Шифровальщик da_vinci_code.

[Леонид Черков]

4 дня назад моей сестре на почту пришло письмо с ссылкой на файл. Она его скачала и открыла, ничего не произошло. Когда я заметил что комп начал тупить, сделал сканирование DR.WEB CureIt!, Malwarebytes Anti-Malware, Hitman-Pro. Вирус удалил.
Спустя 4 дня я зашел на диск D (на котором не установлена система) чтобы открыть музыку, и увидел всю музыку вместо формата mp3, файлы da_vinci_code. Зашел в папки с фотографиями, ситуация такая же. Потом увидел на диске C: и D: много текстовых файлов (они все одинаковы). Пробывал восстановить с помощью shadowexplorer теневые копии, но зашифрованные файлы лежат на диске D:, а теневые копии только на диске C:.

Вложения:

You must be logged in to view attached files.

[mike_1]

Вообще теневых копий у вас нет т.к. их вам удалил шифровальщик. Еще один повод не сидеть под админом и задуматься над резервным копированием. Кстати, не вижу по логам вообще никакого установленного антивируса.

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

Временно выгрузите антивирус, файрволл и прочее защитное ПО.
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
URLSearchHook: HKU\S-1-5-21-2495745390-2136722340-2573237794-500 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - No File
Handler: ms-help - {314111c7-a502-11d2-bbca-00c04f8ec294} -  No File
DefaultPrefix-x32: => http://spacesearch.ru/?ri=1&rsid=000bb0ed42033d065a21a099132e437d&q= <==== ATTENTION
2016-10-26 17:15 - 2016-10-26 17:15 - 00005162 _____ C:\Users\Администратор\Downloads\2610_akt.zip
zip:C:\FRST\Quarantine

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.
На рабочем столе будет создан архив upload.zip, загрузите этот архив через Данную форму.

[Леонид Черков]

Загрузил zip файл, ссылку на тему не менял.
Предоставляю TXT файл.

• Этот ответ был изменен 8 years назад от Леонид Черков. Причина: Прикрепил файл

Вложения:

You must be logged in to view attached files.

[mike_1]

4 дня назад моей сестре на почту пришло письмо с ссылкой на файл. Она его скачала и открыла, ничего не произошло.

И скачала ваша сестра архив с JS скриптом. Сам архив по себе не опасен, но если запустить вложенный в него файл, вот тогда и загрузится сам шифровальщик, который начнет шифровать ваши файлы связкой AES+RSA.

[ Changes to filesystem ]
   * Creates file C:\Documents and Settings\Администратор\Cookies\3MM1ORME.txt
   * Modifies file C:\Documents and Settings\Администратор\Cookies\index.dat
   * Creates file C:\Documents and Settings\Администратор\Local Settings\temp\radB6938.tmp
   * Modifies file (hidden) C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\index.dat
   * Creates file C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\OS4QEJ1B\2410[1].exe

[ Network services ]
* C:\WINDOWS\system32\wscript.exe Connects to "104.18.51.222" on port 80 (TCP - HTTP).
* C:\WINDOWS\system32\wscript.exe Connects to "78.46.9.180" on port 80 (TCP - HTTP). 

• Этот ответ был изменен 8 years назад от mike_1.

[Леонид Черков]

Так она .js файл и открыла, ничего не произошло. А потом уже я заметил что файлы изменены.

[mike_1]

А ее не насторожило, что это не docx, xlsx или pdf?

[Леонид Черков]

В форматах она не шарит, она увидела иконку написанного листочка и открыла, потом она позвала меня и сказала что он не открывается, и я понял что это формат .js и мой комп в полной ж…

[mike_1]

Ну вот теперь у девушки нет ее файлов, т.к. расшифровки шифровальщика Shade попросту нет. Можете воспользоваться этой http://safezone.cc/resources/fixrun-fixsecurity-zaschita-ot-shifrovalschikov.196/ программой, которая по сути включает «Защиту от дурака».

[Леонид Черков]

А вируса (Шифровальщика) на моем компе больше нет?

[mike_1]

Вирус удален. Рекомендую сменить пароли.

[Автор]

Сообщения