Вирус зашифровал файлы (AES256) [Trojan-Ransom.MSIL.Lortok.p ]

**Герман Бакер** · 09.10.2014, 13:54

После скачивания программы интернете в браузере при его открытии открываются левые вкладки. Так продолжалось пару дней, сегодня в определенное время вирус начал зашифровывать файлы (изображения, все виды документов, музыку) в тип AES256. На рабочем столе появился ярлык "Онлайн-консультант".
Также в каждой папке с зашифрованным файлом находится txt с названием "Внимание!Откройте меня" и содержанием "Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

Хотелось бы восстановить зашифрованные файлы и избавиться от этих проблем. Прикрепляю ссылки на примеры зашифрованных файлов и логи проверки.

https://depositfiles.com/files/dykg9p5u5
https://depositfiles.com/files/rxzk3j1a9
https://depositfiles.com/files/i6vg45swv

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 09.10.2014, 13:55

Уважаемый(ая) Герман Бакер, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**mike 1** · 09.10.2014, 14:34

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\users\Бакер\appdata\roaming\steam\reversed\steam.exe');
 TerminateProcessByName('c:\program files (x86)\baidu\bindex.exe');
 TerminateProcessByName('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.542\baiduprotect.exe');
 SetServiceStart('BDSafeBrowser', 4);
 SetServiceStart('BDMWrench', 4);
 SetServiceStart('BDArKit', 4);
 SetServiceStart('bd0004', 4);
 SetServiceStart('bd0001', 4);
 SetServiceStart('BDSGRTP', 4);
 StopService('BDSafeBrowser');
 StopService('BDMWrench');
 StopService('BDArKit');
 StopService('bd0004');
 StopService('bd0001');
 StopService('BDSGRTP');
 QuarantineFile('C:\Users\Бакер\appdata\roaming\mail.ru newgamest\api.dll','');
 QuarantineFile('C:\Users\Бакер\AppData\Roaming\runWIN\Update.exe','');
 QuarantineFile('C:\Users\Бакер\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\Бакер\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
 QuarantineFile('c:\users\Бакер\appdata\roaming\steam\reversed\steam.exe','');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.542\BaiduProtect.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
 DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('C:\Program Files (x86)\baidu\BindEx.exe','32');
 DeleteFile('C:\Users\Бакер\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
 DeleteFile('C:\Users\Бакер\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\Бакер\AppData\Roaming\runWIN\update.exe','32');
 DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineCore.job','64');
 DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineUA.job','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineCore','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineUA','64');
 DeleteFile('C:\Windows\system32\Tasks\Steam-S-1-8-22-9865GUI','64');
 DeleteFile('C:\Users\Бакер\appdata\roaming\mail.ru newgamest\api.dll','32');
 DeleteFile('C:\Users\Бакер\appdata\roaming\steam\reversed\steam.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
 DeleteService('bd0002');
 DeleteService('BDSafeBrowser');
 DeleteService('BDMWrench');
 DeleteService('BDArKit');
 DeleteService('bd0004');
 DeleteService('bd0001');
 DeleteService('BDSGRTP');
 DeleteFileMask('C:\Users\Бакер\appdata\roaming\mail.ru newgamest', '*', true, ' ');
 DeleteFileMask('C:\Users\Бакер\AppData\Roaming\runWIN', '*', true, ' ');
 DeleteFileMask('c:\users\Бакер\appdata\roaming\steam\reversed', '*', true, ' ');
 DeleteFileMask('C:\Program Files (x86)\Common Files\Baidu', '*', true, ' ');
 DeleteDirectory('C:\Users\Бакер\appdata\roaming\mail.ru newgamest');     
 DeleteDirectory('C:\Users\Бакер\AppData\Roaming\runWIN');     
 DeleteDirectory('c:\users\Бакер\appdata\roaming\steam\reversed');     
 DeleteDirectory('C:\Program Files (x86)\Common Files\Baidu');     
BC_ImportAll;
ExecuteSysClean;       
 BC_DeleteFile('c:\program files (x86)\baidu\bindex.exe');
 BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.542\BaiduProtect.exe');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
 BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
 BC_DeleteSvc('BDSGRTP');
 BC_DeleteSvc('bd0001');
 BC_DeleteSvc('bd0004');
 BC_DeleteSvc('BDArKit');
 BC_DeleteSvc('BDMWrench');
 BC_DeleteSvc('BDSafeBrowser');
 BC_DeleteSvc('bd0002');    
BC_Activate;    
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://1kanal.org/?src=hp1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O2 - BHO: (no name) - {ae48ed75-5a56-4c5f-bbce-6f1ac3875f66} - (no file)
O2 - BHO: Визуальные закладки - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKCU\..\Run: [78af7de1204cf3b6beec98d89fd6e37af74933b8] iexplore.exe
O4 - HKCU\..\Run: [LoaderSystemWIN] C:\Users\Бакер\AppData\Roaming\runWIN\Update.exe
O4 - HKCU\..\Run: [RuningWIN32] C:\Users\Бакер\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe
O4 - HKCU\..\Run: [baidu] C:\Program Files (x86)\baidu\BindEx.exe
O4 - HKCU\..\Run: [NewLoadSystemWIN32] C:\Users\Бакер\AppData\Roaming\runWIN\update.exe
O4 - HKCU\..\Run: [Encrypt] C:\Users\Бакер\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе
Распакуйте архив с утилитой в отдельную папку
Запустите FixerBro
Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
В главном окне программы нажмите на кнопку "Проверить"
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)
По окончанию сканирования нажмите на кнопку "Отчет".
Сохраните лог утилиты
Прикрепите сохраненный отчет в вашей теме.

**Герман Бакер** · 09.10.2014, 15:43

Просканировал с помощью AVZ и ADW Cleaner.

- - - - -Добавлено - - - - -

Просканировал с Fixerbro.

- - - - -Добавлено - - - - -

Что мне делать дальше?

**mike 1** · 09.10.2014, 16:23

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".

По окончанию сканирования снимите галочки со следующих строк:

Код:

Папка Найдено : C:\Users\Бакер\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\Бакер\AppData\Local\MailRu
Папка Найдено : C:\Users\Бакер\AppData\LocalLow\Mail.Ru

Нажмите кнопку "Clean" и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

В браузере удалите расширение SuperMegaBest

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

**Герман Бакер** · 09.10.2014, 17:50

Отчет по ADW Cleaner

Указанного расширения в браузере не присутствует

**mike 1** · 09.10.2014, 18:18

Жду лог Combofix.

**Герман Бакер** · 09.10.2014, 19:41

Комбофикс выслал

**mike 1** · 09.10.2014, 20:00

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

Код:

KillAll::

File::
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\bd64_x64.dll
c:\windows\system32\bd64_x86.dll
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\bd0001_1.sys
c:\windows\system32\DRIVERS\BDMWrench_x64.sys
c:\windows\system32\DRIVERS\BDMWrench.sys

Driver::
BDMWrench_x64
BDSafeBrowser
bd0004
BDMWrench

Folder::
c:\programdata\Baidu
c:\users\Бакер\AppData\Roaming\Microsoft DB
c:\program files (x86)\Common Files\Baidu
c:\users\Бакер\AppData\Roaming\GemWare
c:\users\Бакер\AppData\Roaming\ICL
C:\supermegabest


Registry::

FileLook::

DirLook::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**Герман Бакер** · 09.10.2014, 20:39

Новый лог Комбофикс

**mike 1** · 09.10.2014, 20:48

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt, запустите, нажмите Clean up

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

**Герман Бакер** · 09.10.2014, 22:15

Я начинаю проверку и через 30 секунд мне пишут. Невозможно подобрать пароль

И вообще файлы с подобным расширением хоть кто-то сумел расшифровать?

**thyrex** · 09.10.2014, 23:18

Сообщение от Герман Бакер

И вообще файлы с подобным расширением хоть кто-то сумел расшифровать?

Да, 5-6 человек есть, которым ключи подошли

Увы, Вы не в их числе

**Герман Бакер** · 09.10.2014, 23:24

И что мне остается делать? Эти счастливчики будут радоваться, а я получается неудачник.
Вся жизнь на этом компе

- - - - -Добавлено - - - - -

А главное все началось на следующий день после установки AVIRA

**mike 1** · 10.10.2014, 01:26

И что мне остается делать?

Вариантов немного на самом деле.

1. Ждать пока может быть добавят новые ключи.

2. Забыть про файлы.

3. Восстановить все из резервных копий.

4. Этот вариант думаю очевиден.

**regist** · 15.10.2014, 18:55

Ваш id и hashkey напишите.

**CyberHelper** · 15.10.2014, 19:05

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\users\бакер\appdata\roaming\mail.ru newgamest\api.dll - Trojan-Ransom.MSIL.Lortok.p ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )