Файлы DBF и XLS в базе 1С зашифровались [not-a-virus:RemoteAdmin.Win32.Ammyy.bc, not-a-virus:Monitor.Win32.KeyLogger.heur ]

[Sagdas]

Помогите! файлы сменили расширение

.id-{FGGIJKKKLMNOOOPQRSSSTUVWXXXYZABBBCDE-11.07.2014 4@09@547966421}[email protected][/email]

11.07.2014 4:19:28
Программа:	TSTheme Server Module - C:\Windows\System32\TSTheme.exe
Активность Программ:	Выход

---

42.	Дата:	11.07.2014 4:19:20
Программа:	TSTheme Server Module - C:\Windows\System32\TSTheme.exe
Активность Программ:	Запуск с параметрами: -Embedding

---

Дата:	11.07.2014 4:12:19
Программа:	Проводник - C:\Windows\explorer.exe
Заголовок окна:	1С_Разное Дата: 11.07.2014 4:10:18 Программа: Проводник - C:\Windows\explorer.exe Операции с файлами: Удаление Файлы: C:\Users\гостиница\Desktop\build.exe 57. Дата: 11.07.2014 4:09:54 Программа: Build - C:\Users\гостиница\AppData\Local\Temp\4\RarLab\bui ld.exe Активность Программ: Запуск 58. Дата: 11.07.2014 4:09:42 Программа: Build - C:\Users\гостиница\Desktop\build.exe Активность Программ: Запуск
	79.134.2.90

---

[Info_bot]

Уважаемый(ая) Sagdas, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

MPK-кейлоггер сами устанавливали?

[Sagdas]

MPK-кейлоггер сами устанавливали?

Да !!! Думаете это он ???

[thyrex]

Нет.

Я думаю, что этот компьютер мог и не быть источником заражения
C:\Users\гостиница - это папка на данном компьютере? Если это так, то зашли по RDP

[Sagdas]

Нет.

Я думаю, что этот компьютер мог и не быть источником заражения

Год точно кейлогер работает,и всё нормально было. В кейлогере странные вещи происходили.

вот например....
Дата: 11.07.2014 4:19:16
Программа: Диспетчер задач Windows - C:\Windows\System32\taskmgr.exe
Активность Программ: Выход
44. Дата: 11.07.2014 4:18:03
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 178.236.141.237@Дмитрий;123 ?
45. Дата: 11.07.2014 4:18:01
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Тип события: По срабатыванию таймера
Снимки Экрана:
46. Дата: 11.07.2014 4:14:49
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: direktor
47. Дата: 11.07.2014 4:14:37
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 212.19.23.147
48. Дата: 11.07.2014 4:14:28
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 80.242.49.253@бухгалтер;321
49. Дата: 11.07.2014 4:13:14
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 80.242.49.253
50. Дата: 11.07.2014 4:13:02
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 79.134.2.90@buhgalter;1
51. Дата: 11.07.2014 4:13:01
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Тип события: По срабатыванию таймера

[thyrex]

Стало быть это предположение верно

C:\Users\гостиница - это папка на данном компьютере? Если это так, то зашли по RDP

Шел перебор паролей

[Sagdas]

Есть ли возможность расшифровать эти файлы????
52. Дата: 11.07.2014 4:12:27
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: buhgalter
53. Дата: 11.07.2014 4:12:19
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 79.134.2.90
54. Дата: 11.07.2014 4:11:54
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: user
55. Дата: 11.07.2014 4:11:46
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 62.165.54.190
56. Дата: 11.07.2014 4:10:18
Программа: Проводник - C:\Windows\explorer.exe
Операции с файлами: Удаление
Файлы: C:\Users\гостиница\Desktop\build.exe
57. Дата: 11.07.2014 4:09:54
Программа: Build - C:\Users\гостиница\AppData\Local\Temp\4\RarLab\bui ld.exe
Активность Программ: Запуск
58. Дата: 11.07.2014 4:09:42
Программа: Build - C:\Users\гостиница\Desktop\build.exe
Активность Программ: Запуск
59. Дата: 11.07.2014 4:09:39
Программа: Проводник - C:\Windows\explorer.exe
Операции с файлами: Копирование
Из: \\tsclient\C\1\build.exe
В: C:\Users\гостиница\Desktop
60. Дата: 11.07.2014 4:08:24
Программа: 1C:V7 starter program (for SQL) - C:\Program Files (x86)\1Cv77\BIN\1cv7s.exe
Активность Программ: Выход
61. Дата: 11.07.2014 4:04:25
Программа: TSTheme Server Module - C:\Windows\System32\TSTheme.exe
Активность Программ: Выход

Есть ли какой нибудь дешифратор.
Думаю с тем что вломились по RDP более менее понятно.

[thyrex]

C:\Users\гостиница\Desktop\build.exe это был сам шифровальщик. Но для дешифровки он ничем не поможет

Увы, без оригинального дешифратора никак

[Sagdas]

Так ещё одна тема есть...на этом же форуме...(заявка № 162736)

Тоже самое...

[thyrex]

И что из этого должно следовать?

[Sagdas]

Хороший вопрос!!! у меня и у заявки (заявка № 162736) в один день это случилось.
и тот же самый майл [email protected] только и всего.
Смею предположить что это всё таки шифровальщик. Не ?

[thyrex]

Читали?

C:\Users\гостиница\Desktop\build.exe это был сам шифровальщик. Но для дешифровки он ничем не поможет

Если дальнейшие разъяснения требуются, продолжаю: ключ шифрования уникален для каждого компьютера. Универсального дешифратора нет и не предвидится

[Sagdas]

Ясно!! В любом случае спасибо !!!

[Sagdas]

Внимание!
Если Вы читаете это сообщение, значит Ваш компьютер был атакован опаснейшим вирусом.
Вся ваша информация (документы, базы данных, бэкапы и другие файлы) на этом компьютере была зашифрована с помощью самых криптостойких алгоритмов.
Все зашифрованые файлы имеют формат .EBF
Восстановить файлы можно только зная уникальный для вашего пк пароль.
Подобрать его невозможно. Смена ОС ничего не изменит. Ни один системный администратор в мире не решит эту проблему не зная кода.
Ни в коем случае не изменяйте файлы! А если решились, то сделайте резервные копии.
Напишите нам письмо на адрес [email protected] (если в течение суток вам не ответят то на [email protected]) чтобы узнать как получить дешифратор и пароль.
Папка C:\Program Files\Internet Explorer не зашифрована, там вы сможете запустить браузер.
Среднее время ответа специалиста 1-12 часов.
К письму прикрепите файл "ЧТО_НУЖНО_СДЕЛАТЬ.txt".
Письма с угрозами будут угрожать только Вам и Вашим файлам!
НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!



================================================== ==================
eCwwhhqNbUrYnhulwL0Fr41OUxiU3vOi
================================================== ==================

- - - Добавлено - - -

Вот что пришло в этот день.

[thyrex]

Без шансов

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\mpk\mpk.exe - not-a-virus:Monitor.Win32.KeyLogger.heur
  2. c:\users\администратор\downloads\aa_v3.exe - not-a-virus:RemoteAdmin.Win32.Ammyy.bc ( DrWEB: Program.RemoteAdmin.701 )