Зашифрованы файлы (все с расширением xtbl)

[MURZ]

С утра обнаружил, что почти все файлы на машине переименованы в длинные названия с расширением xtbl.
Соответственно они не открываются. На рабочем столе на черном фоне красная надпись - Все важные файлы на всех дисках вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах README.txt, которые можно найти на любом из дисков.
AVZ не обновляется (вылетает ошибка), хотя базы не особенно старые, на прошлой неделе обновлял.
Буду благодарен за любую помощь.

[Info_bot]

Уважаемый(ая) MURZ, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

 begin
 DeleteFile('C:\Documents and Settings\TIK\5186791.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[MURZ]

Скрипт выполнил, сканирование прошло (более 2-х часов), логи в txt сохраняет адрес сайта, XML не прикрепляется. Прога пишет обнаруженывредоносные элементы: 1019
Элементы non-вредоносные программы, обнаруженные: 9
Или чего не так делаю?

- - - - -Добавлено - - - - -

Новые логи

[thyrex]

Попробуйте эту версию МВАМ http://virusinfo.info/soft/mbam-setup-1.75.0.1300.exe

[MURZ]

Просканировал

[thyrex]

Удалите в МВАМ только указанные ниже записи

Обнаруженные ключи в реестре:  4
HKCU\Software\DC3_FEXEC (Malware.Trace) -> Действие не было предпринято.
HKLM\SOFTWARE\JetSwap (Adware.JetSwap) -> Действие не было предпринято.
HKLM\SOFTWARE\System32 (Backdoor.Bifrose) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  1
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры: ˜цНаHmj
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCcwА<†y+Ў%…¦DйУDн–КUД°e?‹8
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc
ЯА-YCc…og˜!Љ™ -> Действие не было предпринято.

Обнаруженные папки:  37
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> Действие не было предпринято.

Обнаруженные файлы:  990
C:\SafeSurf\Push.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\SafeSurf\safesurf.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\Documents and Settings\All Users.WINDOWS\Application Data\Windows\csrss.exe (Worm.Korron) -> Действие не было предпринято.

[MURZ]

Удалил

[thyrex]

Пришлите пример зашифрованного файла (в архиве)

[MURZ]

Высылаю

[thyrex]

Увы, порадовать нечем

Без тела шифровальщика сказать что-то определенное трудно. А оно пока не попадалось

[MURZ]

В соседней теме аналогичная проблема проблема, похоже тот же вирь.
Может там тело отыщется.
http://virusinfo.info/showthread.php?t=173712

[thyrex]

Сомнительно. Оно даже в вирлаб ЛК не попадало ни разу

[MURZ]

Печально, но что ж, остается только ждать.
В любом случае спасибо за помощь!

[MURZ]

В личку получил сообщение от пользователя Junior Member следующего содержания:

вирус тело !!! шифратор

привет я насчет вируса у меня было тоже самое
у меня нет доступа им написать
короче чтобы написать дешифратор нужен был сам вирус и его тело у меня есть
прикладываю ссылку скачай там все будет в архиве и напиши в поддержку в продолжении темы им очень нужны эти файлы.
у меня вирус запорол 150 гигов музыки
в архиве будет два архива один запускач и сам шифратор

[скрыто]
пароль для скачки 1234561
на самом архиве пароля нет !

да и еще вирус лезет через программу JETSWAP ? знакомо ?
если да пиши расскажу как сделать чтобы вирус больше не лез
вот лог нода приложу
C:\virus_send_drweb\ED33.rar = RAR = ED33.tmp - Win32/Filecoder.ED троянская программа

мне писать дешифратор нет времени ребята я думаю помогут
удачи будет результат пиши

в общем я тебе прислал то что нужно ребятам для написания дешифратора
отправь им этот архив.
надеюсь что-нибудь выйдет
удачи