Вирус Зашифрованные файлы с расширением .RN

[Langolier]

Прошу помощи.
Ситуация следующая.
Был скачан файл exe c интернета и запущен работником.
После был перезагружен ПК. Видно из команды systeminfo.
Все файлы на локальных и сменных дисках, а также на фаловом сервере (т.к. есть доступ к шаре на изменение) были зашифрованы и добавлено расшрение после exe.RN сменились ярлыки документов, фото и архивов. Хотя сами файлы находятся в тех же директориях.
Высылаю Вам в архивах зашифрованные файлы и в архиве Virus.rar (сам exe файл содержащий вирус и процесс который запускается).
Весь вечер искал подобную ситуацию - не нашел, т.к. сам банер выскакивает только тогда когда пытаешься запустить зашифрованный документ. Изменение расширение файла ничего не дает.
Работа у всех встала - реально. Утром придут а ничего не открывается. Ни один сетевой документ.
Заранее благодарен.

Вложение 348627Вложение 348628Вложение 348629

[Info_bot]

Уважаемый(ая) Langolier, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Langolier]

Нашел подобные темы у вас на форуме размещенные сегодня.
DrWeb обнаружил Trojan.Packed.22286.

Все аналогично.
Ваши файлы заморожены и просят заплатить 2000 руб. И отправить письмо на [email protected]
Тип приложения w5x20tA2w1YP5GE.

[Langolier]

Друзья, помогите пожалуйста с расшифровкой файлов. Очень прошу.
Вся работа стоит. Начинаются отчеты. Никто не может работать с файловым сервером.
Извините, что сразу логи не выслал.
В долгу не останусь.....

[Techno]

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
 DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Повторите логи.

Утилита для расшифровки
Запускать нужно с параметрами командной строки -k 44

[Langolier]

Доброго времени суток!
Сделал все указанное.
Логи прикрепил.
Произвел дешифрование файлов на сервере. Все получилось на отлично. Огромное Вам спасибо.
Но есть проблемы на ПК на котором сам троян (позавчера еще отключил от сети - от греха подальше.)
После перезагрузки иконки ярлыков файлов с расширением *.RN оставались такими как и иконка exe файла содержащего троян.
Видимо после проверки АВЗ и перезагрузки - вдруг стал работать антивирус. При обращении к зашифрованным файлам - даже простой вызов контекстного меню правой клавишей мыши - сразу вызывал процесс explorer - файл находящийся в Temp с названием w5x20tA2w1YP5GE.exe Антивирус поместил его в карантин. В папке C:\WINDOWS\Prefetch есть файл с таким же названием W5X20TA2W1YP5GE.EXE-164A9866.pf. После помещения exe в карантин - иконки поменялись на безликие.
Теперь при обращении к любому файлу или архиву для запуска или вызова контекстного меню правой клавишей мыши - комп задумывается с минуту или более и после выдает контестное меню. Хотя свойства папок открывается влет.
Дешифрование файлов на зараженном ПК прошло частично. Что-то открывается, что-то нет. Хотя на сервере пока только один файл не открывается (глубоко не смотрел)
Вопрос! можно уже просканить ПК на вырусы с помощью cureit drweb??? (до этого боялся убить тело вируса, т.к. все испугали, что без него не возможно дешифровать файлы).
Потом попробую еще раз дешифровать.
Логи прикрепил.
Карантин отправил.

[Techno]

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\Eventlog\System \ip100xp', 'EventMessageFile', 'REG_EXPAND_SZ', '%SystemRoot%\System32\netevent.dll');
 ExecuteRepair(5);
 ExecuteRepair(8);
RebootWindows(true);
end.

Компьютер перезагрузится


Сделайте лог полного сканирования MBAM.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\mssrv32.exe - Trojan.Win32.VBKrypt.iasn ( DrWEB: Trojan.MulDrop3.32687 )