santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

зашифровано в CTBlocker

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.01.2015 06:51:41

для ctb locker (Critroni) расшифровки нет, и скорее всего не будет, точно так же как и для bat.encoder

пробуем восстановить данные "нетрадиционными" методами:
- восстановлением из сохраненных копий документов (если настроено резервное копирование)
- поиск и восстановление удаленных файлов, например с помощью утилитки photorec.exe из комплекта testdisk
- восстановление файлов из теневых копий, если было настроено теневое копирование данных.

Изменено: santy - 27.05.2016 16:22:02

[ Как создать образ автозапуска? ]

Перейти

зашифровано в CTBlocker

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.01.2015 06:45:49

+
несколько рекомендаций будет уместно для всех читающих данный раздел.

1. Настройте почтовый сервер на действие "заблокировать" или "удалить письмо", содержащее вложенные файлы, которые обычно используются для распространения угроз, таких как .vbs, .bat, .cmd, .js, .hta, .exe, PIF и .SCR файлов.
2. Обучите сотрудников не открывать вложения, если они не ожидают их. Кроме того, не выполнять запуск программ, загруженных из Интернета, пока они не были проверены на наличие вирусов.
например здесь http://virustotal.com
3. не забываем слушать классику.
http://www.youtube.com/watch?v=vFNntCbI0OI

[ Как создать образ автозапуска? ]

Перейти

Вредоносный софт вызвал нарушение работоспособности компьютера

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.01.2015 18:58:09

пробуйте образ автозапуска создать без проверки цифровой подписи.
(судя по логу Комбофикс кроме stantinko в системе еще и китайские антивирусы.)

[ Как создать образ автозапуска? ]

Перейти

Вредоносный софт вызвал нарушение работоспособности компьютера

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.01.2015 14:12:04

пробуйте из безопасного режима создать образ автозапуска
(читателей здесь нет - все писатели, поэтому постарайтесь кратко все проблемы формулировать, чтобы не выходил у вас в новом сообщении очередной том изданий.)

Изменено: santy - 25.01.2015 14:14:03

[ Как создать образ автозапуска? ]

Перейти

Вредоносный софт вызвал нарушение работоспособности компьютера

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.01.2015 05:52:34

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

зашифровано в CTBlocker

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.01.2015 17:53:49

судя по тексту письма похоже на шифратор Elenoocka
http://virusradar.com/en/Win32_TrojanDownloader.Elenoocka.A/description

вот только непонятно зачем бухгалтер открывает вложение из письма с подобным нечитабельным текстом.
все таки психология еще та: раз пришло письмо, то надо вскрыть и прочитать. 100% доверия.

Изменено: santy - 20.12.2016 12:25:53

[ Как создать образ автозапуска? ]

Перейти

Зашифровано с расширением BLOCK; idz0861; id70915; du1732; id6532; EnCiPhErEd; .stoppirates; ava; o11fFQ; yakmbsd; 5Hf1Ct; .DrWeb; .qwerty, Filecoder.Q / Xorist

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.01.2015 17:51:14

по расшифровке документов обратитесь в [email protected]

[ Как создать образ автозапуска? ]

Перейти

Зашифровано с расширением BLOCK; idz0861; id70915; du1732; id6532; EnCiPhErEd; .stoppirates; ava; o11fFQ; yakmbsd; 5Hf1Ct; .DrWeb; .qwerty, Filecoder.Q / Xorist

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.01.2015 17:03:56

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

зашифровано в CTBlocker

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.01.2015 17:03:09

выполните очистку системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE del %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.URL del %SystemDrive%\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.URL delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\QIPGUARD\QIPGUARD.EXE hide %SystemDrive%\PROGRAM FILES (X86)\INTERNET DOWNLOAD MANAGER\IDMSHELLEXT64.DLL ;------------------------autoscript--------------------------- chklst delvir regt 28 regt 29 deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE

del %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.URL
del %SystemDrive%\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.URL
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\QIPGUARD\QIPGUARD.EXE
hide %SystemDrive%\PROGRAM FILES (X86)\INTERNET DOWNLOAD MANAGER\IDMSHELLEXT64.DLL
;------------------------autoscript---------------------------

chklst
delvir

regt 28
regt 29
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке данных при наличие лицензии на продукты ESET обратитесь в техподдержку [email protected]

[ Как создать образ автозапуска? ]

Перейти

зашифровано в CTBlocker

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.01.2015 14:29:36

1. добавьте образ автозапуска для проверки системы.
http://forum.esetnod32.ru/forum9/topic2687/

2. вышлите архив из письмо на адрес [email protected]

[ Как создать образ автозапуска? ]

Перейти