Зашифровались все файлы с расширением WannaCash

[vanika]

Здравствуйте. Подцепил какую то заразу и все файлы зашифровались с расширением WannaCash. Скачал ключи для нод, разархивировал и запустил а потом понял что что то не так. Попытался удалить файл, не получилось удалился только после перезагрузки. Подскажите что делать? Требования злоумышленников я не вижу. Рабочий стол стал черный. Просканировал компьютер Dr.Web Curelt и удалил какой то вирус.

[Info_bot]

Уважаемый(ая) vanika, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Здравствуйте.

Выполните скрипт в AVZ из папки Autologger

begin
 DeleteService('bufosyri');
 DeleteService('xoperoze');
 DeleteFile('C:\Users\TIMUR\AppData\Roaming\04EB41A7-1433742765-112B-F926-D02788154479\nsh92AC.tmpfs','32');
 DeleteFile('C:\Users\TIMUR\AppData\Roaming\04EB41A7-1433742765-112B-F926-D02788154479\jnsmCC67.tmp','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

Также прикрепите в архиве к следующему сообщению образцы зашифрованных doc, docx, png, pdf, xls, xslx-файлов. Также сообщите на всякий случай дату шифрования и адрес сайта, в комментариях на котором скачали вирус.

[vanika]

Здравствуйте.
Не знаю как сделать скрипт, avz.exe запустил в AVZ из папки Autologger, но перезагрузки не было, и что прикрепить не понял. Скачал и запустил вчера 23.06.19 с сайта https://trialeset.ru.

- - - - -Добавлено - - - - -

не получается прикрепить файлы. попробую завтра после работы.

[thyrex]

Не знаю как сделать скрипт

https://virusinfo.info/showthread.php?t=7239

не получается прикрепить файлы

Видимо не упаковали в архив, как я просил.

[vanika]

Здравствуйте.
Вот теперь вроде получилось: скопировал текст из вчерашнего сообщения, вставил и выполнил скрипт, комп перезагрузился. Запустил Autologger. Прикрепил файлы которые влезли.

[thyrex]

А не могли бы Вы отвечать оперативнее? Процесс настолько затягивается... Расшифровка будет выдана после зачистки мусора.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[vanika]

Здравствуйте.
Дорогой thyrex Вы бы знали как мне хотелось бы ускорить процесс. Жена стоит за спиной и угрожает "убийством", за испорченные файлы. Я утром рано ухожу на работу, возвращаюсь поздно. Вчера Вам ответил, и ждал ответа и не дождавшись ушёл спать. Ну да ладно.
Теперь сделал как Вы велели и вот прикладываю архив.

[thyrex]

Жена стоит за спиной и угрожает "убийством", за испорченные файлы

Можете ее успокоить. Ключ расшифровки я уже подобрал. Сама расшифровка будет выдана по окончании чистки мусора.

1. Выделите следующий код:

Start::
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [139]
AlternateDataStreams: C:\ProgramData\TEMP:472FBBAF [137]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [139]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:472FBBAF [137]
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

+ Запустите FRST.
В поле Search скопируйте и вставьте:

2AEF02C3-5159-4C81-A688-8D954F0DEE56

Нажмите кнопку Search Registry
На выходе будет файл Search.txt
Прикрепите его к следующему сообщению.

[vanika]

Выполнил первых четыре пункта. Но я не ставил галочки как в первый раз на List BCD и 90 Days Files. После перезагрузки запустил снова Farbar Recovery Scan Tool + просто запустил файл FRST и провел дальнейшие операции как велено, но также не ставил галочки на List BCD и 90 Days Files. Правильно? И что значит по окончании чистки мусора?

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch
HKU\S-1-5-21-3402173742-1974716740-3965246718-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://spacesearch.ru/?ri=1&rsid=8afa9a27b0c43778c5e20f7adfc54dcb&q={searchTerms}
Handler: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\PROGRA~2\mcafee\SITEAD~1\mcieplg.dll No File
DefaultPrefix-x32: => http://spacesearch.ru/?ri=1&rsid=8afa9a27b0c43778c5e20f7adfc54dcb&q= <==== ATTENTION
CHR HKLM-x32\...\Chrome\Extension: [mibfbmhijjgpkmobcfdlelpccpeafoom] - <no Path/update_url>
S2 zedepory; C:\Users\TIMUR\AppData\Roaming\04EB41A7-1433742765-112B-F926-D02788154479\hnscEF35.tmp [X]
2019-06-24 19:19 - 2015-06-08 10:53 - 000001032 __RSH C:\Users\Все пользователи\ntuser.pol
2019-06-24 19:19 - 2015-06-08 10:53 - 000001032 __RSH C:\ProgramData\ntuser.pol
2019-06-23 12:45 - 2013-09-15 12:35 - 000000000 ____D C:\Program Files\Zaxar
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[vanika]

Здравствуйте.
Вот что получилось.

[thyrex]

С помощью редактора реестра удалите эту запись

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch

Проверьте личные сообщения.

[vanika]

Не могу открыть архив "архив поврежден или имеет неизвестный формат"

- - - - -Добавлено - - - - -

Пардон. Скачал другой архиватор, он открыл. Об исходе отвечу позже.

[vanika]

Расшифровал все файлы. Огромное спасибо.