Зашифрованы файлы doc [Trojan-Ransom.Win32.Cryakl.eb ]

[shara86]

На компьютере были зашифрованы файлы после того, как я открыл одно подозрительное вложение из одного подозрительного письма.
Помогите расшифровать.
Пара зашифрованных файлов для примера:
Файл 1
Файл 2
Ссылки на логи:
virusinfo_syscure
virusinfo_syscheck
hijackthis

[Info_bot]

Уважаемый(ая) shara86, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Обновите базы AVZ. Сделайте новые логи. Логи нужно сделать без запущенного Cureit. Логи грузите на форум через расширенный режим.

[shara86]

Обновите базы AVZ. Сделайте новые логи. Логи нужно сделать без запущенного Cureit. Логи грузите на форум через расширенный режим.

Готово.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Program Files (x86)\Adobe Flash Player\codec.exe','');
 DeleteFile('C:\Program Files (x86)\Adobe Flash Player\codec.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
ExecuteRepair(10);
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://hi.ru/search.php?q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://hi.ru/?4

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[shara86]

По запрошенному карантину: нажимаю в avz "Файл/Просмотр карантина" и вижу "количество файлов 0". И пишет, что нечего архивировать, т.к. ничего не выбрано (но выбирать-то нечего, хотя перед этим выполнил все указанные вами скрипты).
Остальные файлы прикрепляю.

[mike 1]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  Toolbar: HKU\S-1-5-21-4086087147-3792145185-510297106-1000 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
  FF Homepage: hxxp://hi.ru/?4
  Folder: C:\Program Files (x86)\Adobe Flash Player
  Folder: C:\Program Files (x86)\Письмо
  File: C:\Program Files (x86)\_Z2
  Folder: C:\Users\Андрей\AppData\Local\Temp
  AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A
  AlternateDataStreams: C:\ProgramData\TEMP:A064CECC
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[shara86]

Сделал. Во вложения файл "Fixlog.txt" не влезает по размеру, поэтому прикрепил снова через файлообменник:
http://rghost.ru/7WRPXQSsJ

[mike 1]

C:\Program Files (x86)\Письмо\Письмо\codec.exe

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[shara86]

Снова там пусто:
2015-02-25 09-36-11 Скриншот экрана.png

[mike 1]

Не может быть пусто. Этот файл есть на жестком диске.

[shara86]

Не может быть пусто. Этот файл есть на жестком диске.

После какого из скриптов в карантине должны были появиться файлы?
P.S.: влияет ли то, что авз находится на другом логическом диске?

[mike 1]

После какого из скриптов в карантине должны были появиться файлы?

В карантине ничего и не должно само появиться, вы должны сами найти этот файл и поместить в карантин.

Приложение 1. Поиск файлов при помощи AVZ.

Запустите AVZ, выберите в меню "Файл" - "Добавление в карантин по списку".

В верхнем окне введите список файлов которые Вас просили прислать.

Нажмите на кнопку "Пуск" и дождитесь появления в нижнем окне надписи "Процесс добавления файлов завершен"

Закройте текущее окно "Добавление в карантин по списку"

[shara86]

Ясно. Вы написали "согласно Приложения 2", поэтому я в Приложение 1 не посмотрел. Сейчас всё выполнил.

- - - - -Добавлено - - - - -

Аппп

[mike 1]

C:\Program Files (x86)\Adobe Flash Player
C:\Program Files (x86)\Письмо

Папки удаляйте. С расшифровкой помочь не сможем.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\письмо\письмо\codec.exe - Trojan-Ransom.Win32.Cryakl.eb ( AVAST4: Win32:Malware-gen )