Зашифрованные файлы.

**yusalek** · 20.02.2016, 12:36

Здравствуйте! 19.02.2016 на компьютере произошло шифрование файлов (расширение новых файлов better_call_saul) и появление файлов readme со следующим содержимым:

"Ваши файлы были зашифрованы.Чтобы расшифровать их, Вам необходимо отправить код:
781487014FEE41E05B85|0
на электронный адрес [email protected] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
Если вы всё же хотите попытаться, то предварительно сделайте резервные копии файлов, иначе в случае
их изменения расшифровка станет невозможной ни при каких условиях.".

Возможно ли восстановить зашифрованные файлы?

На сайте есть такая информация:

"Помощь в расшифровке файлов, пострадавших от троянов-шифровальщиков оказывается по платной подписке и позволяет во многих случаях восстановить файлы, зашифрованные злоумышленниками при помощи троянских программ.
Внимание! Перед обращением нужно обязательно убедиться, что в системе нет активного трояна-шифровальщика. Для этого необходимо пройти процедуру анализа и лечения компьютера согласно инструкции в бесплатном сервисе Помогите или платном сервисе Помогите+."

Т.е. в данном разделе форума можно только убедиться в наличии/отсутствии трояна? Мы готовы на платную подписку, время имеет значение. Сможете ли подсказать на каком этапе обращаться к помощи по расшифровке?

Логи прикреплены.
Заранее Спасибо!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 20.02.2016, 12:37

Уважаемый(ая) yusalek, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

SQ · 21.02.2016, 01:17

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end; 
 QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Application Data\LolliScan\LolliScan32.dll','');
 QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Application Data\Service7609\Service7609.exe','');
 QuarantineFile('C:\program files\common files\microsoft shared\data\bin\msiexec.exe','');
 QuarantineFile('C:\Program Files\Common Files\Symantec Shared\ccApp.exe','');
 QuarantineFile('c:\program files\software602\print2pdf\prnpack.exe','');
 QuarantineFile('C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\system32\antiav_exe.exe','');
 QuarantineFile('C:\WINDOWS\system32\hloader_exe.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntrchwio.sys','');
 QuarantineFile('DevDetect.exe','');
 DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Application Data\Service7609\Service7609.exe','32');
 DeleteFile('C:\WINDOWS\system32\amvo.exe','32');
 DeleteFile('C:\WINDOWS\system32\antiav_exe.exe','32');
 DeleteFile('C:\WINDOWS\system32\hloader_exe.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\NOMPDXWBWRKECLVF.job','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amva','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\auto__antiav__key','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\auto__hloader__key','command');
   BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Приложите новый лог AVZ.

**yusalek** · 21.02.2016, 15:19

Карантин направлен, логи прикрепляю.

SQ · 21.02.2016, 15:54

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**yusalek** · 21.02.2016, 16:19

Сделано.

SQ · 21.02.2016, 18:43

Знкакомы ли Вам?

Код:

HKU\S-1-5-18\...\RunOnce: [TSClientMSIUninstaller] => cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs"
HKU\S-1-5-18\...\RunOnce: [TSClientAXDisabler] => C:\WINDOWS\Installer\TSClientMsiTrans\tscdsbl.bat [2247 2008-01-18] ()

Знкакомы ли Вам следующие службы?

Код:

U1 ovfsthbftkbevpwswvinaesmprqxnktrftbxnx; C:\WINDOWS\system32\drivers\ovfsthrlgauxvkjjiscmsrejobggxcmsnrvdsl.sys [0 2009-03-27] () <==== ATTENTION (zero byte File/Folder)
U4 dwshd; \SystemRoot\System32\drivers\dwshd.sys [X]
U0 dwshd7f8caa23; \SystemRoot\System32\drivers\dwshd.sys [X]
S3 zmNTZip; \??\C:\Program Files\ZipMagic\zmNTZip.sys [X]

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end; 
 QuarantineFile('C:\WINDOWS\system32\drivers\ovfsthrlgauxvkjjiscmsrejobggxcmsnrvdsl.sys','');
 QuarantineFile('C:\Windows\System32\drivers\dwshd.sys','');
 QuarantineFile('C:\Program Files\ZipMagic\zmNTZip.sys','');
   BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Знкакомы ли Вам настройки рабочего стола?

Код:

HKU\S-1-5-19\...\Policies\Explorer: [NoViewContextMenu] 0
HKU\S-1-5-19\...\Policies\Explorer: [HideClock] 0
HKU\S-1-5-20\...\Policies\Explorer: [NoViewContextMenu] 0
HKU\S-1-5-20\...\Policies\Explorer: [HideClock] 0

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
HKLM\...\Policies\Explorer\Run: [] => 1
HKLM\...\Policies\Explorer: [hx-1] 1
HKU\S-1-5-18\...\RunOnce: [] => [X]
AppInit_DLLs: C:\Documents and Settings\All Users.WINDOWS\Application Data\LolliScan\LolliScan32.dll => No File
AppInit_DLLs:  mslogon.dll => No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
BHO: Java(tm) Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files\Java\jre6\bin\jp2ssv.dll => No File
Toolbar: HKU\S-1-5-21-501366696-639346345-469244531-1120 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF SelectedSearchEngine: &#208;&#175;&#208;&#189;&#208;&#180;&#208;µ&#208;&#186;&#209;
FF Plugin: [email protected]/YahooActiveXPluginBridge;version=1.0.0.1 -> C:\Program Files\Yahoo!\Common\npyaxmpb.dll [No File]
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\1C4.exe
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\epdpdrv5.dll
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\epdpdui5.dll
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\install_reader11_ru_chra_dy_aaa_aih.exe
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\InstHelper.exe
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\NEventMessages.dll
C:\Documents and Settings\vvkozemaslov\Local Settings\Temp\Uninstall.exe
C:\Windows\System32\Drivers\ovfsth.sys
C:\Windows\System32\Drivers\ovfsthrlgauxvkjjiscmsrejobggxcmsnrvdsl.sys
AlternateDataStreams: C:\Documents and Settings\All Users.WINDOWS\Application Data\TEMP:373E1720
AlternateDataStreams: C:\Documents and Settings\All Users.WINDOWS\Application Data\TEMP:B3D74A13
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amva]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\auto__antiav__key]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\auto__hloader__key]
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**yusalek** · 22.02.2016, 14:20

Ничего из вышеперечисленного не знакомо. Карантин прикреплен. Лог направляю.

SQ · 23.02.2016, 01:52

С рашифровкой не поможем.

По поводу служб, в карантин не попали, поэтому нет уверености в их вредоносности:

Код:

U4 dwshd; \SystemRoot\System32\drivers\dwshd.sys [X]
U0 dwshd7f8caa23; \SystemRoot\System32\drivers\dwshd.sys [X]
S3 zmNTZip; \??\C:\Program Files\ZipMagic\zmNTZip.sys [X]

Для зачистки службы нулевым файлом/драйвером "ovfsthrlgauxvkjjiscmsrejobggxcmsnrvdsl.sys" выполните:

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Код:
```
CreateRestorePoint:
CloseProcesses:
U1 ovfsthbftkbevpwswvinaesmprqxnktrftbxnx; C:\WINDOWS\system32\drivers\ovfsthrlgauxvkjjiscmsrejobggxcmsnrvdsl.sys [0 2009-03-27] () <==== ATTENTION (zero byte File/Folder)
Reboot:
```
Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**yusalek** · 23.02.2016, 13:34

Лог прикрепил.

Т.е. за помощью в расшифровке обращаться в платный раздел форума нет смысла? Если так, то не могли бы Вы личным сообщением или здесь написать куда с этим делом можно обратиться(хотя бы попытаться)?

Спасибо за помощь!