вирус зашифровал файлы в *.better_call_saul [Trojan.Win32.Boaxxe.kz ]

[ejay19rus]

делопроизводитель получил письмо, запустил вложение, в итоге на следующий день в автозагрузке сидит csrss.exe, а все файлы зашифрованы, имена файлов имеют расширение *.better_call_saul. В корне диска readme в котором требования выполнить определенные действия, которые приведут к дешифровке файлов, правда еще и денег надо дать)
вопрос: как дешифровать файлы? на момент заражения стоял каспер 6, который предательски промолчал и пропустил вирус.

[Info_bot]

Уважаемый(ая) ejay19rus, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

http://virusinfo.info/pravila.html

[ejay19rus]

http://virusinfo.info/pravila.html

извиняюсь, исправиляюсь

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Users\Анастасия Викторовна\AppData\Local\Elwtion\nmrwanhw.dll','');
 QuarantineFile('C:\Users\Анастасия Викторовна\AppData\Local\Ackdworks\nmdgeprl.dll','');
 QuarantineFile('C:\Users\Анастасия Викторовна\AppData\Local\Elwtion\7546C9FE.exe','');
 TerminateProcessByName('c:\users\Анастасия Викторовна\appdata\local\elwtion\7546c9fe.exe');
 QuarantineFile('c:\users\Анастасия Викторовна\appdata\local\elwtion\7546c9fe.exe','');
 DeleteFile('c:\users\Анастасия Викторовна\appdata\local\elwtion\7546c9fe.exe','32');
 DeleteFile('C:\Users\Анастасия Викторовна\AppData\Local\Elwtion\7546C9FE.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Elwtion');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','YcwlPack');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ackdworks');
 DeleteFile('C:\Users\Анастасия Викторовна\AppData\Local\Ackdworks\nmdgeprl.dll','32');
 DeleteFile('C:\Users\Анастасия Викторовна\AppData\Local\Elwtion\nmrwanhw.dll','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[ejay19rus]

сделано

[mike 1]

Я просил тут карантин выкладывать, а?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[ejay19rus]

выполнено. он мне 2 файла сформировал. я оба прикрепил

[mike 1]

Анастасия Викторовна, а знаете почему у вас файлы зашифровались?

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   2016-03-29 09:55 - 2016-03-30 08:59 - 00000000 ____D C:\Users\Анастасия Викторовна\AppData\Local\Ackdworks
   2016-03-29 09:34 - 2016-03-30 09:19 - 00000000 ____D C:\Users\Анастасия Викторовна\AppData\Local\Elwtion
   2016-03-29 09:24 - 2016-03-29 09:24 - 06220854 _____ C:\Users\Анастасия Викторовна\AppData\Roaming\233844DF233844DF.bmp
   2016-03-28 17:27 - 2016-03-29 12:42 - 00000000 __SHD C:\Users\Все пользователи\Windows
   2016-03-28 17:27 - 2016-03-29 12:42 - 00000000 __SHD C:\ProgramData\Windows
   C:\Users\Анастасия Викторовна\AppData\Local\Temp\7546C9FE.exe
   zip:C:\FRST\Quarantine

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

[ejay19rus]

ну я как понимаю в автозагрузке сидел файл который и зашифровал данные. а попал он туда и выполнил действия потому что она работала под амдинскими права. А почему антивирус ничего не сказал - не знаю.

Архив upload.zip я загрузил через форму как вы и просили, файл fixlog.txt прикрепил

[mike 1]

потому что она работала под амдинскими права.

А почему твои юзеры имеют права администратора на компьютере?

А почему антивирус ничего не сказал - не знаю.

А я знаю почему. Антивирус уже давно снят с поддержки. К нему и базы уже не выпускают. Обновляйтесь до KES 10! Переход на новую версию бесплатный. http://support.kaspersky.ru/support/support_table

Антивирус Касперского 6.0 для Windows Workstations (HKLM\...\{8F023021-A7EB-45D3-9269-D65264C81729}) (Version: 6.0.4.1424 - Лаборатория Касперского)

И виновата в данном случае не она, а ты и только ты.

С расшифровкой не поможем.

[ejay19rus]

свои ошибки я понял и уже устранил. Выводы сделал. А были ли случаи что вы кому то помогли с расшифровкой? случаев много, но как я посмотрел по соседним веткам помочь еще не удалось никому

[mike 1]

У нас не было, но судя по антивирусу у тебя есть корпоративная лицензия на антивирус ЛК, следовательно у тебя есть возможность обратиться в их техподдержку.

[ejay19rus]

она тоже не помогла, как и ДрВеб

[mike 1]

Ну тогда остается только вариант что нибудь восстановить из резервных копий.

[ejay19rus]

Ну тогда остается только вариант что нибудь восстановить из резервных копий.

есть ли вероятность что позже антивирусные компании смогут решить эту проблему? или это шифрование данных по устойчивому алгоритму и без ключа вероятность восстановления данных стремится к нулю?

[mike 1]

Думаю что нет. Про RSA шифрование почитай немного. Насколько мне известно в тушке шифровальщика прописано около 100 публичных RSA ключей на тот случай, если нет интернета (публичный ключ выбирается случайным образом), а если интернет есть, то он получает случайный публичный ключ с сервера. А ключики там довольно большие.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\анастасия викторовна\appdata\local\elwtion\7546c9fe.exe - Trojan.Win32.Boaxxe.kz