AES256 [not-a-virus:HEUR:AdWare.Win32.DealPly.heur, Trojan-Ransom.MSIL.Lortok.p ]

[sigman]

Помогите с расшифровкой файлов плиз---Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.TOR: https://www.torproject.org/ | Видео инструкция: http://youtu.be/43feBLwHzn0url_1: http://y6kpyefykdvswxps.onion:4567/pay.htmlurl_2: http://gi3ruskskqzff2rw.onion:4567/pay.htmlHashKey: b28db0fcf240e6985c5de454efa17c2cID: 14023---

[Info_bot]

Уважаемый(ая) sigman, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Логи AVZ пришлите нужные

[sigman]

Готово!

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\RUS\appdata\roaming\update~1\update~1\update~1.exe','');
 QuarantineFile('C:\Users\RUS\appdata\roaming\mail.ru newgamest\api.dll','');
 QuarantineFile('C:\Users\RUS\AppData\Local\PriceMeter\pricemeterd.exe','');
 QuarantineFile('C:\Program Files (x86)\ClearThink\updateClearThink.exe','');
 QuarantineFile('C:\Program Files (x86)\WebSpades\updateWebSpades.exe','');
 QuarantineFile('C:\Program Files (x86)\BrowseSmart\bin\utilBrowseSmart.exe','');
 QuarantineFile('C:\Program Files (x86)\ClearThink\bin\utilClearThink.exe','');
 QuarantineFile('C:\Program Files (x86)\WebSpades\bin\utilWebSpades.exe','');
 DeleteService('Util WebSpades');
 DeleteService('Util ClearThink');
 DeleteService('Util BrowseSmart');
 DeleteService('Update WebSpades');
 DeleteService('Update ClearThink');
 DeleteFile('C:\Program Files (x86)\WebSpades\bin\utilWebSpades.exe','32');
 DeleteFile('C:\Program Files (x86)\ClearThink\bin\utilClearThink.exe','32');
 DeleteFile('C:\Program Files (x86)\BrowseSmart\bin\utilBrowseSmart.exe','32');
 DeleteFile('C:\Program Files (x86)\WebSpades\updateWebSpades.exe','32');
 DeleteFile('C:\Program Files (x86)\ClearThink\updateClearThink.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('C:\Program Files (x86)\Google\chrome.bat','32');
 DeleteFile('C:\Program Files (x86)\Launcher.bat','32');
 DeleteFile('C:\Program Files (x86)\Opera\opera.exe.bat','32');
 DeleteFile('C:\Users\RUS\AppData\Local\Yandex\YandexBrowser\Application\browser.url','32');
 DeleteFile('C:\Users\RUS\AppData\Local\amigo.bat','32');
 DeleteFile('C:\Users\RUS\AppData\Local\ok.bat','32');
 DeleteFile('C:\Users\RUS\AppData\Local\vk.bat','32');
 DeleteFile('C:\Users\RUS\AppData\Local\PriceMeter\pricemeterd.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\pricemeterdownloader','64');
 DeleteFile('C:\Users\RUS\appdata\roaming\mail.ru newgamest\api.dll','32');
 DeleteFile('C:\Users\RUS\appdata\roaming\update~1\update~1\update~1.exe','32');
 BC_ImportAll;
ExecuteSysClean;
 BC_DeleteFile('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.443\baiduprotect.exe');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\ad.dll');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\7z.dll');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDKitUtils.dll');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDLogicUtils.dll');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMNet.dll');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMReport.dll');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\DriverManager.dll');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
 BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
 BC_DeleteSvc('BDSGRTP');
 BC_DeleteSvc('bd0001');
 BC_DeleteSvc('bd0004');
 BC_DeleteSvc('BDArKit');
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT
Сделайте такой лог

[sigman]

Есть!

[Vvvyg]

Перетащите лог CheckBrowserLnk.log на утилиту ClearLNK. Отчёт о работе прикрепите.

Удалите в MBAM (переместите в карантин) всё, кроме:

PUP.Riskware.Patcher, D:\INSTAL\3D-Coat 4.0.13.Win64\crack\3d-coat.4.0.09.(64.bits)-MPT.exe, , [71d79a7887f5ec4a3f41f52ad8299a66], 
PUP.RiskwareTool.CK, D:\INSTAL\Adobe Flash Professional CS6 12.0.0.481 MULTi  ?*N?N?N???????\Adobe Flash CS6 crack\amtlib.dll, , [c484f81af5874fe7ab1b4af79e64966a], 
PUP.Keygen.Intro, D:\INSTAL\Adobe Illustrator CS6 16.2.0\????N??????°N???N?\keygen-CORE\CORE10k.EXE, , [44046da54b31350172283a875ba9ab55], 
Trojan.Agent.CK, D:\INSTAL\Adobe Illustrator CS6 16.2.0\????N??????°N???N?\keygen-CORE\keygen.exe, , [cc7c3fd3fd7f93a39ed6e8a35ca4946c], 
PUP.RiskwareTool.CK, D:\INSTAL\Adobe Illustrator CS6 16.2.0\????N??????°N???N?\keygen-X-FORCE\xf-mccs6.exe, , [0f3970a2eb913ef8b4f664606f910ef2], 
PUP.Riskware.Patcher, D:\INSTAL\Adobe Illustrator CS6 16.2.0\?????°N??°?»?° ??N???N?N?N?N? N?N?N? ???°????N? ?? ??N???N???N??°N?N? ????N?N?N?N???N???N?\aam-patch.painter.exe, , [e464a76bd0acb97dbbc542dd768bd22e], 
PUP.RiskwareTool.CK, D:\INSTAL\Adobe photoshop CS6 13.0 [Extended x86+x64] (2012)\Patch\adobe.photoshop.cs6.patch.exe, , [0d3b15fd720a84b2849c04b052aec23e], 
PUP.RiskwareTool.CK, D:\INSTAL\Adobe_Illustrator_CS6_16.0.2_32bit_en\ILLUSTRATOR\App\Ai\Support Files\Contents\Windows\amtlib.dll, , [d96f8a88b2ca1a1cb412f1503ec4f709], 
RiskWare.Tool.CK, D:\INSTAL\Office_Professional\keygen.exe, , [d672070b84f83ef8678940d071917a86], 
Trojan.Downloader, D:\INSTAL\plugins fo 3DMAX\Lumonix.Skin.FX.V2.08.For.3ds.Max.9-2010-XFORCE\Crack\XF-Lumonix-KG.exe, , [291fcb477ffd4aec28cabfa4d729fc04], 
RiskWare.Tool.HCK, D:\INSTAL\Poser Pro 2012\Crack PP2012x32\core_keygen.rar, , [52f6ad6567150432d3db211327dbd32d], 
RiskWare.Tool.HCK, D:\INSTAL\Poser Pro 2012\Crack PP2012x32\core_keygen\core_keygen.exe, , [f157c052e99352e4a20cce660101eb15], 
PUP.RiskwareTool.CK, D:\INSTAL\After Effects CS6 Porteble\Adobe_After_Effects_CS6_En\Adobe After Effects CS6\App\Ae\Support Files\amtlib.dll, , [d474030f80fc0f27ecdbd170956df60a], 
Trojan.HTKeyGen, D:\INSTAL\Autodesk 3ds Max & 3ds Max Design 2011 ISO\activation\keygens\xf-a2011-32bits.exe, , [c2867a98aece59ddec8e6ce935ccf10f], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk 3ds Max & 3ds Max Design 2011 ISO\activation\keygens\xf-a2011-64bits.exe, , [143422f0fa82f54131ac060a2ed4c937], 
RiskWare.Tool.CK, D:\INSTAL\AutoDESK MAYA 2013 64bit\AutoDESK MAYA 2013 64bit\maya2013_x64\Crack\xf-maya2013_x32.exe, , [ed5b7a98cbb1e6509618dded6d930000], 
RiskWare.Tool.CK, D:\INSTAL\AutoDESK MAYA 2013 64bit\AutoDESK MAYA 2013 64bit\maya2013_x64\Crack\xf-maya2013_x64.exe, , [7eca43cfaad2999d29859c2ec040ca36], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Motionbuilder 2013\x32\Crack\xf-mb2013_x32.exe, , [c385f919f389b680e2cc04c62fd10bf5], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Motionbuilder 2013\x32\Crack\xf-mb2013_x64.exe, , [3a0e987a2e4efd39c5e9c20860a07090], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Motionbuilder 2013\x64\Crack\xf-mb2013_x32.exe, , [60e8b45e4c30bb7bb4fad9f1d22ea957], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Motionbuilder 2013\x64\Crack\xf-mb2013_x64.exe, , [df69a36f730937ffdcd25a7018e803fd], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Mudbox 2013\x32\Crack\xf-mudbox2013_x32.exe, , [4dfb27ebdca068ce37778b3f2bd52dd3], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Mudbox 2013\x32\Crack\xf-mudbox2013_x64.exe, , [74d40d050f6d96a08d2158726b95c33d], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Mudbox 2013\x64\Crack\xf-mudbox2013_x32.exe, , [af9950c28bf13df9921c27a334ccc43c], 
RiskWare.Tool.CK, D:\INSTAL\Autodesk Mudbox 2013\x64\Crack\xf-mudbox2013_x64.exe, , [95b370a2631982b4c7e79f2be020c43c], 
PUP.RiskwareTool.CK, D:\INSTAL\VITSOFT\ILLUSTRATOR\App\Ai\Support Files\Contents\Windows\amtlib.dll, , [f1575eb4ff7d0f27dcea96abe31fda26], 
Trojan.Downloader, D:\INSTAL\ZBrush v3.1 + Keygen\XF-ZBrush3-KG.exe, , [37118e84255778beee754ad6e51d9967], 
PUP.RiskwareTool.CK, D:\INSTAL\?°??N??????°N???N? CS6 amtlib.dll\32-bit\amtlib.dll, , [92b69979d3a961d5685e29184bb705fb], 
PUP.RiskwareTool.CK, D:\INSTAL\?°??N??????°N???N? CS6 amtlib.dll\64-bit\amtlib.dll, , [3f0966acdba1c76f9b2c132e927041bf], 
Trojan.Agent.CK, D:\INSTAL\Autodesk_Maya_2014_SP3_EN_x64\xf-adsk64.exe, , [f157f121f88488ae7eaad3a5a55d9769], 
PUP.Optional.Softonic.A, D:\RUS\Downloads\kmplayer_downloader (1).exe, , [86c2a66c8fed999df96dbb781fe204fc], 
PUP.Optional.Softonic.A, D:\RUS\Downloads\kmplayer_downloader.exe, , [cd7b30e27309f5414c1ab67d46bb19e7], 
PUP.Optional.BundleInstaller.A, D:\RUS\Downloads\FreeCodecPackSetup_v83b1ef.exe, , [15333fd3e894fd3939e030a424e0a35d], 
PUP.Optional.OpenCandy, D:\RUS\Downloads\DTLite4481-0347.exe, , [1f2959b91c60bf77e11ffb439c698080], 
RiskWare.Tool.HCK, D:\RUS\Downloads\Poser Pro 2012\ppr212w32\Crack PP2012x32\core_keygen.rar, , [53f5b45e512b24120ba351e30ef4d828], 
PUP.Keygen.Intro, D:\RUS\Downloads\Adobe Illustrator CS6 16.2.0\????N??????°N???N?\keygen-CORE\CORE10k.EXE, , [61e7e62c4d2f2e088b0ffbc6de264db3], 
Trojan.Agent.CK, D:\RUS\Downloads\Adobe Illustrator CS6 16.2.0\????N??????°N???N?\keygen-CORE\keygen.exe, , [2226838f7efe84b263117516a759f60a], 
PUP.RiskwareTool.CK, D:\RUS\Downloads\???????°N? ???°?????°\32bit\amtlib.dll, , [94b49d75df9df046873f1a2732d014ec], 
PUP.RiskwareTool.CK, D:\RUS\Downloads\???????°N? ???°?????°\64bit\amtlib.dll, , [d96fc54d4f2d91a5e3e4093827db16ea],

[sigman]

Сделано!

[mike 1]

1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите sitlog.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
6. Прикрепите эти отчеты в вашей теме.

[sigman]

Сделано

[mike 1]

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c6f2726949c160641c926f27cba0ac4d&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c6f2726949c160641c926f27cba0ac4d&text=
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: (no name) - {B29002A0-87A1-4DC4-AC55-5982034EB61E} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c6f2726949c160641c926f27cba0ac4d&text=
O20 - AppInit_DLLs: c:\progra~2\sw-boo~1\assist~1.dll

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

[sigman]

есть

[mike 1]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

KillAll::

File::
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\bd64_x86.dll
c:\windows\system32\bd64_x64.dll
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
C:\opera.bat
C:\firefox.bat
C:\iexplore.bat

Driver::
BDSafeBrowser
bd0004
BDArKit
BDSGRTP


Folder::
c:\users\RUS\AppData\Roaming\Mail.RU NewGamesT
c:\users\RUS\AppData\Roaming\Microsoft DB
c:\users\RUS\AppData\Roaming\Baidu
c:\programdata\Baidu
c:\program files (x86)\Common Files\Baidu
c:\program files (x86)\baidu
c:\users\RUS\AppData\Roaming\UpdaterEX
c:\users\RUS\AppData\Roaming\WebExtend
c:\users\RUS\AppData\Roaming\GemWare

Registry::

FileLook::

DirLook::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[sigman]

Отправляю

[mike 1]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

KillAll::

File::
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\bd64_x86.dll
c:\windows\system32\bd64_x64.dll
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
C:\opera.bat
C:\firefox.bat
C:\iexplore.bat

Driver::

Folder::
c:\users\RUS\AppData\Roaming\ICL
c:\users\RUS\AppData\Local\Win_update

Registry::

FileLook::

DirLook::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[sigman]

Спасибо!

А как таки быть с зашифрованными AES256 файлами, не подскажите?

[mike 1]

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"



Скачайте OTCleanIt, запустите, нажмите Clean up

Эти файлы удалите вручную:

c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\bd64_x86.dll
c:\windows\system32\bd64_x64.dll
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
C:\opera.bat - скрытый
C:\firefox.bat - скрытый
C:\iexplore.bat - скрытый

А как таки быть с зашифрованными AES256 файлами, не подскажите?

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

+

1. Скачайте CheckBrowserLnk и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите checkbrowserlnk.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы на рабочем столе будет сохранен отчет CheckBrowserLnk.log
5. Прикрепите этот отчет в вашей теме.

[sigman]

Логи

- - - - -Добавлено - - - - -

http://support.kaspersky.ru/viruses/disinfection/10556 Не помогло.

[mike 1]

Значит с расшифровкой не поможем.

[mike 1]

Информация

Внимание! Данный дешифратор предназначен только для пользователя sigman
Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

Дешифратор

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.