Все файлы с расширением .AES256 [Trojan-Ransom.MSIL.Lortok.p ]

[Санек_85]

Доброго времени суток.
По всей видимости прилетел вирус. Теперь все файлы на ноутбуке имеют расширение .AES256
Антивирусные программы результата не дают. DrWeb тоже ни чего не нашел. Уже не знаю что делать.
Помогите плиз, бук тещи, там куча рабочей информации...

[Info_bot]

Уважаемый(ая) Санек_85, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

click-n-mark Corp удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\ольга\appdata\roaming\mail.ru newgamest\api.dll','');
 QuarantineFile('C:\Users\ольга\AppData\Roaming\Dorrible\Ribble\d.exe','');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\launcher.exe','');
 QuarantineFile('C:\Program Files (x86)\click-n-mark Corp\ClickAndMark_wd.exe','');
 QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Roaming\runWIN\update.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Local\storegid\storegidup.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Local\storegid\storegid.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Local\screentk\screentoolkit.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Local\screentk\screentool.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
 QuarantineFile('C:\Users\ольга\AppData\Local\ConvertAd\ConvertAd.exe','');
 QuarantineFile('C:\Users\8934~1\LOCALS~1\Temp\ccywpf.cmd','');
 QuarantineFile('C:\ProgramData\Kinoroom Browser\kbrowser-updater-utility.exe','');
 QuarantineFile('C:\Program Files (x86)\baidu\BindEx.exe','');
 SetServiceStart('storegidfilter', 4);
 DeleteService('storegidfilter');
 DeleteService('servervo');
 DeleteService('BDMRTP');
 DeleteService('BDSGRTP');
 QuarantineFile('C:\Windows\storegidfilter.sys','');
 TerminateProcessByName('c:\users\ольга\appdata\local\screentk\screentool.exe');
 QuarantineFile('c:\users\ольга\appdata\local\screentk\screentool.exe','');
 TerminateProcessByName('c:\users\ольга\appdata\local\amigo\application\amigo.exe');
 DeleteFile('c:\users\ольга\appdata\local\amigo\application\amigo.exe','32');
 DeleteFile('c:\users\ольга\appdata\local\screentk\screentool.exe','32');
 DeleteFile('C:\Windows\storegidfilter.sys','32');
 DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BaiduProtect.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Roaming\VOPackage\VOsrv.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
 DeleteFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat','32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\launcher.exe.bat','32');
 DeleteFile('C:\Program Files (x86)\baidu\BindEx.exe','32');
 DeleteFile('C:\ProgramData\Kinoroom Browser\kbrowser-updater-utility.exe','32');
 DeleteFile('C:\Users\8934~1\LOCALS~1\Temp\ccywpf.cmd','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amigo');
 DeleteFile('C:\Users\ольга\AppData\Local\Amigo\Application\ok.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Local\Amigo\Application\vk.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Local\ConvertAd\ConvertAd.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Local\screentk\screentool.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','screentk');
 DeleteFile('C:\Users\ольга\AppData\Local\screentk\screentoolkit.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Local\storegid\storegid.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Local\storegid\storegidup.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','storegidUpdater');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','storegid');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','screentoolkit.exe');
 DeleteFile('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
 DeleteFile('C:\Users\ольга\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 DeleteFile('C:\Users\ольга\AppData\Roaming\runWIN\update.exe','32');
 DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
 DeleteFile('C:\Program Files (x86)\click-n-mark Corp\ClickAndMark_wd.exe','32');
 DeleteFile('C:\Windows\Tasks\ClickAndMark_wd.job','64');
 DeleteFile('C:\Windows\Tasks\ClickAndMark Update.job','64');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
 DeleteFile('C:\Windows\system32\Tasks\ClickAndMark Update','64');
 DeleteFile('C:\Windows\system32\Tasks\ClickAndMark_wd','64');
 DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
 DeleteFile('C:\Windows\system32\Tasks\Kinoroom Browser','64');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\launcher.exe','32');
 DeleteFile('C:\Users\ольга\AppData\Roaming\Dorrible\Ribble\d.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Ribble','64');
 DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
 DeleteFile('C:\Users\ольга\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\runWIN');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\Dorrible', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\Dorrible');
DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
DeleteFileMask('C:\Program Files (x86)\click-n-mark Corp', '*', true);
DeleteDirectory('C:\Program Files (x86)\click-n-mark Corp');
DeleteFileMask('C:\Program Files (x86)\AnyProtectEx', '*', true);
DeleteDirectory('C:\Program Files (x86)\AnyProtectEx');
DeleteFileMask('C:\Users\ольга\AppData\Local\storegid', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Local\storegid');
DeleteFileMask('C:\Users\ольга\AppData\Local\screentk', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Local\screentk');
DeleteFileMask('C:\Users\ольга\AppData\Local\ConvertAd', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Local\ConvertAd');
DeleteFileMask('C:\Program Files (x86)\baidu', '*', true);
DeleteDirectory('C:\Program Files (x86)\baidu');
DeleteFileMask('c:\users\ольга\appdata\local\amigo', '*', true);
DeleteDirectory('c:\users\ольга\appdata\local\amigo');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\VOPackage', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\VOPackage');
 BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('bd0001');
 BC_DeleteSvc('bd0004');
 BC_DeleteSvc('BDArKit');
 BC_DeleteSvc('BDSafeBrowser');
 BC_DeleteSvc('bd0002');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
 BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
 BC_DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BDSWShellExt.dll');
 BC_DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BDSWShellExt64.dll');
 BC_DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe');
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Санек_85]

click-n-mark Corp не находит через установку

[thyrex]

Выполняйте остальное

[Санек_85]

Карантин загрузил.
Логи во вложении

[thyrex]

Поместите в карантин МВАМ всё, кроме

Trojan.Agent, C:\Program Files (x86)\Samsung\Samsung ML-2010 Series\Install\data\SSOpen.exe, , [79fd769d6d0fa2946eec5ca22cd8bc44],

Удалите файлы

C:\Windows\system32\drivers\BDMNetMon.sys
C:\Windows\system32\drivers\BDArKit.sys
C:\Windows\system32\drivers\bd0001.sys
C:\Windows\system32\bd64_x86.dll
C:\Windows\system32\bd64_x64.dll
C:\Windows\system32\drivers\BDSafeBrowser.sys
C:\Windows\system32\drivers\bd0004.sys

и папки

C:\Users\ольга\AppData\Roaming\Baidu
C:\Program Files (x86)\test
C:\Program Files (x86)\ШоппингГид
C:\Users\ольга\AppData\Roaming\Microsoft DB
C:\Users\ольга\AppData\Roaming\GemWare
C:\Users\ольга\AppData\Roaming\Browsers
C:\Users\ольга\AppData\Roaming\ICL
C:\Users\ольга\AppData\Roaming\ap_logs
C:\Program Files (x86)\screentk2

[Санек_85]

Переместил в карантин.
Удалил все файлы и папки.
Результата нет

[thyrex]

Предпринимаемые действия и не должны были принести результат по дешифровке.

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

[Санек_85]

Запускал утилиту Kaspersky RakhniDecryptor. Но файл exit.hhr.oshit не найден.
При попытке восстановления по инструкции, программа easy recovery после поиска повисает на построении дерева файлов
Утилита пишет, что невозможно подобрать ключ

[thyrex]

Но файл exit.hhr.oshit не найден.

При чем здесь это, если в списке расширений нужно выбрать подходящее Вам

[Санек_85]

Смотрел по инструкции к утилите :
---
"ВАЖНО: Trojan-Ransom.Win32.Rakhni создает файл exit.hhr.oshit, в котором в зашифрованном виде содержится пароль от файлов пользователя. Если на зараженном компьютере сохранился этот файл, то расшифровка файлов при помощи утилиты RakhniDecryptor будет значительно быстрее. Если же файл exit.hhr.oshit был удален, то его возможно восстановить при помощи программ восстановления удаленных файлов, затем поместить его в %APPDATA% и заново запустить проверку утилитой. Файл exit.hhr.oshit можно найти по следующему пути:

Windows XP: C:\Documents and Settings\<имя_пользователя>\Application Data
Windows 7/8: C:\Users\<имя_пользователя>\AppData\Roaming
---
Но все равно в списке расширений ставлю нужное, пишет что невозможно подобрать ключ

[thyrex]

Больше помочь нечем

[Санек_85]

Понятно. Спасибо.

- - - - -Добавлено - - - - -

Остается только форматировать жесткий диск и ставить чистую систему?

[regist]

Остается только форматировать жесткий диск и ставить чистую систему?

файлы это всё равно не вернёт. А вирус вам уже удалили.
Лучше прочитайте эту статью http://virusinfo.info/showthread.php?t=164586 возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.

[regist]

Санек_85, напишите ваш id и hashkey

[Санек_85]

Санек_85, напишите ваш id и hashkey

???

[thyrex]

В любом случае опоздали.

Ждем обновления утилиты от ЛК

[Санек_85]

Уже снесли систему с форматом жесткого диска Бук рабочий, времени попытаться что-либо еще сделать не дали...
Печально, конечно, что файлы утрачены... Но что уж тут поделать...
Благодарю за помощь и за потраченное время!

[thyrex]

Это Вы поторопились. Утилита обновлена