ESET CONNECT

+
добавьте лог журнала обнаруженных угроз
http://forum.esetnod32.ru/forum9/topic1408/

добавьте образ автозапуска системы

[QUOTE]Денис Литвинов написал:
Здравствуйте! Поймал шифровальщика .crypted000007 Пожалуйста помогите, отправляю образ автозапуска....[/QUOTE]
эту программу сами устанавливали?
C:\USERS\САНЯ\DESKTOP\ПРИВАТ КИПЕР\PRIVATE KEEPER.EXE


судя по образу система уже очищена от файлов шифратора.
по расшифровке Ransom.Shade.crypted000007 решения нет
восстановить документы возможно только из архивных копий

система, скорее всего заражена rootkit.dark.galaxy
с заражением MBR
добавлю, что скрипт из сообщения RP55 необходимо выполнять при отключенной сети,
иначе, после перезагрузки системы, руткит обратно все восстановит в автозапуске и в секции WMI

т.е. предварительно надо скачать патч MS-2017-010 для вашей системы,
(и tdsskiller)
установить патч,
отключить сеть
выполнить скрипт в uVS
перегрузить систему (не включая сеть),
выполнить проверку в tdsskiller,
если будет найден руткит в MBR, выполнить его очистку,
еще раз перегрузить систему,
можно включить сеть
сделать новые образ автозапуска и лог проверки tdsskiller
и добавить эти файлы на форум для проверки

добавьте образ автозапуска системы

а это инсталлятор для 6 версии ESET File Security
https://download.eset.com/com/eset/apps/business/efs/windows/latest/efsw_nt64_rus.msi

[QUOTE]Маслов Виталий написал:
Почему-то один и тот же инсталлятор eavbe_nt64_rus.msi запрашивается, хотя продукты разные устанавливаются.[/QUOTE]
вообще-то инсталлятор для ESET File Security другой:
https://download.eset.com/com/eset/apps/business/efs/windows/latest/efsw_nt64.msi

проверьте на этой странице:
https://www.eset.com/int/business/file-security-windows/download/

пробуйте поставить серверную версию антивируса. ESET File Security. 6 или 7 версии

@Юрій Ярошенко,
добавьте образ автозапуска системы, где произошло шифрование.
возможно тела шифратора еще остались в системе

из восстановленных детектируется как инструмент взлома:
legion-ssh-cracker.exe
https://www.virustotal.com/gui/file/12959567368ca5b14f580a225d15eef0fccda331b9b1ef1­1697d481f2c5de92d/details
возможно, это их инструмент, поскольку есть какая то связь с именем почты
legion.developers72@gmail.com