Шифровщик win.rar под паролем [Trojan-Ransom.Win32.Mor.bn ]

[Фёдр Молчанов]

Здравствуйте, помогите, пожалуйста! Пришел файл по почте от "истца" (есть сохраненная версия вируса). на следующий день заметил появление запароленых архивов и файлов "!!!восстановлениеИмя_пользователя" без расширения, при открытии в блокноте представляется следующий текст:

-----BEGIN PGP MESSAGE-----
Version: 2.6.3i


hIwDwhS6S7R6WskBBAC/WuHQ2eiNOakldyRJ5Qhju5qOPQEbTG7zzdFgpMwmkY9W
vYPUmMeyuwElcezlo9PFC2LHRpGEFZShyFiLBHWNa7UXSFqmpf h7C6GoJSWP2Jbw
hAg70qsqAK+nmLLNsfNwpQckaQYTR29hkhMhGF/1XVYaZdAOyqs/3SovRxo466YA
AABPq/NdTjfBvFQm6Wc46kEIVMJr1gcmdW4NdiUekOqXg1G5RJIXMClU utMTe8wg
tTJJmGmCAw6A8RssRmjzZV/UBJBZ0TmZ4NylaE7rOjWE7w==
=7ahz
-----END PGP MESSAGE-----
Файлы заархивированы и на архивы установлен пароль. Стоимость пароля - десять тысяч рублей.
Отправьте один заархивированный файл небольшого размера и файл который сейчас читаете.
В течение 1-24 часов в ответном письме придет оригинальный файл (доказательство, что у нас есть пароль)
и инструкция оплаты. После оплаты придет пароль на архивы и программа (по желанию), которая разаархивирует
все данные. qopperry @ gmail . com

______
а в архиве папка Users/Имя_пользователя/Desktop и мой файл с еще одним созданным "fake.777" размером 0 байт

Судя по всему архивы созданы только на рабочем столе, а вот в других разделах висят только файлы "!!!восстановлениеИмя_пользователя" и "fake.777", запароленых архивов при этом нет.

[Info_bot]

Уважаемый(ая) Фёдр Молчанов, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

1. Скачайте Check Browsers' LNK и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите Check Browsers LNK.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет Check_Browsers_LNK.log
5. Прикрепите этот отчет в вашей теме.

[Фёдр Молчанов]

Не могу найти как прикрепить файлы к письму(

https://cloud.mail.ru/public/7vVx/cgs5ZE3jz - на маил диск положил

- - - - -Добавлено - - - - -

могу выслать сам вирус и то, что он натворил, может это хоть как-нибудь поможет расшифровать, что-то в сети пишут, что это не реально... Если эта услуга у Вас платная - я готов обсудить. Сейчас мне необходимо отойти мой viber, whatsapp для скорейшего решения вопроса (

[mike 1]

http://virusinfo.info/showthread.php?t=121951

[Фёдр Молчанов]

не понял Вас

[mike 1]

По ссылке перейти уже не можем? Лень матушка?

[Фёдр Молчанов]

АААА, не увидел))) сорри, прикрепляю.

[mike 1]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

[Фёдр Молчанов]

Вот. прикладываю, оба скан лог и лог после очистки. А есть возможность вскрыть пароли от архивов. Ведь сам вирус есть, нельзя понять что он прописывает в пассе?

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Фёдр Молчанов]

Прикрепляю

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM\...\Run: [baidusdTray] => "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe"  -stmd=3
  ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  No File
  ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  No File
  ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  No File
  ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  No File
  ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  No File
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
  Toolbar: HKU\S-1-5-21-3974399242-2614164931-1217500211-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
  FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\2.1.0.3086\explugin\npBaiduSDDetectPlug.dll [No File]
  CHR Extension: (Стартовая — Яндекс) - C:\Users\Бобер\AppData\Local\Google\Chrome\User Data\Default\Extensions\gehngeifmelphpllncobkmimphfkckne [2015-11-04]
  CHR Extension: (Стартовая — Яндекс) - C:\Users\Бобер\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2015-10-06]
  S1 bd0001; system32\DRIVERS\bd0001.sys [X]
  S1 bd0002; system32\DRIVERS\bd0002.sys [X]
  S1 BDEnhanceBoost; system32\DRIVERS\BDEnhanceBoost.sys [X]
  Folder: C:\temp
  Folder: C:\1C
  Folder: C:\123
  Task: {4CD8D966-C679-4E84-BB43-500A50CB40C1} - \Обновление Браузера Яндекс  -> No File <==== ATTENTION
  FirewallRules: [{8DA73C86-E860-4ACE-80CD-BCB73DC75CDF}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
  FirewallRules: [{B2784073-B03B-4A9F-A2CB-EE8C8045BABC}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
  FirewallRules: [{77FC6F17-0050-4EF5-B996-E77A09FDDD8C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
  FirewallRules: [{7D9C0B88-0069-410E-A421-D6E14DE0A60A}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
  FirewallRules: [{4D027A54-B9E3-49C0-9A36-4F1F3C22DE01}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
  FirewallRules: [{DB19C51D-7866-455A-AB28-833C0CBC23A3}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
  FirewallRules: [{19847B32-56DB-4D05-A0DF-5A3CE4C30FBB}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
  FirewallRules: [{03E099EA-CC65-4DF7-91C9-269FCB5B6F3B}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
  FirewallRules: [{C4257CEA-BF28-4FF0-9A5F-8C7F233737CF}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
  FirewallRules: [{B4C2A7A0-A43F-4A13-8712-509CA9C6C5A9}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
  FirewallRules: [{476CBC91-98A4-419F-8DB6-E882387337F3}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
  FirewallRules: [{44DA893C-1FA7-46C4-BE58-C19117B5DB48}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
  FirewallRules: [{1046192F-063D-4129-B77F-361CF35898ED}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
  FirewallRules: [{F0A6FABB-7709-413D-B254-5FC87DEF65A8}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
  FirewallRules: [{03996B63-35EE-440F-94FF-E0CFC52F734B}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
  FirewallRules: [{A8834FE2-3AC2-4D63-A2FF-A71C4254B754}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
  FirewallRules: [{692D5AF2-BC3A-47F3-94FA-51D443DB0F11}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
  FirewallRules: [{3A370FAB-3EAB-4503-BE74-F8813E0BC410}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
  FirewallRules: [{7924C5C3-A008-4805-B0DB-B4FB21AE9598}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
  FirewallRules: [{AF2782E2-FECA-47B2-B5E0-EBC3B8178EA5}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
  FirewallRules: [{59755F60-9116-4204-9B0B-B709BB4BCA56}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
  FirewallRules: [{A2C47F17-8398-47EC-A5A4-B0466B277578}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
  FirewallRules: [{4EDB4E22-2557-4FE8-BD27-6BBC42B0C7B9}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
  FirewallRules: [{5DAD7991-24CB-4CA1-8772-92B4D6F27BC0}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
  FirewallRules: [{DC761B72-40AF-4B07-94F1-AEC48788B881}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Фёдр Молчанов]

Вот, пожалуйста.

Отправил вирус в dr.web/ вот что ответили

Ваш запрос был проанализирован. Соответствующая запись добавлена в вирусную базу Dr.Web и будет доступна при следующем обновлении.
Угроза: Trojan.Encoder.2877

[mike 1]

C:\123

Пришлите всю папку согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Фёдр Молчанов]

вчера было отправлено.

[Фёдр Молчанов]

1. не обратил сразу внимание, при открытии win.rar начало появляться вот такое окно, это может быть совпадение, а может и нет. (безымянный1)

и Антивирус касперского начал определять вирус название в приложенном файле. (безымянный)

Папку с:/123 никто не помнит создавал ли ее кто-нибудь.

Спасибо Вам огромное. Жду ответа.

[thyrex]

С разархивированием не поможем

[Фёдр Молчанов]

с папкой с:/123 что-то делать?

- - - - -Добавлено - - - - -

thyrex, не представляете насколько жалко((

[thyrex]

Значит, покупайте какую-нибудь программу для перебора паролей, например, Elcomsoft Advanced Password Recovery, и приступайте к их перебору