Вирус закодировал файлы docx.pdf.xl.jpg, добавив расширение .cripttt [not-a-virus:HEUR:PSWTool.Win32.NetPass.gen ]

[Мурз]

После того как сын скачал и установил онлайн игру не открываются все файлы с расширением docx/ pdf/jpg./xl. У всех этих файлов добавилось расширение .cripttt. А так же тип файла у всех стал "CRIPTTT". И в каждой папке где есть эти документы появился документ с надписью SHTODELATVAM а внутри него: "Напишите нам для разблокировки Ваших файлов: [email protected]." Помогите раскодировать файлы пожалуйста.

[Info_bot]

Уважаемый(ая) Мурз, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Windows\system32\cpldapu\webbrowserpassview.exe','');
 DeleteFile('C:\Windows\system32\cpldapu\webbrowserpassview.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Мурз]

Карантин выслал

[mike 1]

Несколько зашифрованных файлов пришлите.

[Мурз]

Вот

[mike 1]

Ответил в ЛС.

[Мурз]

Огромное СПАСИБО!!! Расшифровал практически все кроме 178 файлов. А как с вирусом? Он еще в компьютере? Файлы "SHTODELATVAM" не были удалены....

[thyrex]

Расшифровал практически все кроме 178 файлов

Можете прислать такие файлы?

Файлы "SHTODELATVAM" не были удалены....

Утилита, которую Вам предложили, их не трогает

[Мурз]

Высылаю архив не расшифрованных файлов и скрин лога проверки утилитой RVRT. Как вывести эту заразу???

[thyrex]

~$иказ на сентябрь 2015 р..docx - это временный файл, оставшийся после открытого документа Word. Можно удалить, как мусор
10463[1].BMP - это на самом деле jpg-файл, успешно восстановлен после переименования (12 девчонок ).
chehov_anton_vanka.fb2.zip успешно восстановился.

Проверьте ЛС. С помощью предложенной утилиты можно будет удалить и файлы с сообщениями вымогателя (после полного сканирования).
Если что-то останется невосстановленным, выкладывайте одним архивом на Яндекс диск и присылайте ссылку

[Мурз]

Не получается удалить файл SHTODELATVAM, да и расшифровал только один файл FB2 ( тот что вам высылал). Можете дать ссылку на инструкцию по утилите Restorer?

[thyrex]

TeamViewer есть на компьютере?

[Мурз]

Нет. Все текстовые файлы от злодея я нашел через поиск виндоус и удалил. Точно так же поступил с частью не расшифрованных файлов (мусор). Кое что осталось на диске с, но надеюсь это не критично...

[thyrex]

Как Вам будет угодно

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\cpldapu\webbrowserpassview.exe - not-a-virus:HEUR:PSWTool.Win32.NetPass.gen