Расшифровать файлы после Trojan.Encoder.556 / Trojan-Ransom.Win32.Mor.p

[[email protected]]

Здравствуйте! Прошу помочь декодировать файлы после деятельности трояна-вымогателя.
Результат проверки средствами virustotal.com вложения в письмо:
https://www.virustotal.com/ru/file/c...c862/analysis/

Сохранился текст письма, адрес отправителя, архив с вирусом.
Есть требование вымогателя, содержащее открытую часть ключа.
Сейчас выполняю на зараженной машине требования Virusinfo. По мере появления результатов буду добавлять в тему. С уважением, П.

[Info_bot]

Уважаемый(ая) [email protected], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[[email protected]]

Вот текст письма (вложение отправлено по ссылке "Прислать запрошенный карантин"):

From: Елена Еврафова [mailto:[email protected]]
Sent: Thursday, November 13, 2014 10:11 AM
To: info
Subject: мы подали заявление в суд





В связи с неявкой вашего представителя на судебное заседание. Ознакомтесь с обеспечительными
мерами (арест средств на расчетном счете) принятых судом в отношении вашей организации.

По закону мы обязаны вас об этом уведомить.

Елена Евграфова

File
doc10-12-14исх.DOC.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\*****\AppData\Local\TVeam\receiver.exe','');
 QuarantineFile('C:\Users\*****\AppData\Roaming\dovablh.dll','');
 DeleteFile('C:\ProgramData\Premium\OptimizerPro\profile.ini','32');
 DeleteFile('C:\Windows\Tasks\OptimizerProUpdaterTask{7095789E-FC00-4510-9CEA-D06DB983F8B7}.job','64');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте логи RSIT

[[email protected]]

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте логи RSIT

Сделал. TVeam был снесен, потому файлик отсутствует в карантине. Если нужен файл - могу выдрать его с резервной копии харда (если только это действительно оправданно и поможет лечению). Это компонент TVeam - адрес сайта: http://download.setevisor.tv/
Файл был проверен свежим CureIt перед сносом, вируса не было обнаружено.

P.S.: Просьбочка: удалите из этой веточки форума текст скрипта AVZ, так как он содержит данные пользователя компьютера (да, кто делал компьютер юзеру - "додумался" как именовать пользователя Он бы еще адрес и номер телефона вписал))

- - - - -Добавлено - - - - -

Лог RSIT:

[thyrex]

Папку C:\wntmpg удалите

С расшифровкой не поможем

[[email protected]]

Папку C:\wntmpg удалите

С расшифровкой не поможем

Спасибо за ответ.
Будте добры, скажите, расшифровка даже за деньги не возможна? Чем это обусловлено?
Спасибо!

[thyrex]

Увы. Обусловлена тем, что ключ шифрования генерируется на основе положений курсора мыши в начале работы шифровальщика

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 0
• В ходе лечения вредоносные программы в карантинах не обнаружены