santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 20:43:50

к сожалению, теневых копий на D и E нет.

[ Как создать образ автозапуска? ]

Перейти

зашифровано с расширением id-*[email protected], возможно, Filecoder.DG

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 20:09:22

файл из карантина надо восстановить в любой другой каталог, переименовать с другим расширением, например: EA.vtmp, заархивировать с паролем infected и выслать в почту [email protected]

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 19:31:50

1. по образу: система чистая

2. по теневой копии: отправьте в почту личные сообщения id и пароль от Тимвьювера

[ Как создать образ автозапуска? ]

Перейти

зашифровано с расширением id-*[email protected], возможно, Filecoder.DG

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 19:25:56

а проверьте карантин Есета, что там есть из свежих объектов?
возможно выключение компа прервало процесс шифрования.
образ на первый взгляд чист.

аналогичная тема
http://virusinfo.info/showthread.php?t=179896

Изменено: santy - 28.05.2016 03:11:25

[ Как создать образ автозапуска? ]

Перейти

Как убрать иконку ESET о блокировании какого-то сайта в правом нижнем углу экрана?, Постоянно, при подключении Internet Explorer 11 всплывает иконка ESET о блокировании какого-то сайта, к которому я не обращаюсь

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 19:03:48

читаем внимательно инструкцию по созданию образа автозапуска.
нужен файл:
ваш компьютер_дата_время.7z

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 18:59:51

+
проверьте наличие теневой копии на диске, поскольку шифратора в вирлабах для xtbl нет

[ Как создать образ автозапуска? ]

Перейти

зашифровано с расширением id-*[email protected], возможно, Filecoder.DG

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2015 18:58:13

1. добавьте образ автозапуска системы, где произошло заражение.
http://forum.esetnod32.ru/forum9/topic2687/

2. если известен источник заражения: письмо с вредоносным вложением, или вредоносная ссылка, вышлите в почту [email protected]

[ Как создать образ автозапуска? ]

Перейти

помогите пожалуста удалить китайскую программу kingsoft

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2015 18:08:24

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.7 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE sreg delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\KXESCORE.EXE delref %Sys32%\DRIVERS\KAVBOOTC64.SYS delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\SECURITY\KXESCAN\KDHACKER64.SYS delref %Sys32%\DRIVERS\KISKNL.SYS delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\SECURITY\KSNETM\KISNETM64.SYS delref %Sys32%\DRIVERS\KNBDRV.SYS delref %Sys32%\DRIVERS\KSAPI64.SYS delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUAN\3.0.0.3971\BAIDUANTRAY.EXE delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\KXETRAY.EXE delall %SystemDrive%\USERS\23\APPDATA\LOCAL\MICROSOFT\WINDOWS\TOOLBAR.EXE delall %SystemDrive%\PROGRAM FILES\BAIDUEX\UNINIT.EXE areg

Код

;uVS v3.85.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
sreg

delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\KXESCORE.EXE
delref %Sys32%\DRIVERS\KAVBOOTC64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\SECURITY\KXESCAN\KDHACKER64.SYS
delref %Sys32%\DRIVERS\KISKNL.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\SECURITY\KSNETM\KISNETM64.SYS
delref %Sys32%\DRIVERS\KNBDRV.SYS
delref %Sys32%\DRIVERS\KSAPI64.SYS
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUAN\3.0.0.3971\BAIDUANTRAY.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\KXETRAY.EXE
delall %SystemDrive%\USERS\23\APPDATA\LOCAL\MICROSOFT\WINDOWS\TOOLBAR.EXE
delall %SystemDrive%\PROGRAM FILES\BAIDUEX\UNINIT.EXE
areg

перезагрузка, пишем о старых и новых проблемах.
------------
+
добавьте новый образ автозапуска

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2015 18:03:03

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl с расширением *.cbf, Filecoder.CQ,Filecoder.EQ/Encoder.567/Cryakl/ ver 4.0.0.0-8.0.0.0

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2015 17:11:14

погуглите на тему расшифровка файлов, зашифрованных в cbf.
скорее всего, расшифровки на сегодня нет по новым версиям этого шифратора.
новя уже версия шифратора. шифрует не только документ, но и заголовок файла.

Код
aiouagnsyekpwbhntyfk.qxd.id-{AFKPVAFJOSXCHLQVAFJOTYCHLQUZEJNSXCHL-17.03.2015 20@35@306711532}[email protected]

это инсталлятор
https://www.virustotal.com/ru/file/233d65eb6d826aac1670d1adec0a8470de7df2301b7c0617a2f5d37d4bd4ff28/...

это исполняемый файл шифратора
https://www.virustotal.com/ru/file/de85da2556cd1daac709642cf55762b284937f652b3154ece2a07d8ce98e4815/...
здесь как раз наиболее точен Дрвеб, определив его как
DrWeb Trojan.Encoder.567 20150317

Изменено: santy - 20.11.2017 10:08:57

[ Как создать образ автозапуска? ]

Перейти