вирус - шифровальщик [Trojan.Win32.Geode.c ]

[кузяк]

Добрый день. Скачала вирус с электронной почты с пларежкой на оплату задолженности, зашифровал все документы ворд и эксэль, на дисках файлы README с текстом: "Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
BAE1E2FD727F4D63E46E|0
на электронный адрес [email protected] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
Если вы всё же хотите попытаться, то предварительно сделайте резервные копии файлов, иначе в случае
их изменения расшифровка станет невозможной ни при каких условиях.
Если вы не получили ответа по вышеуказанному адресу в течение 48 часов (и только в этом случае!),
воспользуйтесь резервным адресом. Его можно узнать двумя способами:
1) Скачайте и установите Tor Browser по ссылке: https://www.torproject.org/download/...d-easy.html.en
В адресной строке Tor Browser-а введите адрес:
http://cryptorzimsbfbkx.onion/
и нажмите Enter. Загрузится страница с резервными email-адресами.
2) В любом браузере перейдите по одному из адресов:
http://cryptorzimsbfbkx.onion.to/
http://cryptorzimsbfbkx.onion.cab/

[Info_bot]

Уважаемый(ая) кузяк, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[кузяк]

Не могу почему-то оплатить.

[mike 1]

А не надо ничего оплачивать. В твоем случае смысла в этом никакого.

[кузяк]

А не надо ничего оплачивать. В твоем случае смысла в этом никакого.

Почему? Что нельзя расшифровать? А хотя бы полечить можно?

- - - - -Добавлено - - - - -

Не могу почему-то оплатить.

Я имею в виду поддержать проэкт.

[mike 1]

Что нельзя расшифровать?

Именно так.

А хотя бы полечить можно?

Можно, если логи пришлешь.

[кузяк]

Отправляю.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 TerminateProcessByName('c:\users\Пользователь\appdata\local\temp\35530376.exe');
 QuarantineFile('c:\users\Пользователь\appdata\local\temp\35530376.exe','');
 DeleteFile('c:\users\Пользователь\appdata\local\temp\35530376.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkUpdater');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CrashReportSaver');
 DeleteFile('C:\Users\Пользователь\AppData\Roaming\Update\Explorer.exe','32');
 DeleteFile('C:\Users\Пользователь\AppData\Roaming\Update\MSupdate.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Explorer Manager');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Rflalr');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ilcsoft');
 DeleteFile('C:\Users\Пользователь\AppData\Roaming\Microsoft\Windows\Rflalr.exe','32');
 DeleteFile('C:\Users\Пользователь\AppData\Local\Ilcsoft\63A21395.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[кузяк]

Отправляю.

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[кузяк]

Прикрепляю оба.

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM\...\Run: [TimeInformer] => C:\Windows\launch.exe [0 2011-10-19] ()
   HKLM\...\Run: [ConnectionChecker] => C:\Users\73B5~1\AppData\Local\Temp\\winlogon.exe [0 2016-03-28] () <===== ATTENTION
   HKLM\...\Run: [ConnectionUpdater] => C:\Users\73B5~1\AppData\Local\Temp\\jucheck.exe [0 2016-03-28] () <===== ATTENTION
   HKLM\...\Run: [FolderVerifyer] => C:\MeregaM\hkcr.exe [0 2016-03-30] ()
   HKLM\...\Run: [VideoVerifyer] => C:\Daum\PotPlayer\iexplore.exe [0 2011-01-03] ()
   HKU\S-1-5-21-31206432-2829090890-365195971-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.search.ask.com/?tpid=ORJ-ST-SPE&o=APN11467&pf=V7&trgb=CR&p2=%5EBED%5EOSJ000%5EYY%5EUA&gct=hp&apn_ptnrs=BED&apn_dtid=%5EOSJ000%5EYY%5EUA&apn_dbr=cr_38.0.2125.111&apn_uid=DC4C6B5F-BCAC-45F8-8CD1-DFF38D7F5CCF&itbv=12.18.0.81&doi=2014-10-28&psv=&pt=tb
   SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
   SearchScopes: HKU\S-1-5-21-31206432-2829090890-365195971-1000 -> {36F38295-8903-4419-BD40-D8EF02CDD6B5} URL = hxxp://www.search.ask.com/web?tpid=ORJ-ST-SPE&o=APN11467&pf=V7&p2=^BED^OSJ000^YY^UA&gct=&itbv=12.18.0.81&apn_uid=DC4C6B5F-BCAC-45F8-8CD1-DFF38D7F5CCF&apn_ptnrs=BED&apn_dtid=^OSJ000^YY^UA&apn_dbr=cr_38.0.2125.111&doi=2014-10-28&trgb=CR&q={searchTerms}&psv=&pt=tb
   2016-03-28 16:35 - 2016-03-28 16:35 - 03148854 _____ C:\Users\Пользователь\AppData\Roaming\7B9F377B7B9F377B.bmp
   2016-03-28 14:36 - 2016-03-29 09:45 - 00000000 __SHD C:\Users\Все пользователи\Windows
   2016-03-28 14:36 - 2016-03-29 09:45 - 00000000 __SHD C:\ProgramData\Windows
   C:\Users\73B5~1\AppData\Local\Temp\\winlogon.exe
   C:\Users\73B5~1\AppData\Local\Temp\\jucheck.exe
   C:\Users\Пользователь\AppData\Local\Temp\winlogon.exe

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

[кузяк]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM\...\Run: [TimeInformer] => C:\Windows\launch.exe [0 2011-10-19] ()
   HKLM\...\Run: [ConnectionChecker] => C:\Users\73B5~1\AppData\Local\Temp\\winlogon.exe [0 2016-03-28] () <===== ATTENTION
   HKLM\...\Run: [ConnectionUpdater] => C:\Users\73B5~1\AppData\Local\Temp\\jucheck.exe [0 2016-03-28] () <===== ATTENTION
   HKLM\...\Run: [FolderVerifyer] => C:\MeregaM\hkcr.exe [0 2016-03-30] ()
   HKLM\...\Run: [VideoVerifyer] => C:\Daum\PotPlayer\iexplore.exe [0 2011-01-03] ()
   HKU\S-1-5-21-31206432-2829090890-365195971-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.search.ask.com/?tpid=ORJ-ST-SPE&o=APN11467&pf=V7&trgb=CR&p2=%5EBED%5EOSJ000%5EYY%5EUA&gct=hp&apn_ptnrs=BED&apn_dtid=%5EOSJ000%5EYY%5EUA&apn_dbr=cr_38.0.2125.111&apn_uid=DC4C6B5F-BCAC-45F8-8CD1-DFF38D7F5CCF&itbv=12.18.0.81&doi=2014-10-28&psv=&pt=tb
   SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
   SearchScopes: HKU\S-1-5-21-31206432-2829090890-365195971-1000 -> {36F38295-8903-4419-BD40-D8EF02CDD6B5} URL = hxxp://www.search.ask.com/web?tpid=ORJ-ST-SPE&o=APN11467&pf=V7&p2=^BED^OSJ000^YY^UA&gct=&itbv=12.18.0.81&apn_uid=DC4C6B5F-BCAC-45F8-8CD1-DFF38D7F5CCF&apn_ptnrs=BED&apn_dtid=^OSJ000^YY^UA&apn_dbr=cr_38.0.2125.111&doi=2014-10-28&trgb=CR&q={searchTerms}&psv=&pt=tb
   2016-03-28 16:35 - 2016-03-28 16:35 - 03148854 _____ C:\Users\Пользователь\AppData\Roaming\7B9F377B7B9F377B.bmp
   2016-03-28 14:36 - 2016-03-29 09:45 - 00000000 __SHD C:\Users\Все пользователи\Windows
   2016-03-28 14:36 - 2016-03-29 09:45 - 00000000 __SHD C:\ProgramData\Windows
   C:\Users\73B5~1\AppData\Local\Temp\\winlogon.exe
   C:\Users\73B5~1\AppData\Local\Temp\\jucheck.exe
   C:\Users\Пользователь\AppData\Local\Temp\winlogon.exe

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

Отправляю.

[mike 1]

На этом все.

[кузяк]

На этом все.

Вируса больше нет?

[mike 1]

Да.

[кузяк]

Огромное спасибо. А не подскажете какой вирус был?

[mike 1]

Из этой https://securelist.ru/analysis/obzor...ojnaya-ugroza/ серии.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\пользователь\appdata\local\temp\35530376. exe - Trojan.Win32.Geode.c