Файлы зашифрованы [email protected]

[Алексей Антоненко]

День добрый! Вирус зашифровал все файлы. Расширение .CRCR. Письмо:

СПЕШИМ ВАС ПОРАДОВАТЬ !!!

ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ, ТАК УЖ ВЫШЛО.
ПОПЫТОК ВВОДА ПАРОЛЯ - 5. НЕ УСЛОЖНЯЙТЕ
СВОЕ И БЕЗ ТОГО НЕПРОСТОЕ ПОЛОЖЕНИЕ.
СРАЗУ ЖЕ ПИШИТЕ СЮДА:

[email protected]

И ТАМ ВАМ ПОМОГУТ ХОРОШИЕ ДЯДИ ЗА СКРОМНОЕ
ВОЗНАГРАЖДЕНИЕ.

[Info_bot]

Уважаемый(ая) Алексей Антоненко, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте! Расшифровать думаю сможем, но только сперва компьютер почистим от вирусов.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin    
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\recycler\winlogon.exe');
 QuarantineFile('C:\Windows\system32\MPK\MPK.exe','');
 QuarantineFile('C:\Users\Оператор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\rad99BF7.tmp.auto.hta','');
 QuarantineFile('c:\recycler\winlogon.exe','');
 DeleteFile('c:\recycler\winlogon.exe','32');
 DeleteFile('C:\Users\Оператор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\rad99BF7.tmp.auto.hta','32');
 DeleteFile('C:\Windows\system32\MPK\MPK.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows NT Logon Application');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);  
BC_ImportAll;
ExecuteSysClean;
BC_Activate;    
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Windows\system32\MPK\MPK.exe
O4 - HKCU\..\Run: [Windows NT Logon Application] C:\Recycler\winlogon.exe
O4 - Startup: rad99BF7.tmp.auto.hta
O4 - Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt

Смените пароли от RDP и всех учетных записей.

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте Malwarebytes' Anti-Malware, установите (во время установки откажитесь от использования Пробной версии), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве


В следующем вашем ответе мне требуются следующие отчеты:

1. virusinfo_syscheck.zip

2. hijackthis.log

3. Лог MBAM

[Алексей Антоненко]

Сделал. Еще вопрос по оплате "Помощь в расшифровке файлов, пострадавщих от шифровальщиков". есть ещё какие нибудь варианты оплаты кроме paypal?

[mike 1]

В MBAM удалите все найденное.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

есть ещё какие нибудь варианты оплаты кроме paypal?

Напишите Администратору (http://virusinfo.info/member.php?u=105505) личное сообщение он предложит Вам другие варианты оплаты.

[Алексей Антоненко]

Сделал.

[mike 1]

Пришлите небольшой зашифрованный файл в архиве.

[Алексей Антоненко]

Отослал

[mike 1]

Файл расшифрован http://rghost.ru/8Gcd9Fjwv. Расшифровка файлов у нас идет отдельной услугой с 1 ноября 2014 года.

[Алексей Антоненко]

Спасибо. Администратор не отвечает. При попытке оплатить через paypal:

При совершении покупки или отправке денег рекомендуется через 30 минут проверить счет PayPal и электронную почту на наличие подтверждения о проведенной операции.

Если переход на данную страницу выполнен с другого веб-сайта, перейдите обратно на данный сайт (не используйте при этом кнопку «Назад») и повторите действия.

Если переход выполнен с веб-сайта PayPal, нажмите на логотип PayPal в левом верхнем углу, чтобы снова перейти к домашней странице и повторить действия. Возможно, потребуется повторно войти в систему.

Хотелось бы начать дешифровку сегодня. Как еще можно оплатить?

[mike 1]

Хотелось бы начать дешифровку сегодня. Как еще можно оплатить?

Здесь http://virusinfo.info/content.php?r=...fo.info-donate есть реквизиты. Оплатите 500 рублей через любую систему оплаты, потом отпишитесь здесь.

[Алексей Антоненко]

Оплатил через QIWI. В комментарии написал номер заявки.

[mike 1]

Готово. Теперь Вы можете создать новую тему в этом http://virusinfo.info/forumdisplay.php?f=204 разделе, где Вы получите инструкции по расшифровке файлов.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения вредоносные программы в карантинах не обнаружены