Вирус шифровки файлов, расширение .vault

[kooping]

Добрый день!

Нужна помощь в расшифровке файлов.

На почту пришло письмо с вложением. Вложение было скачено, запущенно.

После чего все файлы на компьютере зашифровались, и к ним прибавилось расширение .vault

Если необходимо, есть ключи данного вируса.

Спасибо!

[Info_bot]

Уважаемый(ая) kooping, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\system32\ntkrnlpa.exe','');
 QuarantineFile('C:\PROGRA~2\Mozilla\gldcral.exe','');
 QuarantineFileF('C:\PROGRA~2\Mozilla', '*.exe,*.dll,*.sys', false,'', 0, 0);
 DeleteFile('C:\Windows\system32\Tasks\qmmtaxj','32');
 DeleteFile('C:\PROGRA~2\Mozilla\gldcral.exe','32');
  BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.


- Подготовьте новый лог AVZ

Если необходимо, есть ключи данного вируса.

О каких ключах идет речь?

[kooping]

Добрый день!

Выполнил данные требования, отправил файл quarantine.zip через карантин.

Подготовил новые логи AVZ

О каких ключах идет речь?

Этот ключ, по словам злоумышленников, нужен для того, что бы они мне смогли расшифровать за n-ую суму денег.

Спасибо!

[SQ]

Сами прописывали?

IE задан прокси-сервер Internet\ManualProxies = "0http://erinope.com/recfor/today2.ruy"

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 ExecuteRepair(10);
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.


- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[kooping]

Добрый день!

Сами прописывали?
| IE задан прокси-сервер Internet\ManualProxies

Не помню. Спасибо что заметили, удалил из прокси IE.

Выполнил сканирование через программу Farbar Recovery Scan Tool. Прикрепляю логи.

Спасибо!

[SQ]

Сами ставили?

FF Extension: Desktopy - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Prof iles\p1q6zy50.default\Extensions\{71238372-3743-33ab-8a9f-93722af74c97}.xpi [2014-12-03] [not signed]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  AutoConfigURL: [HKLM] => hxxp://erinope.com/recfor/today2.ruy
  ManualProxies: 0hxxp://erinope.com/recfor/today2.ruy
  Toolbar: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000 -> No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} -  No File
  FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
  CHR Plugin: (Native Client) - C:\Users\User\AppData\Local\Google\Chrome\Application\49.0.2623.110\ppGoogleNaClPluginChrome.dll => No File
  CHR Plugin: (Chrome PDF Viewer) - C:\Users\User\AppData\Local\Google\Chrome\Application\49.0.2623.110\pdf.dll => No File
  CHR Plugin: (Shockwave Flash) - C:\Users\User\AppData\Local\Google\Chrome\Application\49.0.2623.110\gcswf32.dll => No File
  CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32.dll => No File
  CHR Plugin: (Skype Toolbars) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\lifbcibllhkdhoafpjfnlhfpfgnpldfl\5.6.0.8442_0\npSkypeChromePlugin.dll => No File
  CHR Plugin: (Silverlight Plug-In) - C:\Program Files\Microsoft Silverlight\4.0.60831.0\npctrl.dll => No File
  CHR Plugin: (Google Update) - C:\Users\User\AppData\Local\Google\Update\1.3.21.111\npGoogleUpdate3.dll => No File
  2016-03-14 09:39 - 2016-03-14 09:47 - 06758092 _____ C:\Users\User\AppData\Roaming\CONFIRMATION.KEY
  2016-03-14 09:39 - 2016-03-14 09:39 - 00001623 _____ C:\Users\User\AppData\Roaming\VAULT.KEY
  2016-03-14 09:39 - 2016-03-14 09:47 - 6758092 _____ () C:\Users\User\AppData\Roaming\CONFIRMATION.KEY
  2016-03-14 09:39 - 2016-03-14 09:39 - 0001623 _____ () C:\Users\User\AppData\Roaming\VAULT.KEY
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{00BB2763-6A77-11D0-A535-00C04FD7D062}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{03C036F1-A186-11D0-824A-00AA005B4383}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{047DDC7E-F9C2-11DD-A093-79D855D89593}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{08244EE6-92F0-47F2-9FC9-929BAA2E7235}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{0AF10CEC-2ECD-4B92-9581-34F6AE0637F3}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{0AFACED1-E828-11D1-9187-B532F1E9575D}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{0E5AAE11-A475-4C5B-AB00-C66DE400274E}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{11DBB47C-A525-400B-9E80-A54615A090C0}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{1F486A52-3CB1-48FD-8F50-B8DC300D9F9D}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{23170F69-40C1-278A-1000-000100020000}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{32e34c63-2013-4ee9-b4fb-3bf4aa33aa25}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{35786D3C-B075-49B9-88DD-029876E11C01}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{61a955b5-06dc-4371-bae4-c228777d6d87}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{640167B4-59B0-47A6-B335-A6B3C0695AEA}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{76765B11-3F95-4AF2-AC9D-EA55D8994F1A}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{76D0CB12-7604-4048-B83C-1005C7DDC503}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{82C588E7-E54B-408C-9F8C-6AF9ADF6F1E9}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{9113A02D-00A3-46B9-BC5F-9C04DADDD5D7}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{A4A1A128-768F-41E0-BF75-E4FDDD701CBA}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{AE054212-3535-4430-83ED-D501AA6680E6}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{B155BDF8-02F0-451E-9A26-AE317CFD7779}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{b524799f-1122-4978-ad75-514c406b08b5}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{B8967F85-58AE-4F46-9FB2-5D7904798F4B}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{C90250F3-4D7D-4991-9B69-A5C5BC1C2AE6}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{cfe33012-70f5-428e-bedc-b26bf237e21c}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{DFFACDC5-679F-4156-8947-C5C76BC0B67F}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{E88DCCE0-B7B3-11D1-A9F0-00AA0060FA31}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{EDB5F444-CB8D-445A-A523-EC5AB6EA33C7}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{F02C1A0D-BE21-4350-88B0-7367FC96EF3C}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{F562A2C8-E850-4F05-8E7A-E7192E4E6C23}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{fb668c1b-efe4-457c-9923-e0144150e9e1}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{FE841493-835C-4FA3-B6CC-B4B2D4719848}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{FFE2A43C-56B9-4BF5-9A79-CC6D4285608A}\InprocServer32 -> no filepath
  Task: {EE45B2E0-13B9-4975-B4A5-FA03FB6255AC} - \qmmtaxj -> No File <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:A1364FD1 [130]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:A1364FD1 [130]
  HKU\S-1-5-21-3233939577-1117756114-1159661431-1000\Software\Classes\.exe:  =>  <===== ATTENTION
  HKU\S-1-5-21-3233939577-1117756114-1159661431-1000\Control Panel\Desktop\\Wallpaper -> C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Internet Explorer Wallpaper.bmp
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, сервер будет перезагружен.

[kooping]

Добрый день!

Сами ставили?
FF Extension: Desktopy - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Prof iles\p1q6zy50.default\Extensions\{71238372-3743-33ab-8a9f-93722af74c97}.xpi [2014-12-03] [not signed]

Нет. Избавился.

Выполнил инструкцию с утилитой Farbar Recovery Scan Tool. Лог прилагаю.

Спасибо!

[SQ]

К сожалению, с расшифровкой не поможем.

P.S. Важно: До тех пор пока не решите вопрос с расшифровкой не удаляйте каталог C:\FRST\Quarantine.

[kooping]

К сожалению, с расшифровкой не поможем.

А если оформить подписку на раздел "Помощь в расшифровке файлов, пострадавших от шифровальщиков".

Там есть возможность что расшифруют файлы?

Спасибо!

[SQ]

К сожалению нет, в случае появления такой возможности Вам бы сообщили.

[kooping]

А есть такие умельцы, которые могут написать своими силами дешифратор?

Или может есть сервисы, которые могу взяться за расшифровку?

Любая информация будет полезна.

Большое спасибо за оказанную помощь!

[SQ]

kooping без приватного ключа, который есть только у злоумышленников расшифровать невозможно.

P.S. Если у Вас есть лицензия на продукты Лаборатории Касперского, то можете попробовать создать запрос на помощь по расшифровки данных. Но опять же гарантий не каких нет.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены