Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 21.

Зашифровал файлы с заменой расширения на .just [not-a-virus:AdWare.Win32.DealPly.y ] (заявка № 165221)

  1. #1
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36

    Зашифровал файлы с заменой расширения на .just [not-a-virus:AdWare.Win32.DealPly.y ]

    Доброго времени суток!

    Помогите, пожалуйста расшифровать файлы документов за 6 лет работы.
    Файлы документов с расширением .doc, .xls, .pdf получили новое расширение .just и не открываются. При удалении расширения .just и просмотре в редакторе открывается нечитаемый набор букв или вообще не открывается. В папках с документами оставлен тестовый файл MESSAGE.txt со следующим текстом:
    "Покупка декриптора:[email protected]
    Ключ хранится до 17.08.2014
    Обращения после 17.08.2014 будут игнорироваться.
    При обращении укажите в теме письма ваш ID:2277182380

    Письма обрабатываются автоматической системой.
    Возможны задержки ответов"
    На компьютере стоит антивирус Касперского... Не помог...

    Помогите, пожалуйста!!!!
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,287
    Вес репутации
    378
    Уважаемый(ая) DoctorStas, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Дополнительно прилагаю несколько зашифрованных файлов, находящихся на Яндекс-диске
    https://yadi.sk/d/PlZs25_Ya6Gg6

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Здравствуйте!

    Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

    Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

    Код:
    begin
     ExecuteAVUpdate;
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
      then
       begin
        SearchRootkit(true, true);
        SetAVZGuardStatus(true);
       end;
     ClearQuarantine;
     QuarantineFile('C:\Users\e.suhova\appdata\roaming\digita~1\update~1\update~1.exe','');
     QuarantineFile('C:\Users\e.suhova\adobesystem.exe','');
     QuarantineFile('C:\Users\E50BB~1.SUH\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
     DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\MESSAGE.txt','32');
     DeleteFile('C:\Users\e.suhova\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\MESSAGE.txt','32');
     DeleteFile('C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\MESSAGE.txt','32');
     DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
     DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
     DeleteFile('C:\Users\e.suhova\adobesystem.exe','32');
     DeleteFile('C:\Users\e.suhova\appdata\roaming\digita~1\update~1\update~1.exe','32');
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);   
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;    
    RebootWindows(false);
    end.
    Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

    Код:
    R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
    O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
    O4 - Startup: MESSAGE.txt
    O4 - Global Startup: MESSAGE.txt
    Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

    • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
    • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
    • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
    • Прикрепите отчет к своему следующему сообщению.


    Подробнее читайте в этом руководстве.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  6. #5
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Спасибо за помощь!!!
    Выполнил все действия согласно вашему сообщению и прилагаю отчет.

    Еще раз спасибо!
    Вложения Вложения

  7. #6
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
    • По окончанию сканирования снимите галочки со следующих строк:
      Код:
      Папка Найдено : C:\Program Files\Mail.Ru
      Папка Найдено : C:\Users\e.suhova\AppData\Local\Mail.Ru
      Папка Найдено : C:\Users\e.suhova\AppData\LocalLow\Mail.Ru
      Файл Найдено : C:\Users\e.suhova\AppData\Roaming\Microsoft\Internet Explorer\qipsearchbar.dll
    • Нажмите кнопку "Clean" и дождитесь окончания удаления.
    • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
    • Прикрепите отчет к своему следующему сообщению

    Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

    Подробнее читайте в этом руководстве.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  8. #7
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Выполнил все по инструкции. Файл прилагаю.
    Вложения Вложения

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Логи в порядке. Больше помочь особо нечем.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  10. #9
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Я правильно понимаю, что расшифровать файлы не получится и документы за 6 лет работы потеряны безвозвратно?

  11. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Без оригинального дешифратора не получится. Оригинальный дешифратор есть только у автора этого шифратора.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  12. #11
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Спасибо большое за помощь!

    Помогите, пожалуйста, с почтой разобраться.
    Как я понимаю, вирус мы удалили.
    Открываю почту в MS Outlook, захожу в письмо, где есть вложение, открываю вложение, и в результате открывается ДВА окна. В одном сообщение о покупке декриптора у автора вируса, а во втором окне нормально открывается приаттаченный файл.
    Как убрать первое окно с сообщением о покупке декриптора? Чтобы уже ничего не напоминало о вирусе...

    Спасибо!

  13. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Зачем второй раз запустили вложение с шифратором?
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  14. #13
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Я его не запускал. Зашел в Outlook и открыл вложения из письма ДО даты получения вируса.
    Потом открыл сегодняшнее вложение. Картина одинаковая!
    Сделал поиск файлов по расширению .just. Все файлы датируются 14.08.2014.
    Специально для проверки активности вируса сохранил из почты на рабочий стол несколько документов. Запускал их с рабочего стола. Через час расширение осталось неизменным.

    Что делать с Outlook? Как обнаружить письмо с вирусом?

  15. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Что делать с Outlook? Как обнаружить письмо с вирусом?
    Если письмо уже удалили, то уже не найдете его. Вирус по окончанию шифрования сам удаляется из системы.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  16. #15
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Письмо я не удалял. Оно могло само удалиться?

    Тогда что заставляет при открытии приаттаченного файла в почте открывать второе окно с информацией о вирусе? Сегодня попробовал на новых сообщениях, в .xls файлах открывает два окна. В .doc и .pdf одно.

  17. #16
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Письмо я не удалял. Оно могло само удалиться?
    Нет. Либо кто-то другой мог его удалить.

    Тогда что заставляет при открытии приаттаченного файла в почте открывать второе окно с информацией о вирусе? Сегодня попробовал на новых сообщениях, в .xls файлах открывает два окна. В .doc и .pdf одно.
    Вот эту часть вопроса я не понял.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  18. #17
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Попробую сформулировать по другому.

    Что имеем:
    1. Вылеченную машину (вирусов нет);
    2. Рабочую почту, где все приаттаченные файлы, как до вируса, так и после не изменили своего расширения и открываются в соответствующих программах;
    3. Отсутствие в почте письма с вирусом.

    Что получаем:
    Заходим в письмо у которого есть вложение в формате .xls. Без разницы в какое, до даты запуска вируса или совсем свежее. Дважды щелкаем на вложении и открываем в MS Exel. Открываются ДВА окна. В одном открывается MESSAGE.txt, а в другом нормально открывается вложенный в почту файл. При открытии вложения в формате .pdf, .jpg и .doc открывается одно окно с читаемым текстом из приаттаченного файла.
    Откуда берется в MS Exel окно с текстом про вирус если все удалено?

  19. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Откуда берется в MS Exel окно с текстом про вирус если все удалено?
    При запущенном Excel с открытым блокнотом сделайте такой лог

    1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
    2. Распакуйте архив с утилитой в отдельную папку
    3. Запустите sitlog.exe
      Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
    4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
    5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
    6. Прикрепите эти отчеты в вашей теме.
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  20. #19
    Junior Member Репутация
    Регистрация
    20.08.2014
    Сообщений
    10
    Вес репутации
    36
    Спасибо за Вашу помощь!!!

    Прилагаю запрашиваемые файлы.

    Спасибо!
    Вложения Вложения

  21. #20
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,908
    Вес репутации
    1060
    Вот эти файлы все файлы можно в принципе удалить, оставив только одно из этих.

    Код:
    14.08.2014 11:23:17 ----A---- C:\Windows\System32\drivers\MESSAGE.txt
    14.08.2014 11:23:15 ----A---- C:\Windows\System32\MESSAGE.txt
    14.08.2014 11:23:02 ----A---- C:\Windows\Fonts\MESSAGE.txt
    14.08.2014 11:22:53 ----A---- C:\Windows\MESSAGE.txt
    14.08.2014 11:21:33 ----A---- C:\Users\e.suhova\Favorites\MESSAGE.txt
    14.08.2014 10:51:10 ----A---- C:\Users\e.suhova\Documents\MESSAGE.txt
    14.08.2014 10:49:32 ----A---- C:\Users\e.suhova\Desktop\MESSAGE.txt
    14.08.2014 10:49:24 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
    14.08.2014 10:49:24 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
    14.08.2014 10:49:16 ----A---- C:\Users\e.suhova\AppData\Roaming\MESSAGE.txt
    14.08.2014 10:37:01 ----A---- C:\Users\e.suhova\MESSAGE.txt
    14.08.2014 10:36:34 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
    14.08.2014 10:36:34 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
    14.08.2014 10:36:13 ----A---- C:\Users\Public\Documents\MESSAGE.txt
    14.08.2014 10:36:13 ----A---- C:\Users\Public\Desktop\MESSAGE.txt
    14.08.2014 10:36:02 ----A---- C:\ProgramData\MESSAGE.txt
    14.08.2014 10:25:18 ----A---- C:\Program Files\Common Files\MESSAGE.txt
    14.08.2014 10:22:15 ----A---- C:\Program Files\MESSAGE.txt
    14.08.2014 11:23:15 ----A---- C:\Windows\System32\MESSAGE.txt
    14.08.2014 11:22:53 ----A---- C:\Users\Public\Documents\MESSAGE.txt
    14.08.2014 11:22:53 ----A---- C:\Users\Public\Desktop\MESSAGE.txt
    14.08.2014 11:22:53 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
    14.08.2014 11:22:53 ----A---- C:\Windows\MESSAGE.txt
    14.08.2014 11:22:52 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
    14.08.2014 11:22:45 ----A---- C:\ProgramData\MESSAGE.txt
    14.08.2014 11:22:09 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
    14.08.2014 11:22:09 ----A---- C:\Users\e.suhova\Documents\MESSAGE.txt
    14.08.2014 11:21:33 ----A---- C:\Users\e.suhova\Favorites\MESSAGE.txt
    14.08.2014 10:49:32 ----A---- C:\Users\e.suhova\AppData\Roaming\MESSAGE.txt
    14.08.2014 10:49:32 ----A---- C:\Users\e.suhova\Desktop\MESSAGE.txt
    14.08.2014 10:49:24 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
    14.08.2014 10:25:18 ----A---- C:\Program Files\Common Files\MESSAGE.txt
    14.08.2014 10:22:15 ----A---- C:\Program Files\MESSAGE.txt
    Инструкции выполняются в том порядке, в котором они вам даны.
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 30 дней => https://clck.ru/FKsBt

  • Уважаемый(ая) DoctorStas, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 4
      Последнее сообщение: 08.01.2014, 20:53
    2. КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt зашифровал все расширения .qwerty
      От Вадим Николаев в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 09.09.2013, 19:54
    3. Ответов: 2
      Последнее сообщение: 06.08.2013, 12:13
    4. Ответов: 4
      Последнее сообщение: 19.06.2013, 15:18
    5. Ответов: 2
      Последнее сообщение: 14.02.2013, 15:40

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01098 seconds with 18 queries