Вирус шифратор .rAr. Как лечить ? [Trojan.Win32.Filecoder.x ]

[Denis Belaz]

Добрый вечер! Пришло письмо на почту из налоговой. Открыли файл и пошло заражение. Все документы, фото и.т.д. зашифрованы в .rAr формат с паролем. В каждой папке появилось письмо с текстом, как расшифровать файлы.
Текст письма:
-----BEGIN PGP MESSAGE-----
Version: 2.6.3i


hIwDNcvOFhLsxH0BBADJSRYvI1BOEnmjXGXYwYsabNzpSFwGlq JMXzuKB36v0k3u
2qC5gYEdh3WsLwJlFb/wfhQs2VjGSkRsU16wJvePCSd8U0ZtKsz5wc1C+DfUeZe2
4d9fssA5Mc6kWSCZbmcpvgHxt7xozNKd0T7HcJAFEyailLPlYz 6UhOmN9imfSqYA
AAAn8072aZt7xkLRWj0lNbGyN6meIKdTqfVsIaDa70GLwO8Vp9 CnAZ1g
=gemh
-----END PGP MESSAGE-----
Информация заблокирована
Разблокировка данных - 10 тысяч руб
Отправьте данный файл (который читаете в данный момент) и 1 блокированый файл
В ответ придет разблокированый файл и информация для оплаты
После оплаты - пароль и программа, которая все разблокирует автоматически
[email protected]
!


Прочитал много тем, ответа конкретного не нашел. Возможно ли расшифровать файлы, возможно ли как то найти мошенника через следственные органы? Прикрепляю логи. Заранее спасибо !

[Info_bot]

Уважаемый(ая) Denis Belaz, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 DelBHO('{0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2}');
 QuarantineFile('C:\Users\CITYINVEST\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper.dll','');
 QuarantineFile('C:\Windows\System32\KBDMAI.dll','');
 QuarantineFile('C:\Windows\System32\wlanmgr.dll','');
 QuarantineFile('C:\Windows\System32\d3dadapter.dll','');
 DeleteFile('C:\Windows\System32\d3dadapter.dll','32');
 DeleteFile('C:\Windows\System32\wlanmgr.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wlanmgr\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\d3dadapter\Parameters','ServiceDll');
 DeleteFile('C:\Program Files\Internet Explorer\iexplore.url','32');
 DeleteFile('C:\Windows\System32\KBDMAI.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\KBDMAI\Parameters','ServiceDll');
 DeleteFile('C:\Users\CITYINVEST\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper.dll','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Denis Belaz]

Здравствуйте ! Проделал все операции, как написано. Отправил файл карантина.
Прикрепляю все логи. Заранее Спасибо. Жду ответа )

[mike 1]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM\...\Run: [] => [X]
  HKU\S-1-5-21-343627241-2299347457-2505279063-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://addobbe.com/
  FF Extension: APIHelper - C:\Users\CITYINVEST\AppData\Roaming\Mozilla\Firefox\Profiles\ijk7jkzj.default\Extensions\{2A4702A6-63E6-46E4-BEF3-E2769B6774A0} [2013-09-27]
  FF Extension: BonanzaDeals - C:\Users\CITYINVEST\AppData\Roaming\Mozilla\Firefox\Profiles\ijk7jkzj.default\Extensions\{f9d03c26-0575-497e-821d-f7956d23e0ca} [2013-09-12]
  FF Extension: Weatherbar - C:\Users\CITYINVEST\AppData\Roaming\Mozilla\Firefox\Profiles\ijk7jkzj.default\Extensions\[email protected] [2013-09-12]
  CHR Plugin: (BonanzaDealsLive Update) - C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll (BonanzaDeals)
  CHR Extension: (APIHelper) - C:\Users\CITYINVEST\AppData\Local\Google\Chrome\User Data\Default\Extensions\bdigkpjbmbdepgpkjeabfghlchdmphke [2014-09-05]
  OPR Extension: (APIHelper) - C:\Users\CITYINVEST\AppData\Roaming\Opera Software\Opera Stable\Extensions\fhmcldpohlnkhmdbhfggpafgkafbcfnh [2015-01-23]
  S2 bonanzadealslive; C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [148976 2013-09-12] (BonanzaDeals)
  S3 bonanzadealslivem; C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [148976 2013-09-12] (BonanzaDeals)
  S2 d3dadapter; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
  S2 ir16_32; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
  S2 KBDMAI; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
  S2 wlanmgr; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
  NETSVC: KBDMAI -> No Registry Path.
  NETSVC: ir16_32 -> No Registry Path.
  NETSVC: d3dadapter -> No Registry Path.
  NETSVC: wlanmgr -> No Registry Path.
  Folder: C:\xtmp
  2013-09-12 11:44 - 2013-09-12 11:44 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
  Task: {11C03CA8-655A-45EF-94AB-A0DBA31B2F18} - System32\Tasks\BonanzaDealsUpdate => C:\Program <==== ATTENTION
  C:\Program Files\BonanzaDealsLive
  Task: {A7A126B7-9718-4109-9DE6-B0BA10414030} - System32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [2013-09-12] (BonanzaDeals) <==== ATTENTION
  Task: C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe <==== ATTENTION
  Task: C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Denis Belaz]

Сделал процедуру FIX. Прикрепляю LOG

[mike 1]

C:\xtmp\svision.exe

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Denis Belaz]

Как это сделать подскажите пожалуйста

- - - - -Добавлено - - - - -

Разобрался, отправил ФАЙЛ С ВИРУСОМ !

[mike 1]

C:\xtmp

Папку удаляйте. С разархивацией не поможем.

[Denis Belaz]

А пароль к архиву подобрать реально?

[mike 1]

А пароль к архиву подобрать реально?

1@qZH*8ybME#v0N%xm3Pfo&D5zC$uA

За разумное время подобрать такие пароли невозможно.

[Denis Belaz]

Майк это, я так понимаю Вы мне скинули образец пароля.

[mike 1]

Майк это, я так понимаю Вы мне скинули образец пароля.

Да.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\xtmp\svision.exe - Trojan.Win32.Filecoder.x ( BitDefender: Gen:Variant.Kazy.1174, AVAST4: Win32:Malware-gen )
  2. \xtmp\svision.exe - Trojan.Win32.Filecoder.x ( BitDefender: Gen:Variant.Kazy.1174, AVAST4: Win32:Malware-gen )