Ctb-locker зашифровал файлы. Нужна помощ! [Trojan.Win32.Vimditator.gnn, P2P-Worm.Win32.Palevo.fxzu ]

[zhekaice]

Позвонила сотрудница, и сказала, что у неё на флешке, файлики стали с крякрзяблами. (расширение после zip, jpg, txt, doc, xls, ppt стало tkvfjhj) Я взялнул, и понял, что файлы зашифрованы.
Оказывается, она открывала .cab файл, который пришел по электронке. Откуда-то из Италии. Это нормально для нас, у нас и Греция проскакивает, и Италия и т.д.
Должен быть в почте файл, который пришел.
Дальше, есть в temp-директори gjkmpjdfntkz 2 файла (exe) с одинаковым размером, но разными названиями. (psxsmsb.exe и 1308991203.exe) И ещё один файл удалил nod32, попробую вернуть. там 2 файла, один со сгенерированным именем, другой - psxsmsb.exe

И так, что конкретно ещё от меня требуется?
Какие файлы куда прислать? И каке действия произвести? Самопроизвольно ничего не делал.

[Info_bot]

Уважаемый(ая) zhekaice, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[zhekaice]

Пк изолирован, в сеть я его включать боюсь
Можно, разве что, на флешке попробовать записать туда нужные проги.

- - - - -Добавлено - - - - -

По инструкции АВЗ и ХДжек.

- - - - -Добавлено - - - - -

неуж-то никто не поможет?

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\WINDOWS\system32\uKoCAqyxUWlsQM.exe','');
 QuarantineFile('C:\Documents and Settings\helen.HELEN-\Application Data\564a29b\564a29b.exe','');
 DeleteFile('C:\Documents and Settings\helen.HELEN-\Application Data\564a29b\564a29b.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','564a29b');
 DeleteFile('C:\WINDOWS\system32\uKoCAqyxUWlsQM.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','CYKKgPBseXCicJowTnrkMgsMiC');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[zhekaice]

Выполните скрипт в AVZ


Сделайте новые логи

Только в АВЗ ?
по пунктам 3 потом 2?

- - - - -Добавлено - - - - -

avz в карантин ничего не добавил.

- - - - -Добавлено - - - - -

Из скрипта видно, какие файлы нужно было отправить, но поскольку АВЗ ничего не добавил - вернул их руками.

[thyrex]

Сделайте лог полного сканирования МВАМ

[zhekaice]

Вот лог MBAM-а.

[thyrex]

Поместите в карантин МВАм всё, кроме

Данные реестра: 1
PUM.Hijack.Help, HKU\S-1-5-21-3166851277-3334700815-2554463667-1187-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|NoSMHelp, 1, Хорошо:)0), Плохо:)1),,[d67b8f6832570f2740927633ab5aa65a]

Trojan.Dropped, C:\WINDOWS\system32\hidcon.exe, , [d47d4aad8cfda5917995a78e5ea456aa], 
RiskWare.Tool.CK, D:\old_comp\disk_c\Documents and Settings\BUH\Local Settings\Temp\Rar$EX01.078\Call of Duty - United Offence\keygen.exe, , [242da05722678babfcf5f76d45bd867a],

[zhekaice]

Готово.
Что дальше?
Как обстоят дела с расшифровкой? реально или не реально?

[thyrex]

С расшифровкой не поможем.

http://virusinfo.info/announcement.php?f=46&a=52

[zhekaice]

С расшифровкой не поможем.

http://virusinfo.info/announcement.php?f=46&a=52

Афигеть. ТОгда для чего были все эти телодвижения? Сделайте лог того, скан этого. А на финале - ничего не выйдет.
Вы же это с самого начала знали. Я честно не понимаю.

Ну да ладно....

[thyrex]

ТОгда для чего были все эти телодвижения?

При обращении в раздел лечения вирусов наша первоочередная задача избавить пользователя от возможных следов работающих вирусов (или их остатков). Это стандартная практика на всех форумах по информационной безопасности, где я присуствую

[zhekaice]

тогда, возмзжно, следует предупреждать в самом начале, мол, ничего не обещаем (точнее вообще не обещаем), что вам поможем именно в расшифровке.

Относительно следов, то новые шифровальщики уже сами всё чистят после себя!
зашишифровал и уничтожился.

[thyrex]

Не все шифровальщики так поступают из-за кривой реализации

А по поводу Вашего почитайте http://blog.kaspersky.ru/new-version-ctb-locker/6792/

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. \virii\virii\psxsmsb.exe - Trojan.Win32.Vimditator.gnn
  2. \virii\virii\ukocaqyxuwlsqm.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.PWS.Turist.144, BitDefender: Gen:Variant.Kazy.403441, AVAST4: Win32:Malware-gen )
  3. \virii\virii\1308991203.exe - Trojan.Win32.Vimditator.gnn
  4. \virii\virii\564a29b.exe - P2P-Worm.Win32.Palevo.fxzu ( BitDefender: Trojan.Generic.8467449, AVAST4: Win32:MalPack-E [Trj] )