Закрыто Прошу помощи в расшифровке 2

[serg73]

День добрый.
Еще одна машина с такой же бедой, только файлы зашифрованы с одной только папке, которая является сетевой шарой.
Логи и файлы во вложении.
Порекомендуйте, как поступать в ЭТОМ случае.

 

[Sandor]

Здравствуйте!

По расшифровке - пока ждем информацию.

Программу Mail.Ru Спутник 2.4.1.74 ставили самостоятельно? Если нет, деинсталлируйте.

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

[serg73]

Отчет AdwClener

 

[Sandor]

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.
• (Обратите внимание - C и S - это разные буквы).

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

2.
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[serg73]

1. Отчет AdwCleaner
2. Отчеты FRST.txt и Addition.txt

 

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Start::
  CreateRestorePoint:
  GroupPolicy: Restriction ? <==== ATTENTION
  BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
  FF Homepage: Mozilla\Firefox\Profiles\9k3336bh.default -> hxxp://www.mail.ru/cnt/10390
  FF Extension: (Спутник @Mail.Ru) - C:\Users\Admln\AppData\Roaming\Mozilla\Firefox\Profiles\9k3336bh.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2018-01-20] [Legacy] [not signed]
  FF Extension: (AlterGeo Addons) - C:\Users\Admln\AppData\Roaming\Mozilla\Firefox\Profiles\9k3336bh.default\Extensions\{B100D0FF-0001-8CE4-2790-AACE49B8AE35} [2018-01-20] [Legacy] [not signed]
  CHR HKLM-x32\...\Chrome\Extension: [nhgcieglcpdegkhamigiokdphfhhnlhh] - C:\Program Files (x86)\AlterGeo\Html5 geolocation provider\altergeo.crx <not found>
  FirewallRules: [{483D9714-A064-49F3-AA46-B0E8E3044E3B}] => (Allow) C:\Program Files (x86)\Mail.Ru\Sputnik\SputnikFlashPlayer.exe No File
  FirewallRules: [{C50ED9DA-E733-4983-8389-89D63F2F5A6D}] => (Allow) C:\Program Files (x86)\Mail.Ru\Sputnik\SputnikFlashPlayer.exe No File
  EmptyTemp:
  Reboot:
  End::
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

файлы зашифрованы с одной только папке, которая является сетевой шарой

Хорошо бы найти компьютер-источник заражения.

 

[akok]

Хорошо бы найти компьютер-источник заражения.

Его в любой момент могут использовать повторно для атаки.

 

[serg73]

Рекомендации выполнил, лог прикрепил

Хорошо бы найти компьютер-источник заражения.

Каким образом это можно сделать?

 

[akok]

Поискать зашифрованную машину в сети. Или антивирусная проверка, где найдется тело шифровальщика, там и источник. В логах сервера не отражается кто последний трогал зашифрованные файлы?

 

[akok]

Здравствуйте!

Ввиду отсутствия активности в течение последних 10 дней, предположу, что помощь больше не нужна. Поэтому тема закрывается.
Если Вам по-прежнему нужна помощь, отправьте личное сообщение одному из модераторов и укажите ссылку на эту тему.

Спасибо за использование нашего форума и удачи!