Здравейте, днес установих че имам криптирани файлове. Засегнати са текстови и видео файлове, снимки.

Ако може заразата да се изчисти и поразените файлове да се възстановят. Поразени файлове има във всички дялове, поразени са частично - тоест не са засегнати всички файлове.

Прикачени са двата файла след сканиране с FRST .

FRST.txt

Addition.txt

Здравейте,

Зловредния софтуер може да се почисти, но на този етап файловете не могат да се възстановят без заплащане на злосторниците, защото декриптор не е наличен.

А дали ще се появи такъв някога, можете да видите в тази тема и да се надявате:

http://www.bleepingcomputer.com/forums/t/606583/cerber-ransomware-support-and-help-topic-decrypt-my-files-htmltxtvbs/page-47

За тази вечер обаче приключих със скриптовете, защото съм уморен, а така лесно може да се допусне грешка и да се изтрие нещо, което не трябва. Желателно е да изключите системата докато е заразена, за да не работи вируса във фонов режим и да криптира още файлове. По датата обаче на инсталирането на антивирусната ви програма съдя, че сте я инсталирали след заразяването (т.е. след дъжд-качулка)...При този вид вируси превантивните мерки са за предпочитане, защото след това сте изправени пред Game Over ситуация.

Поздрави и лека вечер!

Благодаря за бързата реакция и линка!

Системата нямаше инсталирана антивирусна. Първо сканирах с Malwarebytes, след това добавих и антивирусната. 

 

Да, и аз това съм написал, че сте инсталирали антивирусната след заразяването...затова положението е такова. После ще напише скрипт за изчистването на заразата, но за декриптиране и възстановяване на засегнатите файлове и дума не може да стане в момента.

Разбрах че не може да се декриптират към момента, ще следя в линка който дадохте в по-горния пост. Ако може поне да се изчисти вируса, за да прегледам какво е засегнато и какво не. За мен са важни снимките които имам на тази машина, имам бекъпи, но не знам какво точно е поразено. Когато установих че има проблем набързо прегледах някои папки и установих, че произволно има криптирани файлове тук там, но не забелязах напълно засегнати папки.

Извинявам се, пропуснал съм да пиша, но съм сам в раздела в момента. Скоро ще пиша и по вашия случай.

Здравейте отново. Има някои безобидни остатъци, които ще премахнем. Не съм включил криптираните файлове за изтриване без вие да кажете дали искате това.

Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

Поздрави!

Здравейте,

пуснах скрипта. Доколкото видях в лога, изтрити са допълнително създадените от вируса файлове. Тоест от самия вирус не е имало остатъци?

Fixlog.txt

Имаше остатъци от вируса:

Папката => C:\ProgramData\15c0ee62

Но тя е била празна и може би антивирусната си е свършила работата и е премахнала активните компоненти на заразата оставяйки безобидни остатъци.

Имаше и някои съмнителни файлове в папата с временно съдържание %temp%, но като цяло нищо фатално.

То често и самите вируси се самоизтриват след като приключат своята задача.

Иначе да, включих файловете създадени от вируса за почистване без да включвам самите криптирани файлове. За тях вие трябва да си решите какво ще ги правите.

Нека да направим и финалните проверки:

 

СТЪПКА1

 

Моля изтеглете Malwarebytes Anti-Malware 2.2.1.1043 Final и я запазете на вашия десктоп.

• Стартирайте файла mbam-setup-2.2.1.1043.exe и следвайте указанията за да инсталирате програмата.
• След като инсталацията приключи се уверете че сте сложили отметка пред:
• Launch Malwarebytes Anti-Malware
• Отметката активираща пробния 14 дневен период също е маркиран по-подразбиране. Ако не желаете да тествате защитата в реално време на програмата през следващите 14 дни тогава премахнете отметката. Т.е. премахнете първата отметка:

• Натиснете бутона Finish.
• Отидете до табът Settings > Detection and Protection > и под категорията Detection Options включете опцията "Scan for rootkits".
• Отидете до табът Scan, сложете радио-бутона пред Threat Scan и след това натиснете бутона Scan Now >> . Ако е намерена актуализация тогава натиснете бутона Update Now.
• Ще започне проверка за зловреден софтуер.
• При някои инфекции можете да видите съобщението:
• "Could not load DDA driver"
• Натиснете "Yes" на това съобщение за да позволите драйвера да се зареди след рестарт.
• Разрешете на компютъра да се рестартира и след това продължете с останалите инструкции.
• След като проверката приключи натиснете бутона Apply Actions.
• Изчакайте да се появи прозореца подканващ ви да рестартирате и след това натиснете бутона Yes.
• След рестарта, когато се появи десктопа MBAM ще се зареди още веднъж.
• Отидете то табът History > Application Logs.

• Отворете рапорта с последната дата и час и натиснете бутона "Copy to Clipboard"
• Сега вече поставете съдържанието на лог файла с клавишната комбинация Ctrl + V и го публикувайте в следващия си коментар.

 

СТЪПКА 2

 

1.Изтеглете Hitman Pro.

За 32-битова система - .
За 64-битова система -

2.Стартирайте програмата.
3.След като сте стартирали програмата като кликнете върху иконата и натиснете бутона „Напред“ като се съгласите с лицензионното споразумение (EULA).

4.Сложете отметка пред "Не, искам да завърша еднократно сканиране на компютъра".

5.Натиснете бутона „Напред“.

6.Програмата ще започне да сканира. Времето за сканиране е около 2 минути.

7.След завършване на сканирането от списъка с намерените неща (ако има такива) изберете Apply to all => Ignore.

8.Натиснете "Next" и след това натиснете "Изнеси резултата в XML file" и запазете лог файла на десктопа.

9.Архивирайте файла и го прикачете в следващия си коментар или копирайте съдържанието му в следващия си коментар.
 
Забележка: Ако няма падащо меню, където да изберете ignore както на снимката:
 

 
Тогава просто затворете програмата след края на проверката (без да премахвате нищо)...след това отворете C:\Programdata\HitmanPro\Logs, отворете и публикувайте съдържанието на лог файла в следващия си коментар. Пак повтарям, не трийте нищо с програмата, защото е доста мощна и може да бъде опасна!

Забележка: Папката C:\ProgramData е скрита и затова трябва да направите скритите файлове видими по-следния начин:

От My Computer => Tools => Folder Options => View:

Сложете отметка пред "Show hidden files, folders and drives"

и махнете отметката пред "Hide protected operating system files (recommended)".

Натиснете Apply.

Сега проверете за лог файла в папката C:\Programdata\HitmanPro\Logs и го прикачете в следващия си коментар.

 

СТЪПКА 3

 

• Моля изтеглете EmsisoftEmergencyKit, стартирайте exe файла и посочете къде да се разархивира програмата - например в (C:\EEK), натискайки бутона Extract.
• Стартирайте иконата на файла Start Emsisoft Emergency Kit от десктопа за да стартирате приложението.
• Натиснете бутона"Yes", когато бъдете подканени да обновите дефинициите на програмата.
• След като процеса по обновяването на дефинициите приключи натиснете бутона "Scan".
• Натиснете бутона "Yes", когато бъдете попитани дали да програмата да включи засичането на потенциално нежелани приложения (Potentially Unwanted Applications).
• Сега вече изберете бутона Custom Scan. Премахнете от списъка всички дялове без C:\ (т.е. нека да остане само дял C:\ в списъка).
• Натиснете Next за да започне проверката.
• Когато проверката приключи натиснете бутона View Report.
• Копирайте съдържанието на лог файла в следващия си коментар.

 

СТЪПКА 4

 

 

Изтеглете Security Check от screen317 от този линк и го запаметете на вашия десктоп.

Кликнете два пъти върху SecurityCheck.exe и следвайте инструкциите.

Накрая, автоматично ще се отвори текстов документ, наречен checkup.txt, моля поставете съдържанието му в следващия ви коментар в тази тема.

 

Поздрави!

Ето и четирите лога от горните програми.

scan_log.txt

HitmanPro_20160704_1945.log

scan_160704-195715.txt

checkup.txt

 

П.п. Не дочетох упътването за HitmanPro и му дадох да изтрие засечените файлове, но явно не е проблем.

След намерените и премахнати файлове от програмите, рамта се кротна, иначе отиваше 90-100% без да има пуснато каквото и да било.

Редактирано 4 юли 201610 г. от Благой Иванов (преглед на промените)

Здравейте,

Не сте предприели действия с Malwarebytes Anti-Malware. Повторете проверката и премахнете намерените обекти.

След това да изпълним последния скрипт за да премахнем намерените неща от Emsisoft (може и вече да са изтрити, защото част от засечените обекти се припокриват с останалите програми, но за всеки случай):

Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

Ами това беше. Мисля, че сме готови с почистването. Вече за декриптирането ако искате чакайте да видите дали ще се появи инструмент ако ли не просто изтрийте криптираните файлове.

Поздрави!