Вирус заблокировал фотографии, просьба помочь

[Lisu4ka]

Доброй ночи, нахватали вирус, заблокированы все фотографии, сообщение об оплате не появлялось

В компьютерах чайник помогите справиться

Загружаю утилиты, но не выходит : файла AVZ - virusinfo_syscure.zip, нет у меня ни где. В вложение есть скрин программы avz4, там видно какие то ошибки, может поэтому у меня нет второго лога ?

[Info_bot]

Уважаемый(ая) Lisu4ka, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

файла AVZ - virusinfo_syscure.zip, нет у меня ни где

Просто стандартный скрипт №3 не выполняли

Пофиксите в HiJack

F3 - REG:win.ini: load=C:\Users\iddqd2\AppData\Local\Temp\099966~1.EXE
F3 - REG:win.ini: run=C:\Users\iddqd2\AppData\Local\Temp\099966~1.EXE
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O3 - Toolbar: (no name) - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - (no file)
O4 - HKCU\..\Run: [d9cd1c8a0eebc6b96f9f7e3f] iexplore.exe

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\iddqd2\AppData\Roaming\Microsoft\taskhost.exe','');
 QuarantineFile('C:\Users\iddqd2\AppData\Local\Temp\099966~1.EXE','');
 QuarantineFile('C:\Users\iddqd2\AppData\Local\Apps\2.0\QW6AXC6L.QC0\HVA50N9M.1TE\domr..tion_2edef5e10e1944ec_0000.0000_f12c4ffb7a54f56d\Domru.exe','');
 DeleteFile('C:\Users\iddqd2\AppData\Local\Temp\099966~1.EXE');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 DeleteFile('C:\Users\iddqd2\AppData\Roaming\Microsoft\taskhost.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Taskhost');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

+ Пришлите какой-либо зашифрованный файл и его незашифрованную копию

[Lisu4ka]

карантин отправила, сейчас остальное попробую

- - - Добавлено - - -

новые логи

[thyrex]

+ Пришлите какой-либо зашифрованный файл и его незашифрованную копию

Где?

[Lisu4ka]

Объясните пожалуйста какой файл и как это сделать? заранее извиняюсь за тупость

[thyrex]

заблокированы все фотографии

Любую и зашифрованных фотографий + ее незашифрованный вариант

Если не сможете найти незашифрованный вариант, пришлите какой-либо из зашифрованных файлов от Word или Excel (с расширениями .docx или .xlsx)

[Lisu4ka]

Любую и зашифрованных фотографий + ее незашифрованный вариант

Если не сможете найти незашифрованный вариант, пришлите какой-либо из зашифрованных файлов от Word или Excel (с расширениями .docx или .xlsx)

Добрый вечер, зашифрованные файлы во вложении, надеюсь я все верно поняла, без архива файлы не вставлялись

[Lisu4ka]

А мне так и не помогут?

[thyrex]

Да прочтите же уже внимательно то, что Вас просили сделать

Любую из зашифрованных фотографий + ее незашифрованный вариант

пришлите какой-либо из зашифрованных файлов от Word или Excel (с расширениями .docx или .xlsx)

[Lisu4ka]

Да прочтите же уже внимательно то, что Вас просили сделать

Добрый вечер,
объясните чего недостаточно?
.docx нету
есть только .doc и все
и они во вложении в предпоследнем моем посте

[thyrex]

Вы прислали только зашифрованные файлы!!!!!

А я прошу для каждогоо зашифрованного прислать его незашифрованную копию

[Lisu4ka]

все файлы зашифрованы, исходников нет

а это тогда для чего?

"Если не сможете найти незашифрованный вариант, пришлите какой-либо из зашифрованных файлов от Word или Excel (с расширениями .docx или .xlsx)"
почему недостаточно?

[thyrex]

почему недостаточно?

А Вы прислали хоть один файл с указанными расширениями? Я не вижу. Зашифрованные файлы с расширением .doc не помогут в прояснении ситуации

[Lisu4ka]

А Вы прислали хоть один файл с указанными расширениями? Я не вижу. Зашифрованные файлы с расширением .doc не помогут в прояснении ситуации

А где мне их взять, нет таких файлов, на компьютере всего 2 файла ворд, и те .doc

- - - Добавлено - - -

постараюсь у друзей родственников искать исходники

[Lisu4ka]

Вот файлы зашифрованные и их копии незашифрованные

[thyrex]

Присланные в последнем вложении jpg-файлы хотя и имеют одинаковый размер, но возможно не совсем идентичны. Потому как она расшифровалась некорректно.
Скорее всего вирус предварительно изменяет некоторые параметры шифруемой картинки
.doc-файлы вроде бы расшифровались нормально

1. Скачайте http://support.kaspersky.ru/faq/?qid=208638517
2. Скопируйте зашифрованные файлы в отдельную папку
3. Запустите так из командной строки

RectorDecryptor.exe -hanarphex "003839323837373131352D3839323837373131352D3839323837373131352D3839323837373131352D3839323837373131352D3839323837373131352D3839323837373131352D3839323837373131352D3839323837373131352D383932383737313135"

Внимание: при работе RectorDecryptor с этим ключом (на данный момент) замечены следующие нюансы:
1. зашифрованный файл не удаляется (видимо так и должно быть)
2. создается масса идентичных копий расшифрованного файла (постоянно добавляется .decryptedKLR). Потому Вам придется удалять лишние копии вручную, оставив только одну, которую потом придется вручную переименовывать в нормальное имя

Об этих нюансах я сообщу автору утилиты

На данный момент другого выхода нет

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения вредоносные программы в карантинах не обнаружены