Зашифровались файлы, расширение *.ctbl

[DDR3_1333]

Зашифровались файлы *.doc, *.docx, *.jpg.. в *.ctbl
Вирус просит 0.3 биткоина

[Info_bot]

Уважаемый(ая) DDR3_1333, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Admin\AppData\Local\Temp\yefagjc.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\024cfa42.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\01f94ed3.exe','');
 QuarantineFile('C:\PROGRA~3\msdwuirt.exe','');
 QuarantineFile('C:\PROGRA~3\LOCALS~1\Temp\mszoaeii.pif','');
 TerminateProcessByName('c:\users\admin\appdata\local\temp\yefagjc.exe');
 QuarantineFile('c:\users\admin\appdata\local\temp\yefagjc.exe','');
 TerminateProcessByName('C:\Users\Admin\AppData\Roaming\Microsoft\sys32\minerd_qv2.2_sse4.exe');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\Microsoft\sys32\minerd_qv2.2_sse4.exe','');
 TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\driver.exe');
 QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\driver.exe','');
 TerminateProcessByName('c:\users\admin\appdata\roaming\microsoft\windows\start menu\programs\startup\driver.exe');
 QuarantineFile('c:\users\admin\appdata\roaming\microsoft\windows\start menu\programs\startup\driver.exe','');
 TerminateProcessByName('c:\users\admin\appdata\roaming\microsoft\sys32\drive.exe');
 QuarantineFile('c:\users\admin\appdata\roaming\microsoft\sys32\drive.exe','');
 DeleteFile('c:\users\admin\appdata\roaming\microsoft\sys32\drive.exe','32');
 DeleteFile('c:\users\admin\appdata\roaming\microsoft\windows\start menu\programs\startup\driver.exe','32');
 DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\driver.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\Microsoft\sys32\minerd_qv2.2_sse4.exe','32');
 DeleteFile('c:\users\admin\appdata\local\temp\yefagjc.exe','32');
 DeleteFile('C:\PROGRA~3\LOCALS~1\Temp\mszoaeii.pif','32');
 DeleteFile('C:\PROGRA~3\msdwuirt.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','4237130392');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','19105');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\01f94ed3.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','System Security');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\024cfa42.exe','32');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','System Security');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','System Security');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driver');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\yefagjc.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\faaocua','64');
 DeleteFile('C:\Windows\system32\Tasks\System Components Update','64');
 DeleteFile('C:\Windows\system32\Tasks\System Security','64');
DeleteFileMask('C:\Users\Admin\AppData\Roaming\Microsoft\sys32', '*', true);
DeleteDirectory('C:\Users\Admin\AppData\Roaming\Microsoft\sys32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9); 
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[DDR3_1333]

А есть шанс восстановить файлы?
Имеются оригиналы к некоторым зашифрованым файлам

[thyrex]

А есть шанс восстановить файлы?

Никаких

Но Вы ведь не хотите, чтобы это продолжалось дальше? Если это так, выполняйте рекомендации

[DDR3_1333]

Никаких

Но Вы ведь не хотите, чтобы это продолжалось дальше? Если это так, выполняйте рекомендации

Сканит все еще..
Может лучше просто переустановить систему?

[thyrex]

Может лучше просто переустановить систему?

А что это даст?

[DDR3_1333]

Новые логи

- - - Добавлено - - -

А если отправить файлы в поддержку dr.web, они смогут расшифровать?

[thyrex]

Поместите в Карантин МВАМ всё, кроме

RiskWare.Tool.CK, C:\Windows\KMSAct.exe, , [cfb03c61bbc07cba4fb2dbfb9c6539c7],

А если отправить файлы в поддержку dr.web, они смогут расшифровать?

С этим в их техподдержку, но только при наличии действующей лицензии на 1 год

[DDR3_1333]

thyrex, и на этом спасибо!