Вирус закодировал файлы

[Katerinka]

Добрый день!

Вирус закодировал файлы. Все рабочие файлы с именами такого вида: [email protected]-CL 1.2.0.0.id-ACCDEFGHHHIJJKLLLMNNOPQQQRSSTUUUVWWX-04.04.2016 13@[email protected]
Закодировались файлы всех текстовых расширений (Ворд, опен офис, текст), pdf-файлы, табличные файлы, архивы, картинки. Не тронуты файлы для специального софта по расчету освещения.

Все закодированные файлы находятся в папке с которой синхронизировался яндекс диск. Синхронизацию отключила. На обоих компьютерах, которые работали с этой папкой на яндекс диске картина одинаковая: кроме папки, синхронизировавшейся с ЯД, больше в рабочих папках подобных файлов нет.

Подскажите как с этим бороться, чтобы не потерять, файлы, которые закодированы.

П.С. Rectodcryptor и Horistdecryp ничего не обнаружили. Avast также ничего не нашел. Закодированный файл проверила в онлайн сервисе Касперского - он ничего не нашел подозрительного.

[Info_bot]

Уважаемый(ая) Katerinka, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
DeleteService('bd0003');
 DeleteService('bd0004');
 DeleteService('BDAntiExp');
 DeleteService('BDSafeBrowser');
 DeleteFile('D:\WINDOWS\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('D:\WINDOWS\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('D:\WINDOWS\system32\DRIVERS\BDAntiExp.sys','32');
 DeleteFile('D:\WINDOWS\system32\DRIVERS\BDSafeBrowser.sys','32');
 DeleteFile('D:\Documents and Settings\Alik\Мои документы\Мои рисунки\NY\.picasaoriginals\Thumbs.db','32');
ExecuteSysClean;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Скачайте AVZ 4.46, обновите его базы

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Katerinka]

Все выполнила. Логи во вложении.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[Katerinka]

Во вложении.

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKU\S-1-5-21-507921405-884357618-682003330-1003\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=%SID%&text={searchTerms}
HKU\S-1-5-21-507921405-884357618-682003330-1003\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=%SID%&text={searchTerms}
SearchScopes: HKU\S-1-5-21-507921405-884357618-682003330-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=%SID%&text={searchTerms}
Toolbar: HKU\S-1-5-21-507921405-884357618-682003330-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-507921405-884357618-682003330-1003 -> No Name - {4F524A2D-5350-4500-76A7-7A786E7484D7} -  No File
FF Extension: No Name - D:\Documents and Settings\Alik\Application Data\Mozilla\Firefox\Profiles\b7p9p2y3.default\extensions\{40AC5270-A9D0-11DE-B979-F0B655D89593}.xpi [not found]
StandardProfile\AuthorizedApplications: [D:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Disabled:百度高速下载器
DomainProfile\AuthorizedApplications: [D:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[Katerinka]

Скажите, а насколько реально восстановить файлы, если у меня есть папка модифицированная и исходная? Есть еще PDF- файл исходный и измененный. Есть ZIP архив исходный и закодированный. Можно еще поискать, если надо.

И еще: в папке, с которой, видимо, началось заражение, нашла файлы с именами: [1]CompObj, [1]Ole, [5]DocumentSummaryInformation, [5]SummaryInformation, 6D903100, 38F03100, 918A3100, 52373100, Workbook. У меня таких файлов не было и по количеству они лишние. Те которые были ранее все переименовались в формате, который я указывала в первом сообщении. А эти появились, видимо, в результате работы вируса.

Лог во вложении.

[thyrex]

С расшифровкой помогут только сами злодеи.