Вирус [email protected] [Trojan.VBS.Zapchast.bf, Trojan-Ransom.Win32.Cryakl.ds ]

[igorhik]

Добрый день, пришло письмо, якобы с арбитражного суда, там был архив, ну сразу было подозрение , что-то какая-то засада, но сработало любопытство, и в результате закодировал мне вирус все файлы на компьютере в какую-то непонятную абракадабру и непонятное расширение, на рабочем столе обои с картинкой и предложением связаться по почте и заплатить за раскодирование всех файлов в течении 48 часов, а после этого времени все файлы удалятся без возможности восстановления, прошу помочь, если возможно с этой проблемой. Спасибо.
К сожалению у меня почему-то в логах отсутствует файл AVZ - virusinfo_syscure.zip, не знаю почему

[Info_bot]

Уважаемый(ая) igorhik, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
DelBHO('{ec52d866-f772-487e-9241-ddcb8641123d}');
 DelBHO('{e844757d-68e0-4aea-ab6f-600894bbf937}');
 DelBHO('{c24ee639-e660-44ff-bd36-b9a597de42ab}');
 DelBHO('{95686d9d-b6cd-45a8-87aa-fd99c6eab7c3}');
 DelBHO('{8d3f1760-2f14-433c-862b-e8daf55fa954}');
 DelBHO('{2f16a05c-7106-43be-9e07-5ddcb0d7abbe}');
 QuarantineFile('C:\ProgramData\eoasYYtoshiop\HYvmkKEAYgbjHp.dll','');
 QuarantineFile('C:\ProgramData\deal4ime\yroJGN7oavjv1p.dll','');
 QuarantineFile('C:\ProgramData\DDealsFinderPreo\UvtPyx5YXybvfi.dll','');
 QuarantineFile('C:\ProgramData\saVERnoeut\7HTYz9CYDc4XwV.dll','');
 QuarantineFile('C:\ProgramData\ddoWnloadaitkeep\xvP75v44hWX7Bd.dll','');
 QuarantineFile('C:\ProgramData\PriceDownloader\uqSqgV2nTtkcUk.dll','');
 QuarantineFile('C:\PROGRA~3\PERFOR~1\PERFOR~2.DLL','');
 QuarantineFile('C:\Program Files (x86)\Adobe Flash Player\codec.exe','');
 DeleteFile('C:\Program Files (x86)\Adobe Flash Player\codec.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
 DeleteFile('C:\PROGRA~3\PERFOR~1\PERFOR~2.DLL','32');
 DeleteFile('C:\ProgramData\PriceDownloader\uqSqgV2nTtkcUk.dll','32');
 DeleteFile('C:\ProgramData\ddoWnloadaitkeep\xvP75v44hWX7Bd.dll','32');
 DeleteFile('C:\ProgramData\saVERnoeut\7HTYz9CYDc4XwV.dll','32');
 DeleteFile('C:\ProgramData\DDealsFinderPreo\UvtPyx5YXybvfi.dll','32');
 DeleteFile('C:\ProgramData\deal4ime\yroJGN7oavjv1p.dll','32');
 DeleteFile('C:\ProgramData\eoasYYtoshiop\HYvmkKEAYgbjHp.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[igorhik]

Добрый день, выполнил как вы просили скрипт в AVZ, прикрепил карантин в формате zip по красной ссылке .
Сделал лог полного сканирования МВАМ и логи RSIT, прикрепляю их здесь

[thyrex]

C:\Program Files (x86)\????N?N?????\????N?N?????\codec.exe
C:\Users\?˜??N?N?\AppData\Local\Temp\Adobe Flash Player\codec.exe

заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Поместите в карантин МВАМ всё найденное

Сделайте новый лог RSIT

[igorhik]

простите, я не понял, у меня нет таких папок C:\Program Files (x86)\????N?N?????\????N?N?????\codec.exe

- - - - -Добавлено - - - - -

Если правильно понял, там оказалось какое-то письмо по C:\Program Files (x86)\????N?N?????\????N?N?????\codec.exe
если я правильно понял и там еще codec и еще файл какой-то
по ссылке C:\Users\?˜??N?N?\AppData\Local\Temp\Adobe Flash Player\codec.exe нашел кодек и все отправил вам как просили

[thyrex]

Ждем новый лог RSIT

[igorhik]

отправляю новый лог

[thyrex]

Пофиксите в HiJack

O2 - BHO: toppbuyer - {48bc1489-df5a-4513-b552-8cb7209e09be} - C:\Program Files (x86)\toppbuyer\Srn9ODjCQDFZtS.dll

Удалите вручную

C:\Program Files (x86)\sohOpndroop
C:\Program Files (x86)\toppbuyer
C:\ProgramData\LowPricesApp
C:\Program Files (x86)\Adobe Flash Player
C:\Program Files (x86)\Письмо
C:\ProgramData\saVERnoeut
C:\ProgramData\hpdklpogfiejpjdneiacghlkefjecojb
C:\ProgramData\eoasYYtoshiop
C:\ProgramData\DDealsFinderPreo
C:\ProgramData\PriceDownloader
C:\ProgramData\deal4ime
C:\ProgramData\ddoWnloadaitkeep

[igorhik]

все поудалял, а что теперь с зашифрованными файлами

[mike 1]

С расшифровкой не поможем.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\programdata\pricedownloader\uqsqgv2nttkcuk.dll - not-a-virus:AdWare.Win32.MultiPlug.oaqo ( DrWEB: Trojan.Crossrider.48916, BitDefender: Gen:Variant.Adware.Graftor.153998, AVAST4: Win32:Adware-gen [Adw] )
  2. c:\progra~3\perfor~1\perfor~2.dll - Trojan-FakeAV.Win64.Agent.un ( DrWEB: Adware.Sprotect.1, BitDefender: Trojan.Generic.11651395, AVAST4: Win64:Dropper-gen [Drp] )
  3. \новая папка\codec.exe - Trojan-Ransom.Win32.Cryakl.ds ( AVAST4: Win32:Malware-gen )
  4. \новая папка\письмо\codec.exe - Trojan-Ransom.Win32.Cryakl.ds ( AVAST4: Win32:Malware-gen )
  5. \новая папка\письмо\error.vbs - Trojan.VBS.Zapchast.bf