Зашифровались файлы с добавлением к расширению файла [email protected]_X57

[Man Guru]

Вчера после работы в интернет почувствовал замедление работы компьютера. Перезагрузил его. При загрузке системы (Windows XP SP3 32bit) установленный антивирус NOD32 Smart Security показал активность троянов. Перезагрузился в безопасном режиме другим пользователем, сделал восстановление системы на более ранюю дату, удалил из автозагрузки службы и программы не Microsoft и не точно известных установленных мной программ.
После загрузки в обычном режиме имею на 80% файлов с расширениями JPG, ZIP,7Z,RAR,DOC, XLS, XML, DBF и возможно некоторых других зашифрованы, к расширению файла добавлено [email protected]_X57.

Вот ссылки на 2 зашифрованных файла для примера:
http://yadi.sk/d/YBVMHyxZ758yi
http://yadi.sk/d/UuLe2B0H75912

В результате сканирования дисков компьютера NOD2 Smart Security на диске C: было обнаружено и удалено нескольео файлов с троянами.
DR-WEB CureIt в безопасном режиме не нашел ничего.
Файлы с логами прилагаю.

[Info_bot]

Уважаемый(ая) Man Guru, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Дешифратором для данной модификации пока никто не поделился

[Man Guru]

Проверьте, пож, мои логи после чистки

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\DOCUME~1\4346~1\LOCALS~1\Temp\3fe58.exe','');
 DeleteFile('C:\DOCUME~1\4346~1\LOCALS~1\Temp\3fe58.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\dhzadirnhs.job','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Man Guru]

Провел небольшую переписку с авторами шифровальщика.
На первое письмо им ответ следующий:

Здравствуйте, дорогие советские друзя! Для разблокировки и получения дешифратора, Вам необходимо
пожертвовать детям африки 2 биткоина при помощи электронного платежа по курсу https://metabank.ru/.Так же для проверки,
вы можете прислать нам зашифрованный файл, мы дешифруем и вышлем ваш файл в исходном состоянии.

Во втором письме выслал им самый важный для зашифрованный файл. В ответе - файл с исходнвм состоянием и сообщение:

Файл дешифрован .Мы сожалеем ,что таким нелицеприятным способом просим помощь ,но уверяем вас ,мы не желаем зла и все ваши файлы вернуться.Всё просто.Пожертвование можно произвести путём перечисления на Bitcoin (биткоин) кошелёк с Яндекса или QIWI , через любой сайт обменивающий электронные деньги на Bitcoin (биткоин) ,допустим https://www.alfacashier.com/ или https://metabank.ru/buy наш биткойн кошелёк 14RH57F11xcsQadfuRUnXLo2hhvMHk4idr
================================================== =================================================
Например, регистрируете свой телефон на https://www.qiwi.ru/main.action через терминал QIWI пополняете счёт меняете на Bitcoin (биткоин) https://www.alfacashier.com/ или https://metabank.ru/buy и переводите нам 2 биткоина(автоматом с вашего киви на наш биткоин) наш биткоин кошелёк 14RH57F11xcsQadfuRUnXLo2hhvMHk4idr После оплаты , отправьте письмо с текстом" оплата произведена".В ответном письме получите дешифратор ,код и инструкцию.Также ,вам будут даны рекомендации по безопасности от самих производителей этих опасностей,дабы ваши корабли впредь не садились на пиратскую мель.

Еще пара следующих писем касалась оплаты.
Ответы приходят в течение 10-15 минут, отвечает "живой мозг", а не бот.

- - - Добавлено - - -

Скрипт выполнил, проверьте, пож, новые логи

[Man Guru]

Проверьте, пож:

[Man Guru]

Прошу проверить логи, которые выложил в предыдущем сообщении

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены