Вирус зашифровал файлы AES256 Trojan-Ransom.MSIL.Lortok.p

[Паша Боровиков]

Добрый вечер, после переустановки Windows, наверное скачивая драйвера поймал этот веселый вирус.
Сначала появилась реклама в Опере, потом зашифровал все файлы в расширение AES256. На рабочем столе появился "Онлайн помощник", а в папках с файлами текстовый документ. Содержание:
Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция: http://youtu.be/43feBLwHzn0
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: 5984947192d6a966d3a3a0acd32339cd
ID: 7018

так же установилось Baidu было делее удалено.

Вирусы вроде удалил, на свой страх и риск сам порылся, а вот с файлами провал. Думал уже все потерянно, но увидел что все больше и больше людей восстанавливает файлы. Появилась надежда, что мне кто-нибудь сможет помочь) Спасибо

[Info_bot]

Уважаемый(ая) Паша Боровиков, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

term tutor удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
DelBHO('{6CB99040-7828-4C37-AC01-F15758F43E4D}');
 QuarantineFile('C:\Program Files (x86)\TermTutor\IE\TermTutorClientIE.dll','');
 QuarantineFile('C:\Windows\system32\drivers\ttnfd.sys','');
 TerminateProcessByName('c:\program files (x86)\termtutor\service\ttsvc.exe');
 QuarantineFile('c:\program files (x86)\termtutor\service\ttsvc.exe','');
 DeleteFile('c:\program files (x86)\termtutor\service\ttsvc.exe','32');
 DeleteFile('C:\Windows\system32\drivers\ttnfd.sys','32');
 DeleteFile('C:\Program Files (x86)\TermTutor\IE\TermTutorClientIE.dll','32');
DeleteFileMask('c:\program files (x86)\termtutor', '*', true);
DeleteDirectory('c:\program files (x86)\termtutor');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Паша Боровиков]

term tutor удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
DelBHO('{6CB99040-7828-4C37-AC01-F15758F43E4D}');
 QuarantineFile('C:\Program Files (x86)\TermTutor\IE\TermTutorClientIE.dll','');
 QuarantineFile('C:\Windows\system32\drivers\ttnfd.sys','');
 TerminateProcessByName('c:\program files (x86)\termtutor\service\ttsvc.exe');
 QuarantineFile('c:\program files (x86)\termtutor\service\ttsvc.exe','');
 DeleteFile('c:\program files (x86)\termtutor\service\ttsvc.exe','32');
 DeleteFile('C:\Windows\system32\drivers\ttnfd.sys','32');
 DeleteFile('C:\Program Files (x86)\TermTutor\IE\TermTutorClientIE.dll','32');
DeleteFileMask('c:\program files (x86)\termtutor', '*', true);
DeleteDirectory('c:\program files (x86)\termtutor');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

Спасибо. Все сделал. Карантин отправил, правда в AVZ есть 2 папки с карантином от 14.10.2014 и от 17.10.2014, там разные файлы(я отправил последнюю проверку от 17.10), и у касперского в карантине другие файлы.

[thyrex]

Поместите в карантин МВАМ всё найденное

Удалите папки

C:\gmr_scripts
C:\extensions
C:\Users\Galina\AppData\Roaming\Tor Project

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

[Паша Боровиков]

Поместите в карантин МВАМ всё найденное

Удалите папки


Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

Огромное спасибо лично Вам и проекту, программа начала расшифровку, файлы появились!
Обязательно поддержу проект.

[mike 1]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены