.03.2016, 12:49

Пришлите первые 10 зашифрованных файлов (см. по времени шифрования).

**IvanShm** · 28.03.2016, 17:43

В архиве 10 первых файлов по сортировке ФАРа

**thyrex** · 29.03.2016, 00:47

Проверьте ЛС

**CyberHelper** · 29.03.2016, 00:57

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения обнаружены вредоносные программы:
1. \!!!!!!!!!!!копия паспорта артем витальевич панько.exe!!!!!!!!!!!!!!!!!! - Trojan-Dropper.Win32.Injector.ommd

Шифровальщик xtbl [Trojan-Dropper.Win32.Injector.ommd ] (заявка № 198156)

Опции темы