AES256

[pelsh]

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция: http://youtu.be/43feBLwHzn0
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: error
ID: 8177

[Info_bot]

Уважаемый(ая) pelsh, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Окс\AppData\Roaming\runWIN\update.exe','');
 QuarantineFile('C:\Users\Окс\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\Окс\AppData\Local\Piratium\PiratiumInit.exe','');
 QuarantineFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','');
 TerminateProcessByName('C:\Users\Окс\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe');
 QuarantineFile('C:\Users\Окс\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFileF('C:\Users\Окс\AppData\Roaming\Mail.RU NewGamesT', '*.*', true,'', 0, 0, '', '');
QuarantineFileF('C:\Users\Окс\AppData\Roaming\runWIN', '*.*', true,'', 0, 0, '', '');
 DeleteFile('C:\Users\Окс\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe.bat','32');
 DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
 DeleteFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
 DeleteFile('C:\Users\Окс\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\Окс\AppData\Roaming\runWIN\update.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewRunWIN');
 DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
DeleteFileMask('C:\Users\Окс\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\Окс\AppData\Roaming\runWIN');
DeleteFileMask('C:\Users\Окс\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\Окс\AppData\Roaming\Mail.RU NewGamesT');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT
Сделайте такой лог

[pelsh]

RSIT почему-то вылетел с ошибкой "Subscript used with non-Array variable." поэтому только один лог получился.

[thyrex]

Поместите в карантин МВАМ всё найденное

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://startovka.ru
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)

Пересоздайте ярлык

C:\Users\Окс\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

Пробуйте сделать логи RSIT еще раз

[pelsh]

Вроде всё сделал правильно, но всё равно ярлыки создаются с расширением .lnk и RSIT так-же крашится при создании снимка реестра. Может стоить систему обновить, а то год без обновы, ~700мб набежало?

[thyrex]

Сделайте лог ComboFix

[pelsh]

вот

[thyrex]

Пробуйте http://rghost.ru/58412716

[pelsh]

Пробуйте http://rghost.ru/58412716

Невозможно подобрать пароль

[thyrex]

Увы

[pelsh]

Жаль, но всё равно спасибо за попытку. Хотя одного не понятно, к чему эти все манипуляции если можно было сразу проверить дешифратор и не мучатся со скриптами и логами? Кстати тут почему-то человечку помогло http://virusinfo.info/showthread.php...=1#post1168002

[thyrex]

к чему эти все манипуляции если можно было сразу проверить дешифратор

Он только сегодня появился

Кстати тут почему-то человечку помогло

Был подходящий ключ

[pelsh]

Он только сегодня появился

Был подходящий ключ

Два подходящих если быть точным

Да чёрт с файлами фотки только жалко, а вот что с ярлыками то делать,? Я их удаляю, и новые создаются шифрованые неизвестно только чем, т.к мы всё ведь пофиксили, как жить дальше, ниодна прога со стола не запускается

[thyrex]

а вот что с ярлыками то делать,? Я их удаляю, и новые создаются шифрованые неизвестно только чем,

Заархивируйте такой ярлык и пришлите

[pelsh]

Заархивируйте такой ярлык и пришлите

Глубоко извиняюсь, дело было не в ярлыках, ассоциацию .LNK пришлось на дефолт вернуть и всё

[thyrex]

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

[pelsh]

thyrex, Спасибо огромное что не забываете и работаете над проблемой! Как только смогу проверить новую версию дешифратора обязательно отпишусь.

[pelsh]

Докладываю
Этот дешифратор отлично справился с поставленной задачей, не расшифровал всего 5 фоток из более 5000 зашифрованных файлов. Ещё раз огромное спасибо всем!

[thyrex]

не расшифровал всего 5 фоток из более 5000 зашифрованных файлов

Размер файлов какой?