Словили шифровальщик [email protected] [Trojan.Win32.Reconyc.ccuv, Trojan-Ransom.Win32.Cryakl.ag ]

[MARINA2299]

Добрый день!
Все признаки аналогичны описанным в теме http://virusinfo.info/showthread.php?t=164131
Пришло письмо от приставов со ссылкой
Чтобы открыть ссылку, пришлось отключить avast (он не пускал)
большинство файлов успели зашифроваться
Когда avast включили обратно, он зловреда изолировал.
Всё это происходило 4 августа.
то, что вытащено из avasta и прочее подозрительное
[удалено]
пример зашифрованых файлов вместе с найденными в другом месте незашифроваными оригиналами
http://rghost.ru/57973049
ПАРОЛИ НА АРХИВЫ virus

[Info_bot]

Уважаемый(ая) MARINA2299, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Откройте AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Исправьте:

>>  Повреждены настройки SafeBoot

1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите sitlog.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
6. Прикрепите эти отчеты в вашей теме.

[MARINA2299]

выполнено
SITLog.txt (179.1 Кб)
SITLog_Info.txt (115.7 Кб)

[mike 1]

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
QuarantineFileF('C:\Program Files\decryptfiles', '*.exe', true, ' ', 0, 0);
QuarantineFileF('C:\Documents and Settings\All Users\Application Data\TEMP', '*.exe', true, ' ', 0, 0);
QuarantineFileF('C:\Program Files\информационные теле системы', '*.exe', true, ' ', 0, 0);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Удалите вручную эти папки:

04.08.2014 15:31:43 ----D---- C:\Program Files\decryptfiles
04.08.2014 15:31:37 ----D---- C:\Documents and Settings\All Users\Application Data\TEMP
04.08.2014 15:31:36 ----D---- C:\Program Files\информационные теле системы

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[MARINA2299]

при попытке загрузки карантина получаем сообщение
Результат загрузки

Ошибка загрузки. Данный файл уже был загружен

но это не важно, так как архив внутри пустой - там нет ни одного файла:
как было отмечено выше, сам вирус был изолирован AVAST'ом,
впоследствии извлечён из карантина AVAST'а и отправлен на rhost (ссылка здесь выше была удалена). Могу отправить ещё раз любым удобным вам способом

папки удалены

AdwCleaner[R0].txt прилагаю

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

и отправлен на rhost (ссылка здесь выше была удалена)

Ссылку я удалил потому что у нас для вредоносных файлов есть специальная форма для загрузки таких файлов.

Могу отправить ещё раз любым удобным вам способом

Пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[MARINA2299]

Результат загрузки
Файл сохранён как 140912_141741_virus_541300854df50.zip
Размер файла 8768352
MD5 f62b2dbca900d5e5f928bf71b2a4c520

p.s. прошу учесть, восстанавливать работоспособность этой системы не нужно/бессмысленно (проще отформатировать диск и переустановить заново систему и программы); наша цель - попытаться расшифровать файлы.

вопрос с удалением ненужных папок/программ крайне сложен, отложили до понедельника. нам надо будет до удаления извлечь логины и пароли из браузеров, аськи, мэйла . . . извините за задержку. Вопрос совсем не срочный - зашифровались семейные архивы, в основном старые фотки, которые очень хочется восстановить.

спасибо.

[thyrex]

С расшифровкой не поможем

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. \000\attachment.scr - Trojan.Win32.Reconyc.ccuv ( BitDefender: Trojan.GenericKD.1792796 )
  2. \000\svchost.exe - Trojan-Ransom.Win32.Cryakl.ag ( BitDefender: Trojan.GenericKD.1794264, AVAST4: Win32:Trojan-gen )