Проблема с шифровальщиком

[citrade]

Потеряны файлы MS Office, архивы, база 1С, графические файлы, pdf.
Пришло письмо о судебном исполнении - бухгалтер прошла по ссылке, скачался файл с расширением scr - скринсэйвера. Ну и дальше понятно. Сам файл был в архиве и тоже зашифровался. В суматохе удалили и письмо и эту заразу.
Вот ссылка на то что получилось с файлами:
https://www.dropbox.com/s/jn5jalb3lr...er-4.0.0.0.cbf

результаты проверок:

[Info_bot]

Уважаемый(ая) citrade, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\Program Files\decryptfiles\svchost.exe','');
 QuarantineFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','');
 DeleteService('{29b136c9-938d-4d3d-8df8-d649d9b74d02}t');
 SetServiceStart('{29b136c9-938d-4d3d-8df8-d649d9b74d02}t', 4);
 StopService('{29b136c9-938d-4d3d-8df8-d649d9b74d02}t');
 DeleteService('{29b136c9-938d-4d3d-8df8-d649d9b74d02}Gt');
 SetServiceStart('{29b136c9-938d-4d3d-8df8-d649d9b74d02}Gt', 4);
 StopService('{29b136c9-938d-4d3d-8df8-d649d9b74d02}Gt');
 DeleteService('Wpm');
 SetServiceStart('Wpm', 4);
 StopService('Wpm');
 DeleteService('Update Mega Browse');
 SetServiceStart('Update Mega Browse', 4);
 StopService('Update Mega Browse');
 QuarantineFile('C:\WINDOWS\system32\drivers\{29b136c9-938d-4d3d-8df8-d649d9b74d02}t.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\{29b136c9-938d-4d3d-8df8-d649d9b74d02}Gt.sys','');
 QuarantineFile('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe','');
 TerminateProcessByName('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe');
 QuarantineFile('c:\program files\mega browse\updatemegabrowse.exe','');
 TerminateProcessByName('c:\program files\mega browse\updatemegabrowse.exe');
 QuarantineFile('c:\documents and settings\all users\application data\iepluginservice\pluginservice.exe','');
 TerminateProcessByName('c:\documents and settings\all users\application data\iepluginservice\pluginservice.exe');
 DeleteFile('c:\documents and settings\all users\application data\iepluginservice\pluginservice.exe','32');
 DeleteFile('c:\program files\mega browse\updatemegabrowse.exe','32');
 DeleteFile('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{29b136c9-938d-4d3d-8df8-d649d9b74d02}Gt.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\{29b136c9-938d-4d3d-8df8-d649d9b74d02}t.sys','32');
 DeleteFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
 DeleteFile('C:\Program Files\decryptfiles\svchost.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
 DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
 DeleteFileMask('C:\Program Files\decryptfiles', '*', true, ' ');
 DeleteDirectory('C:\Program Files\decryptfiles');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;     
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1396589513&from=cor&uid=ST3320418AS_9VM5FGKEXXXX9VM5FGKE&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1396589513&from=cor&uid=ST3320418AS_9VM5FGKEXXXX9VM5FGKE&q={searchTerms}
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: Визуальные закладки - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O20 - AppInit_DLLs: C:\PROGRA~1\SupTab\SEARCH~1.DLL

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

1. Загрузите GMER по одной из указанных ссылок:
   Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
2. Временно отключите драйверы эмуляторов дисков.
3. Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
4. Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
5. После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
   
   
   • Sections
   • IAT/EAT
   • Show all
6. Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
7. Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
8. После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
9. Подробную инструкцию читайте в руководстве

[citrade]

Все сделаю немного позднее.
Если это может помочь - вот ссылка на то, что нас заразило:

[mike 1]

Вирусы в теме не нужно выкладывать для этого есть система карантинов. Запакуйте вложение в zip архив с паролем virus и пришлите этот архив по красной ссылке вверху вашей темы.

[citrade]

все понял - спасибо за понимание!

Только теперь я потерял ссылку на файл этот - к сожалению.

Еще раз благодарю за понимание!

[mike 1]

Ждем логи

[citrade]

нашел файл - сейчас пришлю

- - - Добавлено - - -

вот отчет AdwCliner:

- - - Добавлено - - -

при проверке GMER не смог ее закончить - вышла ошибка:
Без имени-2.jpg
нажимал на все кнопки - ничего.
Но лог я сохранил сколько получилось

[mike 1]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
• По окончанию сканирования снимите галочки со следующих строк:
  

  Папка Найдено : C:\Documents and Settings\admin\Application Data\Mra
  Папка Найдено : C:\Documents and Settings\admin\Local Settings\Application Data\Mail.Ru
  Папка Найдено : C:\Program Files\Mail.Ru

• Нажмите кнопку "Clean" и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.



Сохраните приведённый ниже текст в файл cleanup.bat в ту же папку, где находится 5qcsoxs3.exe случайное имя утилиты (gmer)

5qcsoxs3.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\nrdycs"
5qcsoxs3.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\nrdycs"
5qcsoxs3.exe -reboot

И запустите сохранённый пакетный файл cleanup.bat.

Внимание: Компьютер перезагрузится!

Сделайте новый лог gmer.

[citrade]

Выкладываю логи как по написанному
GMER1 - сделан после перезагрузки выполнения батника и запуска GMER - как он сделал предварительное сканирование

- - - Добавлено - - -

Сделал еще раз проверку GMER - по инструкции выше - так же проверка срезалась с той же ошибкой - лог выкладываю. - GMER2.log

Благодарю за содействие!

[mike 1]

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

[citrade]

Вот файл ComboFix

[thyrex]

Папку c:\program files\СУДЕБНАЯ ИНФОРМАЦИЯ удалите

[citrade]

Готово - удалил

[thyrex]

Сделайте лог ComboFix

Больше помочь нечем

[citrade]

вот мой последний лог

А подскажите с расшифровкой файлов есть какая-то надежда вообще ?? и куда может можно обратиться?

[thyrex]

Удалите ComboFix

с расшифровкой файлов есть какая-то надежда вообще

Без оригинального дешифратора и ключа - никакой. Их у нас нет

[citrade]

понятно - спасибо

[regist]

citrade, прочитайте эту статью http://virusinfo.info/showthread.php?t=164586
возможно поможет получить нужный ключ для расшифровки

[citrade]

спасибо