Зашифрованы файлы! [Trojan.Win32.Agent.amneb, Backdoor.Win32.Androm.fytb ]

[Иван Наумов]

На жестком диске появился .txt файлы вот такого содержания:

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
4E62FAFE5419FAADBB50|0
на электронный адрес [email protected] или [email protected] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

[Info_bot]

Уважаемый(ая) Иван Наумов, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/pravila.html

[Иван Наумов]

Лог AVZ.

- - - - -Добавлено - - - - -

ghijackthis.log

[thyrex]

Правила перечитайте и пришлите нужные логи AVZ

[Иван Наумов]

Логи AVZ.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe','');
 TerminateProcessByName('c:\documents and settings\Настя\application data\cppredistx86.exe');
 QuarantineFile('c:\documents and settings\Настя\application data\cppredistx86.exe','');
 DeleteFile('c:\documents and settings\Настя\application data\cppredistx86.exe','32');
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Иван Наумов]

Логи готовы. Карантин отправлен.

[thyrex]

Сделайте лог полного сканирования МВАМ

[Иван Наумов]

Лог полного сканирования MBAM.

[thyrex]

C:\Documents and Settings\Настя\Local Settings\Temp\3E.tmp
C:\Documents and Settings\Настя\Local Settings\Temp\5.tmp

заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

После этого поместите в карантин МВАМ только

Ключи реестра: 1
Backdoor.Bifrose, HKLM\SOFTWARE\System32, , [17814fa5dcadfe38be5cba86b450df21], 

Файлы: 9
PUP.Optional.BitcoinMiner, C:\Documents and Settings\???°N?N?N?\Application Data\nscrypt\engine2.exe, , [5048668ea3e6c076a7426a033acbd12f], 
Trojan.FakeMS.ED, C:\Documents and Settings\???°N?N?N?\Local Settings\Temp\3E.tmp, , [9cfcee069decb18525be13f19d65b749], 
Trojan.MSIL.ED, C:\Documents and Settings\???°N?N?N?\Local Settings\Temp\5.tmp, , [3761c331d7b20a2ccd4115f2808222d

[Иван Наумов]

Все сделал.

[thyrex]

С расшифровкой не поможем

[Иван Наумов]

В папке Temp есть подозрительные файлы без расширения, созданные в то же самое время когда появились файлы README.txt (файлы в которых был текст указанный в начале темы), может в них есть что нибудь?

- - - - -Добавлено - - - - -

Так же в папке Temp есть скрытые файлы - etilqs_teBM6vIkcwxuZQU, etilqs_JYcyWnW3rZ4TbAZ.

[thyrex]

Без понятия

[Иван Наумов]

А сейчас внешние диски, флешки другие устройства можно вставлять в пк или на них тоже все зашифруется. И как в дальнейшем не попасться на это "чудо вирус", который даже антивирус не видит?

[thyrex]

И как в дальнейшем не попасться на это "чудо вирус", который даже антивирус не видит?

Не открывать неизвестные вложения к электронным письмам

По логам плохого не видно

[Иван Наумов]

Как думаете компания DrWeb поможет, они вроде создают дешифраторы? Или без тела вируса все тщетно?

[thyrex]

Не факт, что и они помогут

Сам шифровальщик был похоже в файле C:\Documents and Settings\Настя\Local Settings\Temp\3E.tmp

[Иван Наумов]

Теперь похоже только ждать когда выйдет универсальный дешифратор.
Но все равно большое спасибо за помощь, узнал много нового. Впредь буду все важные файлы на диски нарезать, там их вирусы точно не убьют.