Закрыто Нужно восстановить документы после шифрования hopeandhonest@smime.ninja

[JayDee121]

Добрый вечер, система не переустановлена. Необходимо хотя бы хоть какие-то документы восстановить

 

[Sandor]

Здравствуйте!

Сначала чистим следы в системе.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  HKU\S-1-5-18\...\Run: [F3C1E2DC-1936E99Ehta] => C:\Windows\TEMP\how_to_decrypt.hta [1794 2022-06-21] () [Файл не подписан] <==== ВНИМАНИЕ
  Startup: C:\Users\a.kartashov\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\a.timofeeva\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\csadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\d.ostasheva\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\e.chistyakova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\e.davydova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\e.pervyakova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\i.abramenko\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\k.trubitsyna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\m.ispravnikova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\Print\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\testuser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\user1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\v.imikina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\vm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-06-21] () [Файл не подписан]
  2022-06-21 22:39 - 2022-06-21 22:39 - 000001794 _____ () C:\Program Files\how_to_decrypt.hta
  2022-06-21 22:40 - 2022-06-21 22:40 - 000001794 _____ () C:\Program Files (x86)\how_to_decrypt.hta
  2022-06-21 22:36 - 2022-06-21 22:36 - 000001794 _____ () C:\Program Files\Common Files\how_to_decrypt.hta
  2022-06-21 22:39 - 2022-06-21 22:39 - 000001794 _____ () C:\Program Files (x86)\Common Files\how_to_decrypt.hta
  2022-06-21 22:44 - 2022-06-21 22:44 - 000001794 _____ () C:\Users\csadmin\AppData\Roaming\how_to_decrypt.hta
  2022-06-21 22:44 - 2022-06-21 22:44 - 000001794 _____ () C:\Users\csadmin\AppData\Roaming\Microsoft\how_to_decrypt.hta
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

[Sandor]

Дубль на форуме ЛК, закрыто.