Вирус троян da_vinci_code зашифровал кучу документов

[Станислав Берко]

Добрый день!

Пришло пересланное письмо от коллеги, открыл приложенный "архив" (спешил и не обратил внимание на расширение).
В итоге троян зашифровал кучу нужных документов.
Dr.Web его не опознал, только 360 Total Security.

Текст README-файлов, которые он оставил по всем дискам, где успел полазить, ниже.

удалено
Зашифрованный файл - https://cloud.mail.ru/public/9LJZ/87x5v8UgC

virusinfo_syscheck.zip
hijackthis.log

Уведомление

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
66B9AA8976464E647512|0
на электронный адрес [email protected] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
Если вы всё же хотите попытаться, то предварительно сделайте резервные копии файлов, иначе в случае
их изменения расшифровка станет невозможной ни при каких условиях.
Если вы не получили ответа по вышеуказанному адресу в течение 48 часов (и только в этом случае!),
воспользуйтесь формой обратной связи. Это можно сделать двумя способами:
1) Скачайте и установите Tor Browser по ссылке: https://www.torproject.org/download/...d-easy.html.en
В адресной строке Tor Browser-а введите адрес:
_http://cryptsen7fo43rr6.onion
и нажмите Enter. Загрузится страница с формой обратной связи.
2) В любом браузере перейдите по одному из адресов:
_http://cryptsen7fo43rr6.onion.to
_http://cryptsen7fo43rr6.onion.cab

[Info_bot]

Уважаемый(ая) Станислав Берко, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

http://virusinfo.info/pravila.html

[Станислав Берко]

http://virusinfo.info/pravila.html

Прошу прощения. Приложил файлы. Согласно инструкции пропустил п.1, т.к Windows 7x64

[mike 1]

Spy Hunter деинсталлируйте.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Станислав Берко]

Прилагаю результат работы FRST

FRST.txt
Addition.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <===== ATTENTION
   GroupPolicyScripts: Restriction <======= ATTENTION
   GroupPolicyScripts\User: Restriction <======= ATTENTION
   S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys [22704 2016-07-27] ()
   2016-07-27 18:17 - 2016-07-27 18:17 - 00022704 _____ C:\Windows\system32\Drivers\EsgScanner.sys
   2016-07-27 12:24 - 2016-07-27 18:03 - 00000000 __SHD C:\Users\Все пользователи\Windows_bak
   2016-07-27 12:24 - 2016-07-27 18:03 - 00000000 __SHD C:\ProgramData\Windows_bak

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

[Станислав Берко]

Прикладываю

Fixlog.txt

[mike 1]

С расшифровкой не поможем. Смените все пароли.

[Станислав Берко]

А есть теоретический шанс в будущем расшифровать? Понятно, что ключ у автора стойкий, но со временем наверно как-то словят его алгоритмы?
Все пароли - сохраненные в браузерах, Skype и на саму Windows? Или вообще все?

[mike 1]

Все пароли - сохраненные в браузерах, Skype и на саму Windows?

Да.

А есть теоретический шанс в будущем расшифровать?

Маловероятно.

Понятно, что ключ у автора стойкий, но со временем наверно как-то словят его алгоритмы?

Алгоритм шифрования уже известен.

[Станислав Берко]

То есть, алгоритм и ключ такие стойкие, что без ключа никак не расшифровать?
Печально.

Кстати, написал автору. Письма его лаконичны - сначала дал конфиг системы (ПО, параметры компьютера), во втором письме видимо назначил цену - 14000.

Это для информации будущим жертвам.

[mike 1]

То есть, алгоритм и ключ такие стойкие, что без ключа никак не расшифровать?

Алгоритм RSA используется для шифрования файлов. Более того, если на момент заражения есть выход в интернет, то публичный ключ берется с сервера. Если доступа в интернет нет, то берется произвольный ключ из тушки шифровальщика (если не ошибаюсь там их около 100).