вирус зашифровал файлы AES256 [Trojan-Ransom.MSIL.Lortok.bk ]

[diamondxp]

Заражен ПК, сообщение в каждой папке с зашифрованными файлами:

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция: [url]http://youtu.be/43feBLwHzn0[/noparse]
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: aa8af8ccff382e79441e4eddac7ea9e1
ID: 7473

Логи прикладываю, а также:
ЛОГ avz через стандартный скрипт [удалено] (Карантин загружаем по красной ссылке вверху темы!)
папка с программой вымогателем [удалено]
шифрованные файлы http://rghost.ru/58421779

помогите...

[Info_bot]

Уважаемый(ая) diamondxp, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

http://virusinfo.info/pravila.html

Логи AVZ прикрепите нужные.

[diamondxp]

http://virusinfo.info/pravila.html

Логи AVZ прикрепите нужные.

Пробую... прикрепил.

p.s. я не вижу своё сообщение в разделе ПОМОГИТЕ - оно скрыто???

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\дом\appdata\roaming\mail.ru newgamest\api.dll','');
 QuarantineFile('C:\Users\дом\AppData\Roaming\runWIN\update.exe','');
 QuarantineFile('C:\Users\дом\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
 QuarantineFile('C:\ProgramData\Schedule\timetasks.exe','');
 DeleteFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat','32');
 DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
 DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule','command');
 DeleteFile('C:\Users\дом\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Encrypt','command');
 DeleteFile('C:\Users\дом\AppData\Roaming\runWIN\update.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NewLoadSystemWIN32','command');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
 DeleteFile('C:\Users\дом\appdata\roaming\mail.ru newgamest\api.dll','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[diamondxp]

не могу ответить в теме: http://virusinfo.info/showthread.php?t=168161
создал новую и отвечаю дальше.
прилагаю запрошенные файлы

[thyrex]

Поместите в карантин МВАМ всё, кроме

PUP.Optional.Softonic, C:\Users\??????\Downloads\SoftonicDownloader_for_winrar.exe, , [f3550e04304c66d0772d8b2fe021d828], 
PUP.Optional.LoadMoney, C:\Users\??????\Downloads\sony vegas pro 12.exe, , [30180909e19b82b43bdf2edf7b8a6b95], 
PUP.Optional.LoadMoney, C:\Users\??????\Downloads\windows-7-ultimate-sp1-original-by-a l e x -03 2014.exe, , [03457c9643393600d545749933d2bf41], 
PUP.Optional.OpenCandy.A, C:\Users\??????\Downloads\windows.7.codec.pack.v4.1.0.setup.exe, , [3f0966acbbc187af4e4fce7437c9c53b], 
PUP.Optional.Zona, C:\Users\??????\Downloads\ZonaSetup_latest.exe, , [ce7a997945379e9851c97adb08f951af], 
PUP.Optional.InstallCore, C:\Users\??????\Downloads\PdfCreatorSetup.exe, , [f25637db53294aec8a7869a49570fd03], 
PUP.Optional.Zona, C:\Users\??????\Downloads\vit_registry_fix_pro_11.5_portable_shareware (1).exe, , [3810d14129530630938779dc1ce59d63], 
PUP.Optional.Zona, C:\Users\??????\Downloads\vit_registry_fix_pro_11.5_portable_shareware.exe, , [7ace4cc6f587cb6b70aa67eedc258f71], 
PUP.RiskwareTool.CK, C:\Users\??????\Downloads\sony vegas pro 12\Sony_Vegas_Pro_12\vegas.pro.12.-patch.exe, , [83c5a66c512b7bbb232937cb649ecc34], 
Packer.ModifiedUPX, E:\Program Files\eXponent\eXponent_Furniture_Designer_1_05_crack.exe, , [de6a040e88f468ce1d202e9ce0205fa1], 
Packer.ModifiedUPX, E:\Program Files\eXponent\expfurn\A\eXponent_Furniture_Designer_1_05_crack.exe, , [1b2df81a2c50c472ab924e7cad5340c0], 
PUP.Optional.OpenCandy, E:\Users\??????\AppData\Roaming\Real\Update\UpgradeHelper\RealPlayer\10.50\agent\stub_data\stubinst_pkg_en-eu.cab, , [92b64ac83f3dd75f964e61ddf90c728e], 
PUP.Optional.OneClickDownloader.A, E:\Users\??????\Downloads\Nik_Software_Viveza_2_v2_004_By_Cool_Release_rar.exe, , [e86058baa1db3501c3a6af7647ba768a], 
PUP.Optional.InstallCore, E:\Users\??????\Downloads\ImageResizerSetup.exe, , [b494d43e0a72d85e2fcd7c849570e61a], 
PUP.Optional.LoadMoney.gen, E:\Users\??????\Downloads\adobe photoshop cs6.exe, , [66e2b85a403c1026b0f2d6e6dd24c739],

Удалите папки

C:\ProgramData\Program status
C:\Users\дом\AppData\Roaming\phoenixguard
C:\Users\дом\AppData\Roaming\cload2
C:\Users\дом\AppData\Roaming\Mail.RU NewGamesT
C:\Users\дом\AppData\Roaming\Microsoft DB
C:\Users\дом\AppData\Roaming\GemWare
C:\Users\дом\AppData\Roaming\ICL
C:\Program Files\ШоппингГид

[diamondxp]

Выполнено!
Как насчет расшифрования файлов?
кстати нашёл подозрительный файл в папке program files, дата создания совпадает с датой заражения
{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys

http://rghost.ru/58452449

[thyrex]

Файлы, имеющие отношение к шифрованию, давно удалены

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

[diamondxp]

Файлы, имеющие отношение к шифрованию, давно удалены

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

пишет - невозможно подобрать пароль. и всё, хана

[thyrex]

Увы, больше помочь нечем

[diamondxp]

ответ в теме http://virusinfo.info/showthread.php?t=168161

у меня сохранен файл-шифровальщик в архиве - его отправка поможет расшифровать файлы??

Encrypt.exe

[mike 1]

Информация

Внимание! Данный дешифратор предназначен только для пользователя diamondxp
Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

Дешифратор

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

[thyrex]

Для файлов из первого сообщения

К сожалению этот ключ неправильный

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 35
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\дом\appdata\roaming\mail.ru newgamest\api.dll - Trojan-Ransom.MSIL.Lortok.bk
  2. \mail.ru newgamest\api.dll - Trojan-Ransom.MSIL.Lortok.bk