Лог

[Halfarr]

Добрый день. Во вложении лог. Скажите, пожалуйста, есть ли возможность расшифровать? Готов оплатить (спрашивал предварительно на форуме - ответ не получил).

[Info_bot]

Уважаемый(ая) Halfarr, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[SQ]

Здравствуйте,

Похоже это шифровальщик из семейства CrySis/Dharma, расшифровки нет.


Если нужна вам зачистка мусора то:

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "SigCheckExt".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Halfarr]

Спасибо

- - - - -Добавлено - - - - -

Логи во вложении

[SQ]

Знаком ли Вам следующий файл?

C:\Users\halfar\Desktop\8jra3lzz.exe

• Закройте и сохраните все открытые приложения.
• Выделите следующий код::
  

  Start::
  HKLM\...\Run: [C:\Windows\System32\Info.hta] => C:\Windows\System32\Info.hta [7207 2020-05-20] () [File not signed]
  HKLM\...\Run: [C:\Users\tempuser\AppData\Roaming\Info.hta] => C:\Users\tempuser\AppData\Roaming\Info.hta [7207 2020-05-20] () [File not signed]
  HKU\S-1-5-21-2219025994-1852609775-3714435897-1115\...\Run: [C:\Users\halfar\AppData\Roaming\Info.hta] => C:\Users\halfar\AppData\Roaming\Info.hta [7207 2020-05-20] () [File not signed]
  Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2020-05-20] () [File not signed]
  Startup: C:\Users\halfar\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2020-05-20] () [File not signed]
  Startup: C:\Users\tempuser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2020-05-20] () [File not signed]
  File: C:\Users\halfar\Desktop\8jra3lzz.exe
  2020-05-20 10:07 - 2020-05-20 10:07 - 000007207 _____ C:\Users\halfar\AppData\Roaming\Info.hta
  2020-05-20 07:43 - 2020-05-20 07:43 - 000007207 _____ C:\Windows\system32\Info.hta
  2020-05-20 07:43 - 2020-05-20 07:43 - 000007207 _____ C:\Users\tempuser\AppData\Roaming\Info.hta
  2020-05-20 07:43 - 2020-05-20 07:43 - 000000204 _____ C:\Users\Все пользователи\Desktop\FILES ENCRYPTED.txt
  2020-05-20 07:43 - 2020-05-20 07:43 - 000000204 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
  2020-05-20 07:43 - 2020-05-20 07:43 - 000000204 _____ C:\ProgramData\Desktop\FILES ENCRYPTED.txt
  2020-05-20 07:43 - 2020-05-20 07:43 - 000000204 _____ C:\FILES ENCRYPTED.txt
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST/FRST64 (от имени администратора).
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). .
• Обратите внимание, что сервер возможно будет перезагружен.

[Halfarr]

Файл .exe - это cureit от др.веба. Всё сделал, спасибо. Лог прилагаю

[SQ]

Это все, что можем на данный момент. Копия данных (мусора) которые были зачищены находятся в каталоге C:\FRST\Quarantine - не удаляйте ее до тех пор пока не решите вопрос с расшифровкой.