Зашифрованые файлы с разрширением 726

[anatoliy2004]

Всем привет!
Зашифровались файлы, в конце каждого файла добавилось разширение 726
Лог добавляю!

[Info_bot]

Уважаемый(ая) anatoliy2004, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Антивирус отключался перед сбором логов?

[anatoliy2004]

да отключался на пол часа, думаю проверка больше не заняла времени! !!!

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[anatoliy2004]

Прикрепил логи! Зарание благодарен за помощь!!!

[mike 1]

Вы через терминальную сессию логи делаете?

[anatoliy2004]

Непомню, как делал, даю новые, из консоли!!!

[mike 1]

Что запускали перед тем как файлы зашифровались? Обновления недавно через M.E.Doc ставились?

[anatoliy2004]

Нет, обновления медок не ставил ! Я лично ничего не запускал, но это сервак-файлопомойка, и возможно юзвери чтото и запускали в сети !

[mike 1]

Тогда возможно к вам удаленно зашли по RDP и что-то на сервере запустили.

[anatoliy2004]

Тоесть сервер чист??
Все нашел, где, когда и как был запущен даный декодер!!!
Oбъeкт Bиpуc Дeйcтвиe Информация Хэш Первое появление здесь
C:\Users\Public\dpqAkH3.exe Win32/Filecoder.FV троянская программа очищен удалением Событие произошло при попытке доступа к файлу следующим приложением: C:\Windows\explorer.exe (4583DAF9442880204730FB2C8A060430640494B1). 0976B97981640EAB4B8C66DC48ED4547D4CB26E6 04.08.2017 15:13:53

а запущен он был вот здесь!!!

Oбъeкт Bиpуc Дeйcтвиe Информация Хэш Первое появление здесь
от: jill howden кому: my_mail@ тема IMG_8135.JPG модифицированный JS/Danger.ScriptAttachment троянская программа содержит зараженные файлы
от: jill howden кому: my_mail@ тема IMG_8135.JPG = MIME = IMG_8135.zip модифицированный JS/Danger.ScriptAttachment троянская программа удален BCC2BB3DF90E8F772A57E2D1D962FED157ED46D6

Информация востановлена с бэкапов!
Вирус идентифицирован!
Но если у Вас есть программа для раскодирования поделитесь пожалуйста!!
Но может кому пригодится здесь написаное!!!
Всем спасибо за помощь!!!!

[mike 1]

В целом да, но пароли на учетных записях на всякий случай рекомендую сменить. Радует, что некоторые люди все таки делают резервные копии важных данных, а не ждут пока гром грянет.