Зашифровал вирус все файлы в .doc и .docx . Помогите пожалуйста. Ссылка на зашифрованные файлы https://yadi.sk/d/ILpOUejRcpikR. В архиве вложены оригиналы файлов, но за полное совпадение исходных файлов ручаться не могу - файлы были созданы и скопированы на другой носитель, возможно поврежденные файлы со свежими изменениями были. После заражения жесткий диск был отсоединен, подключен вторым к другой машине, прогнан Drweb CureIt: найдено Trojan.Inject1.45231 и Trojan.Downloader11.11426. Затем жесткий вернули на основную машину, установили SpybotSD и просканировали, ничего криминального. Логи AVZ Hijack прилагаю. Есть сохраненное письмо в формате .eml, если необходимо...
Заранее спасибо, буду рад любой помощи.
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) fanjad, спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Дико извиняюсь за невнимательное прочтение правил. Прикладываю логи... Послал по красной ссылке вверху архив Письма - никаких вложений кроме этого не было - ни архивов, ни .exe... Только ссылка "узнать подробнее" или объект замаскированный под ссылку... После клика на это "узнать" открылось окно обозревателя , правда, "Страница не доступна" и все - процесс пошел...
p.s. Этот вредитель просит 30 т.р. за расшифровку, предлагает проверку - я ему зашифрованынй файл - он мне расшифрованый...? Может быть отправить ему ради проверки? Может и Вам такая ПАРА файлов пригодится?
- - - - -Добавлено - - - - -
https://yadi.sk/d/9p4y9NEfcq49X Вот эти два файла я отправил злодею и два файла получил в ответ ...
Архив с письмом переименуйте, чтобы он не содержал русских символов, и пришлите повторно
Выполните скрипт в AVZ
Код:
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\system32\XKYojBrNV_mMgZ.exe','');
DeleteFile('C:\WINDOWS\system32\XKYojBrNV_mMgZ.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','WtKNqjdpdqHRTUmVbXQIOjixqp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.
Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи
Microsoft MVP 2012-2016 Consumer Security Microsoft MVP 2016 Reconnect
Так понимаю, используется RSA шифрование с открытым симметричным ключом, БЕЗ ключа - не расшифровать, ключ у "злоумышленника"... Спасибо большое за помощь в лечении, по крайней мере за "здоровье" пострадавшего я теперь уверен)
P.S. Платить этому "нехорошему человеку" не будем из принципа.
- - - - -Добавлено - - - - -
Если все таки кто-то поделится дешифратором - ОГРОМНАЯ просьба - скиньте и мне его... Благодарность не будет иметь границ)
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
