Файлы зашифрованы email-Seven_Legion2 [Trojan.Win32.Radonskra.c, not-a-virus:Downloader.Win32.LMN.afw ]

[murometz]

Помогите! Файлы зашифрованы, вот пример: [email protected]-CL 1.0.0.0.id-GHIIIJKKLMMMNNOOPQQRRRSSTUUVVVWWXYYZ-28.07.2015 16@[email protected]
Т. е. были договора и другие документы, в осдовнов вордовские, а теперь вот так (см. выше).
Все произошло после того, как скачал вирус (не глядя) из письма, под видом акта на организацию. Пока успел отключить и удалить вирус, почти все файлы на диске стали зашифрованы.
Как восстановить документы?

[Info_bot]

Уважаемый(ая) murometz, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Где-то я уже видел эти логи (тем более они от 25 июля).

На каком форуме еще тему создавали?

[murometz]

Я больше нигде не создавал. Такая же тема была создана на этом форуме. Но я почитал в правилах предупреждение, предостерегающее от пользования советами для других. Здесь рекомендуется создавать свой запрос, я и создал!

[thyrex]

Сделайте логи таким AVZ

[murometz]

Сделал как вы просили..

[thyrex]

Выполните скрипт в AVZ

var s: String;
SL: TStringList;

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SL:= TStringLIst.Create;
s:= RegKeyStrParamRead('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\pr','command');
SL.Add(s);
SL.SaveToFile('c:\logstr.txt');
SL.Free;
QuarantineFile('C:\Program Files (x86)\Акты и накладные.doc.exe','');
 QuarantineFile('C:\Users\Admin\appdata\local\microsoft\windows\vkmusicdownloader.exe','');
 QuarantineFile('C:\Users\Admin\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('C:\Program Files (x86)\Video Saver\Ilmia6N.exe','');
 QuarantineFile('C:\Program Files (x86)\Video Saver\tool\recover.exe','');
 DelBHO('{1FE48F08-A2AC-44AC-A21C-0556D91C50DA}');
 QuarantineFile('C:\Program Files (x86)\advPlugin\Toolbar32.dll','');
 QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.bat','');
 QuarantineFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.bat','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\pr','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\xvgckvorwe','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\encuhntqnq','command');
 DeleteFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.bat','32');
 DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.bat','32');
 DeleteFile('C:\Program Files (x86)\advPlugin\Toolbar32.dll','32');
 DeleteFile('C:\Program Files (x86)\Video Saver\tool\recover.exe','32');
 DeleteFile('C:\Windows\Tasks\Recovery Tool for Video Saver.job','32');
 DeleteFile('C:\Windows\Tasks\Recovery Tool for Video Saver2.job','32');
 DeleteFile('C:\Program Files (x86)\Video Saver\Ilmia6N.exe','32');
 DeleteFile('C:\Windows\Tasks\Update Service for Video Saver.job','32');
 DeleteFile('C:\Windows\Tasks\Update Service for Video Saver2.job','32');
 DeleteFile('C:\Users\Admin\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
 DeleteFile('C:\Windows\system32\Tasks\Recovery Tool for Video Saver','64');
 DeleteFile('C:\Windows\system32\Tasks\Recovery Tool for Video Saver2','64');
 DeleteFile('C:\Windows\system32\Tasks\Update Service for Video Saver','64');
 DeleteFile('C:\Windows\system32\Tasks\Update Service for Video Saver2','64');
 DeleteFile('C:\Users\Admin\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','32');
 DeleteFile('C:\Users\Admin\appdata\local\microsoft\windows\vkmusicdownloader.exe','32');
 DeleteFile('C:\Program Files (x86)\Акты и накладные.doc.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Файл c:\logstr.txt прикрепите к сообщению.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[murometz]

Карантин загрузил.

- - - - -Добавлено - - - - -

Сделал новые логи. AVZ использовал ту, которую вы мне в сообщении советовали.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[murometz]

все сделано.

[thyrex]

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
Task: {7DE2EF3E-71C5-4D8F-BD4B-828CC77E3B64} - \nethost task No Task File <==== ATTENTION
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-2958355664-3579244440-2858059601-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-2958355664-3579244440-2858059601-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://vremenu.ru/?utm_content=42020c23a14b2c037c968835832a4987&utm_source=startpm&utm_term=E093D3E972989EB6924BAEBFA5082AEF
HKU\S-1-5-21-2958355664-3579244440-2858059601-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4fa40a42c7e792aca7352942f552c416&text={searchTerms}
HKU\S-1-5-21-2958355664-3579244440-2858059601-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4fa40a42c7e792aca7352942f552c416&text={searchTerms}
SearchScopes: HKU\S-1-5-21-2958355664-3579244440-2858059601-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4fa40a42c7e792aca7352942f552c416&text={searchTerms}
SearchScopes: HKU\S-1-5-21-2958355664-3579244440-2858059601-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4fa40a42c7e792aca7352942f552c416&text=
SearchScopes: HKU\S-1-5-21-2958355664-3579244440-2858059601-1000 -> {77ADC42B-B55F-443B-A930-B4DF37EB2C84} URL = http://go-search.ru/search?q={searchTerms}
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files (x86)\IObit\IObit Uninstaller\UninstallExplorer64.dll No File
BHO: advPlugin -> {1FE48F08-A2AC-44AC-A21C-0556D91C50DA} -> C:\Program Files (x86)\advPlugin\Toolbar64.dll No File
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} ->  No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} ->  No File
Toolbar: HKU\S-1-5-21-2958355664-3579244440-2858059601-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF DefaultSearchEngine: GoSearch
FF Homepage: hxxp://vremenu.ru/?utm_content=42020c23a14b2c037c968835832a4987&utm_source=startpm&utm_term=E093D3E972989EB6924BAEBFA5082AEF
FF Extension: Video Saver - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{631F9C5D-6307-4E32-BC0D-B1C3A0C064F3} [2015-06-17]
OPR Extension: (No Name) - C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\kneggodalbcmgdkkfhbhbicbbahnacjb [2015-02-10]
2015-07-21 13:32 - 2015-07-21 13:32 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Обнови Софт
2015-07-13 18:38 - 2015-07-13 18:48 - 00000000 ____D C:\Users\Admin\AppData\Roaming\eTranslator
2015-07-28 16:14 - 2015-07-28 16:23 - 0521306 _____ () C:\Program Files (x86)\log1.log
2015-07-28 16:14 - 2015-07-28 16:14 - 0000065 _____ () C:\Program Files (x86)\ZQXGWPWQWB.IOV
Reboot:

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[murometz]

сделано.

[thyrex]

С расшифровкой не поможем

[murometz]

Очень жаль, но все равно спасибо! Начнем жизнь с чистого листа
Хотелось только узнать почему? Слишком сложный шифр?
И вирус я до конца удалил? Винду переустанавливать не надо?

[thyrex]

Систему переустанавливать смысла нет.

Слишком сложный шифр?

Часть информации, необходимой для расшифровки, сама зашифрована с использованием трех разных RSA-ключей

Если бы у Вас было включено восстановление системы, все могло бы оказаться более оптимистичным

[murometz]

Ну да, я уже понял.
Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\internet explorer\iexplore.bat - not-a-virus:AdWare.BAT.Clicker.af
  2. c:\program files (x86)\video saver\tool\recover.exe - not-a-virus:WebToolbar.Win32.Agent.byp
  3. c:\users\admin\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe - not-a-virus:Downloader.Win32.LMN.afw ( DrWEB: Trojan.LoadMoney.491 )
  4. c:\users\admin\appdata\local\microsoft\windows\vkm usicdownloader.exe - Trojan.Win32.Radonskra.c ( DrWEB: Trojan.DownLoader12.15514, BitDefender: Gen:Variant.Graftor.166220, AVAST4: Win32:Trojan-gen )
  5. c:\users\admin\appdata\local\systemdir\nethost.exe - HEUR:Trojan.Win32.Generic