пойман троян шифровальщик [email protected] 1.0.0.0. [HEUR:Packed.Win32.Black.f ]

[ximxim]

пойман троян шифровальщик [email protected]-CL 1.0.0.0. зашифровал только файлы на сетевых дисках, до того как был остановлен. файл шифровальщика присутствует (exe-файл). логи прилагаю. помогите найти дешифровальщик, если это возможно.

[Info_bot]

Уважаемый(ая) ximxim, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[ximxim]

пусто

- - - - -Добавлено - - - - -

зашифрованного файла

- - - - -Добавлено - - - - -

пустого карантина

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[ximxim]

откуда произошло шифрование сетевых дисков?
сделал. сам шифровальщик там удален

[thyrex]

откуда произошло шифрование сетевых дисков?

С компьютера, на котором запустили шифровальщик и который имел доступ к сети

Что в папке C:\Program Files\Сжатие больших архивов?

файл шифровальщика присутствует (exe-файл)

Заархивируйте с паролем virus в архив, не содержащий символов кириллицы, и пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-299502267-492894223-839522115-2218\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
2015-07-14 09:24 - 2015-07-14 16:00 - 22566778 _____ C:\Program Files\log1.log
2015-07-14 09:24 - 2015-07-14 09:24 - 00000064 _____ C:\Program Files\GZHPJSZWXU.FNX
Reboot:

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[ximxim]

загрузил, в С:\Program Files\Сжатие больших архивов\Архивный Пакет\ лежит файл с таким же названием, что и вирус шифровальщик 3.7 мб
fixlog прислал

- - - - -Добавлено - - - - -

сейчас пришлы в запрошенный карантин файл из С:\Program Files\Сжатие больших архивов\Архивный Пакет\

[thyrex]

\Program Files\Сжатие больших архивов

удаляйте

Ссылка, по которой скачивали шифровальщика, сохранилась?

[ximxim]

да
Вся сметная документация во вложении в ссылке: [удалено]

- - - - -Добавлено - - - - -

ой может в файле надо?

[thyrex]

Похоже, что уже невозможно по ней ничего скачать или ошиблись в ссылке

[ximxim]

я вчера тоже пробовал, похоже она одноразовая. а еще я попробовал на изолированном компе запустить шифровальщик, он запустил 2 копии, все зашифровал, что смог, вывел на экран надпись "Твои файлы зашифрованы, если хочешь все вернуть, отправь 1 зашифрованный файл на почту [email protected]. Внимание ,есть 1 неделя, чтобы написать мне на почту, по прошествии этого срока расшифровка станет невозможна! И тело вируса самоудалилось . Открытые файлы не зашифровались

[thyrex]

С расшифровкой не поможем, увы

[ximxim]

там двойное шифрование?

[thyrex]

В какой-то степени. Плюс часть информации для расшифровки трижды зашифрована разными RSA-ключами

[ximxim]

Спасибо всем за желание помочь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. \simpleinf.exe - HEUR:Packed.Win32.Black.f ( AVAST4: Win32:Malware-gen )
  2. \simpleinf2.exe - HEUR:Packed.Win32.Black.f ( AVAST4: Win32:Malware-gen )