Важные документы стали зашифрованы.

[LORDMNK]

Здравствуйте, помогите пожалуйста, спасите. Очень важные рабочие документы в один миг стали шифрованы.
Подскажите что делать, есть ли шанс восстановить. Я прочитал что надо несколько файлов на файлообменник и сюда ссылку прикрепить. Вот взгляните. https://cloud.mail.ru/public/997801a40234/Documents.rar
Очень ждём ответа.

[Info_bot]

Уважаемый(ая) LORDMNK, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[LORDMNK]

Вот логи. Надеюсь всё правильно.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('BDArKit', 4);
 SetServiceStart('BDMWrench', 4);
 DeleteService('BDMWrench_x64');
 DeleteService('bd0002');
 DeleteService('BDMWrench');
 DeleteService('BDArKit');
 QuarantineFile('C:\Users\Пользователь\AppData\Local\Google\chrome.bat','');
 QuarantineFile('C:\Users\Пользователь\AppData\Local\WinnerDM\wdm.exe','');
 QuarantineFile('C:\Users\Пользователь\AppData\Local\screentk\screentkup.exe','');
 QuarantineFile('C:\Users\Пользователь\AppData\Local\storegid\storegid.exe','');
 QuarantineFile('C:\Users\Пользователь\AppData\Local\storegid\storegidup.exe','');
 QuarantineFile('C:\PROGRA~3\Mozilla\aviyktm.exe','');
 TerminateProcessByName('c:\program files (x86)\common files\baidu\bddownload\108\bddownloader.exe');
 TerminateProcessByName('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.619\baiduprotect.exe');
 DeleteFile('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.619\baiduprotect.exe','32');
 DeleteFile('c:\program files (x86)\common files\baidu\bddownload\108\bddownloader.exe','32');
 DeleteFile('C:\PROGRA~3\Mozilla\aviyktm.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\xvewvfi','64');
 DeleteFile('C:\Users\Пользователь\AppData\Local\storegid\storegidup.exe','32');
 DeleteFile('C:\Users\Пользователь\AppData\Local\storegid\storegid.exe','32');
 DeleteFile('C:\Users\Пользователь\AppData\Local\screentk\screentkup.exe','32');
 DeleteFile('C:\Users\Пользователь\AppData\Local\WinnerDM\wdm.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WinnerDM','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentkUpdater','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\storegid','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\storegidUpdater','command');
 DeleteFile('C:\Users\Пользователь\AppData\Local\Google\chrome.bat','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray','command');
 DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdTray.exe','32');
 DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
 DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdSvc.exe','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\ad.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDKitUtils.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDLogicUtils.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDMDownload.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDMNet.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDMReport.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\DriverManager.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\ArKit.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\AssistReportPlugin.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\FileUpdatePlugin.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\FixSePlugin.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\HostPlugin.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\plugins\BaiduRepair.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\plugins\HIPS.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\SafeBrowserDll.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BDDownload\108\bdcomproxy.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BDDownload\108\dl.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог Check Browsers' LNK
Сделайте лог ComboFix

[LORDMNK]

Проверку avz делать не надо я так понимаю? там в карантине только 1 файл сейчас лежит, пришлю чуть позже. а вот дополнительные логи

- - - - -Добавлено - - - - -

Карантин вроде загрузился

[thyrex]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С

KillAll::

File::
c:\windows\system32\drivers\BDArKit.sys
c:\windows\SysWow64\drivers\bd0002.sys
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\drivers\bd0001.sys

Driver::
BDMWrench_x64
BDSafeBrowser
bd0004
BDMWrench
BDArKit
BDSGRTP


Folder::
c:\users\Пользователь\AppData\Local\EmieUserList
c:\users\Пользователь\AppData\Local\EmieSiteList
c:\users\Пользователь\AppData\Local\EmieBrowserModeList
c:\program files (x86)\Adobe Flash Player
c:\program files (x86)\Письмо
c:\program files (x86)\Common Files\Baidu

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[LORDMNK]

Простите за задержку, вот пожалуйста логи.

[thyrex]

Удалите ComboFix

С расшифровкой не поможем

[LORDMNK]

Может какой то файл должен быть в котором как некоторые пишут просят деньги за расшифровку? потому что у нас не было такого сообщения.
Где лежал этот вирус, как их найти на других компьютерах?

- - - - -Добавлено - - - - -

Я прочитал что услуга по расшифровке у вас платная, фраза "С расшифровкой не поможем" связанна именно с этим? Если да то это не проблема, только скажите что делать.

- - - - -Добавлено - - - - -

Писать в помощь+?

- - - - -Добавлено - - - - -

Там смогут помочь?

[thyrex]

Там смогут помочь?

Нет

[LORDMNK]

???

- - - - -Добавлено - - - - -

что не так то с этими зашифрованными файлами?

[thyrex]

Зашифрованные файлы ничем не помогут для поиска ключа шифрования

[LORDMNK]

А файлы из карантина антивируса могут помочь? После того как файлы зашифровались, антивирус много чего нашёл.

- - - - -Добавлено - - - - -

систему можно заново переустанавливать? или ещё куда то можно обратиться? Файлы в карантине остались если что.

[thyrex]

Помогут только злодеи

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены