Зашифровались все файлы

@ain988 · Регистрация: 17.07.2014

Студворк — интернет-сервис помощи студентам

Здравствуйте! Помогите пожалуйста, у меня зашифровались на компьютере фотографии, я не могу воспользоваться даже Вордом. Выскакивает сообщение, прикрепила его ниже, поменялись расширения файлов

@severnyj · 22.05.2015, 22:11

Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему

@ain988 · 22.05.2015, 22:19 **[ТС]**

Я же прикрепила

@severnyj · 22.05.2015, 22:40

Внимание! Рекомендации написаны специально для пользователя ain988. Если рекомендации написаны не для вас, не используйте их -
это может повредить вашей системе!!! Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Code
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\User\AppData\Roaming\omiga-plus\UninstallManager.exe', '');
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat', '');
 QuarantineFile('C:\Users\User\AppData\Local\Yandex\browser.bat', '');
 QuarantineFile('C:\Windows\system32\drivers\{feff35ba-2139-454f-bd8e-bc1ab8b3774d}Gw64.sys', '');
 QuarantineFile('C:\Windows\system32\drivers\ccnfd_1_10_0_6.sys', '');
 QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.bat','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.xoferif.bat','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.arepo.bat','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.rehcnual.bat','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.resworb.bat','');
 QuarantineFile('c:\users\user\appdata\local\yandex\yandexbrowser\application\browser.bat','');
 QuarantineFile('C:\iexplore.bat','');
 QuarantineFile('C:\Program Files (x86)\Google\chrome.bat','');
 QuarantineFile('C:\Users\User\AppData\Local\Yandex\browser.bat','');
 QuarantineFile('C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','');
 QuarantineFile('C:\Program Files (x86)\Игры Turbogames.ru\Книга Солнца\application_launcher.bat','');
 QuarantineFile('C:\Program Files (x86)\Игры Turbogames.ru\Маджонг. Вокруг света\application_launcher.bat','');
 QuarantineFile('C:\Program Files (x86)\Игры Turbogames.ru\Робо-бобо\application_launcher.bat','');
 QuarantineFile('C:\Program Files (x86)\Игры Turbogames.ru\Стильные девчонки. Чемпионка\application_launcher.bat','');
 QuarantineFile('C:\Program Files (x86)\Игры Turbogames.ru\Элементы\application_launcher.bat','');
 DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.bat','');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.emorhc.bat','');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.xoferif.bat','');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.arepo.bat','');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.rehcnual.bat','');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.resworb.bat','');
 DeleteFile('c:\users\user\appdata\local\yandex\yandexbrowser\application\browser.bat','');
 DeleteFile('C:\iexplore.bat','');
 DeleteFile('C:\Program Files (x86)\Google\chrome.bat','');
 DeleteFile('C:\Users\User\AppData\Local\Yandex\browser.bat','');
 DeleteFile('C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','');
 DeleteFile('C:\Program Files (x86)\Игры Turbogames.ru\Книга Солнца\application_launcher.bat','');
 DeleteFile('C:\Program Files (x86)\Игры Turbogames.ru\Маджонг. Вокруг света\application_launcher.bat','');
 DeleteFile('C:\Program Files (x86)\Игры Turbogames.ru\Робо-бобо\application_launcher.bat','');
 DeleteFile('C:\Program Files (x86)\Игры Turbogames.ru\Стильные девчонки. Чемпионка\application_launcher.bat','');
 DeleteFile('C:\Program Files (x86)\Игры Turbogames.ru\Элементы\application_launcher.bat','');
 DeleteFile('C:\Windows\system32\drivers\ccnfd_1_10_0_6.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\{feff35ba-2139-454f-bd8e-bc1ab8b3774d}Gw64.sys', '32');
 DeleteFile('C:\Users\User\AppData\Local\Yandex\browser.bat', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat', '32');
 DeleteFile('C:\iexplore.bat', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\omiga-plus\UninstallManager.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\{2A9C6C7B-34CC-4229-942E-4E21B44C6909}', '64');
 DeleteService('{feff35ba-2139-454f-bd8e-bc1ab8b3774d}Gw64');
 DeleteService('ccnfd_1_10_0_6');
 DelBHO('{0633EE93-D776-472f-A0FF-E1416B8B2E3D}');
 DelBHO('{40aef60b-a6f8-4389-9003-a683dd75b850}');
 DeleteFileMask('C:\Users\User\AppData\Roaming\Browsers\', '*', true);
 DeleteDirectory('C:\Users\User\AppData\Roaming\Browsers\');
 DeleteFileMask('C:\Users\User\AppData\Roaming\omiga-plus\', '*', true);
 DeleteDirectory('C:\Users\User\AppData\Roaming\omiga-plus\');
 RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Code Store Database\Distribution Units\{86A88967-7A20-11D2-8EDA-00600818EDB1}');
 RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Code Store Database\Distribution Units\{810B649C-CEAE-4AC9-BF26-81341B49E913}');
 RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Code Store Database\Distribution Units\{093500E9-F79F-4C52-A9B5-D8C7E4B3023E}');
BC_ImportAll;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Code
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Code
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://isearch.omiga-plus.com/?type=hppp&ts=1423251704&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://isearch.omiga-plus.com/web/?type=dspp&ts=1423251704&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://isearch.omiga-plus.com/web/?type=dspp&ts=1423251704&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.turbogames.ru/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1423251648&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://isearch.omiga-plus.com/web/?type=ds&ts=1423251648&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://isearch.omiga-plus.com/web/?type=ds&ts=1423251648&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://isearch.omiga-plus.com/web/?type=ds&ts=1423251648&from=brd&uid=ST9500325AS_S2WJVGBYXXXXS2WJVGBY&q={searchTerms}

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

Code
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gоogle Chromе.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzilla Firefoх.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpera.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа 26.lnk
C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Internet Еxplorer Brоwsеr.lnk
C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlorеr.lnk
C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndеx.lnk
C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndех.lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Exрlоrer (Nо Add-оns).lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Еxрlоrеr.lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndеx.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk
C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnеt Ехplоrеr Вrоwsеr.lnk
C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yаndех.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Игры Turbogames.ru\Книга Солнца\Книга Солнца.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Игры Turbogames.ru\Маджонг. Вокруг света\Маджонг. Вокруг света.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Игры Turbogames.ru\Робо-бобо\Робо-бобо.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Игры Turbogames.ru\Стильные девчонки. Чемпионка\Стильные девчонки. Чемпионка.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Игры Turbogames.ru\Элементы\Элементы.lnk
C:\Users\User\Desktop\Игры\Книга Солнца.lnk
C:\Users\User\Desktop\Игры\Маджонг. Вокруг света.lnk
C:\Users\User\Desktop\Игры\Робо-бобо.lnk
C:\Users\User\Desktop\Игры\Стильные девчонки. Чемпионка.lnk
C:\Users\User\Desktop\Игры\Элементы.lnk

Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".

@ain988 · 22.05.2015, 23:26 **[ТС]**

Все сделала как вы написали. Прикрепила

@severnyj · 22.05.2015, 23:43

Попробуйте восстановить файлы таким образом: Как восстановить зашифрованные троянами файлы средствами Windows

@ain988 · 24.05.2015, 22:48 **[ТС]**

Ничего не получается. Может быть есть другой способ. Или я не там смотрю?

@ain988 · 24.05.2015, 22:54 **[ТС]**

И еще пишет, что предыдущие версии не обнаружены, если правой кнопкой мыши на файле зараженном кликнуть

@ain988 · 27.05.2015, 00:58 **[ТС]**

Подскажите а может быть изменить тип файла?

@severnyj · 27.05.2015, 20:54

Значит расшифровка невозможна

Новые блоги и статьи Все статьи Все блоги /
Автозаполнение реквизита при выборе элемента справочника Maks 27.03.2026 Программный код из решения ниже на примере нетипового документа "ЗаявкаНаРемонтСпецтехники" разработанного в конфигурации КА2. При выборе "Спецтехники" (Тип Справочник. Спецтехника), заполняется. . .	Сумматор с применением элементов трёх состояний. Hrethgir 26.03.2026 Тут. https:/ / fips. ru/ EGD/ ab3c85c8-836d-4866-871b-c2f0c5d77fbc Первый документ красиво выглядит, но без схемы. Это конечно не даёт никаких плюсов автору, но тем не менее. . . всё может быть. . .	Автозаполнение реквизитов при создании документа Maks 26.03.2026 Программный код из решения ниже размещается в модуле объекта документа, в процедуре "ПриСозданииНаСервере". Алгоритм проверки заполнения реализован для исключения перезаписи значения реквизита,. . .	Команды формы и диалоговое окно Maks 26.03.2026 1. Команда формы "ЗаполнитьЗапчасти". Программный код из решения ниже на примере нетипового документа "ЗаявкаНаРемонтСпецтехники" разработанного в конфигурации КА2. В качестве источника данных. . .
Кому нужен AOT? DevAlt 26.03.2026 Решил сделать простой ланчер Написал заготовку: dotnet new console --aot -o UrlHandler var items = args. Split(":"); var tag = items; var id = items; var executable = args;. . .	Отправка уведомления на почту при создании или изменении элементов справочника Maks 24.03.2026 Программная отправка письма электронной почты на примере типового справочника "Склады" в конфигурации БП3. Перед реализацией необходимо выполнить настройку системной учетной записи электронной. . .	модель ЗдравоСохранения 5. Меньше увольнений- больше дохода! anaschu 24.03.2026 Теперь система здравосохранения уменьшает количество увольнений. 9TO2GP2bpX4 a42b81fb172ffc12ca589c7898261ccb/ https:/ / rutube. ru/ video/ a42b81fb172ffc12ca589c7898261ccb/ Слева синяя линия -. . .	Midnight Chicago Blues kumehtar 24.03.2026 Такой Midnight Chicago Blues, знаешь?. . Когда вечерние улицы становятся ночными, а ты не можешь уснуть. Ты идёшь в любимый старый бар, и бармен наливает тебе виски. Ты смотришь на пролетающие. . .

@severnyj 6404 / 2896 / 578 Регистрация: 04.04.2012 Сообщений: 10,503
	22.05.2015, 22:11
	Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему 0

@ain988 0 / 0 / 0 Регистрация: 17.07.2014 Сообщений: 7
	22.05.2015, 22:19 [ТС]
	Я же прикрепила 0

@severnyj 6404 / 2896 / 578 Регистрация: 04.04.2012 Сообщений: 10,503
	22.05.2015, 23:43
	Попробуйте восстановить файлы таким образом: Как восстановить зашифрованные троянами файлы средствами Windows 0

@ain988 0 / 0 / 0 Регистрация: 17.07.2014 Сообщений: 7
	24.05.2015, 22:48 [ТС]
	Ничего не получается. Может быть есть другой способ. Или я не там смотрю? Миниатюры 0

@ain988 0 / 0 / 0 Регистрация: 17.07.2014 Сообщений: 7
	24.05.2015, 22:54 [ТС]
	И еще пишет, что предыдущие версии не обнаружены, если правой кнопкой мыши на файле зараженном кликнуть 0

@ain988 0 / 0 / 0 Регистрация: 17.07.2014 Сообщений: 7
	27.05.2015, 00:58 [ТС]
	Подскажите а может быть изменить тип файла? Миниатюры 0

@severnyj 6404 / 2896 / 578 Регистрация: 04.04.2012 Сообщений: 10,503
	27.05.2015, 20:54
	Значит расшифровка невозможна 0