# Форум на русском языке  > Угрозы информационной безопасности  > Вредоносные программы  >  Поймал вирус. Дублирует doc и jpeg файлы с раширением вконце .vscrypt

## Maks76

Пожайлуста помогите. Поймал вриус, дублирует doc и jpeg файлы с раширением вконце .vscrypt По этой ссылке афтар вируса выложил исходники и файлы дешифратора:cut1 
Вирус фотографии моей маленькой дочки зашифровал, жена в шоке, я тоже. В .doc тоже ценная для меня информация, открываются какие-то закорючки. Подскажите что делать?

*Добавлено через 36 минут*

Вот, если что, ссылка на мои фалы cut . Там 4 файла: 2-doc(нормальный - .doc и измененный - .doc.vscrypt и также 2 jpeg)

----------

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

----------


## pig

Навскидку - можете попробовать вот это, хуже не будет. Хотя по описанию не очень похоже...

----------


## Maks76

Troyan Encoder descriptor-33decrypt не помог. Пишет: "Не удалось найти первый ключ. Компьютер не инфицирован".  Прошу еще варианты.

----------


## pig

Тогда можно сюда. Категория "Запрос на лечение". Повторите там всё, что здесь написали. Раз зверь ходит в диком виде, должны отреагировать оперативно. Хотя и не факт, что за сутки справятся.

У вас на машине какой антивирус?

----------


## Maks76

Так получилось, что комп начал си-и-ильно тормозить. Так как причин для этого кроме действия вируса не наблюдалось, я занялся его поисками посредством разных антивирусов. Уже точно не помню, толи Касперский, толи drWeb нашел 2 подозритьельных файла, удалил их и перезагрузил компьютер. С этого все и началось... Спасибо вам большое за оперативные подсказки.  Уже не раз сюда обращаюсь и очень вам всем благодарен. По предлженной ссылке, запрос на лечение сделаю, о результатах отпишусь. Надеюсь, что "зверюгу" можно победить.

----------


## pig

А штатного aka постоянного антивируса не держите?
Подозрительные файлы прибитые - большой интерес представляют. Что в них нашлось, конечно, не помните?

----------


## Maks76

Нет, не помню. Как обычно, антивир определил подозрительные файлы, как вирусы, я и убил их безвозвратно. Намедни, друг мой в гости со своей флешкой приходил, может он "подарочек" принес. 6 вирусов у него нашел, может что-то и проскочило...

----------


## Лёха-Молодец

Пожайлуста помогите. Поймал вриус, дублирует doc и jpeg файлы с раширением вконце .vscrypt . Подскажите что делать? Скачал утилиту от док.Вэб-te19decrypt.exe, но она запрашивает файл vscrypt.txt, а у меня он удалён. Я в панике-sos, плиз, всё ведь затронул этот гад.

----------


## senyak

В "Помогите!", но с начало читать правила

----------


## Alex_Goodwin

Попробуйте дешифровщик тут

----------


## Kuzz

> но она запрашивает файл vscrypt.txt, а у меня он удалён.


Попробуйте все-же найти его поиском по всем дискам.
Он необходим для расшифровки

----------


## Alex_Goodwin

Либо восстановить удаленный спец. утилитами.

----------


## michaelspb

здраствуйте, помогите, подскажите что делать!времени совсем нет и все антивирусы не помогают!
вирус дублирует doc и jpeg файлы с раширением вконце .vscrypt 
самое инетресное что не все файлы продублированы, очень много осталось нормальтных и спокойно открываются, а другие нет(в одной папке как правило все не заражены.
никакие антивирусы не помогает и даже те что были предложены тут.
слышал про какую ту delphi, но что это и как не знаю!

----------


## Kuzz

Вот тут DrWeb дают скачать и объясняют как использовать спецутилиту для расшифровки

----------


## michaelspb

спасибо что откликнулись!
сейчас я на работе, а это происходит у меня дома, вчера уже скачал и попробовал её в действии, но мои зашифорванные файлы находятся на диске D, а программа работала(смотрела что она делала)только с диском С и похоже там вылечила(там у меня cтоит TOP Plan и работает более менее)а вот на дешке ничего не сделала, хотя сохранена эта утилита именно на D
или мне попробовать всё  что на D скинуть на С?

----------


## Kuzz

А если внимательно посмотреть ссылку, то там есть



> *Как использовать утилиту*
> 
> Запустите расшифровку файлов на всем диске C:. Для этого запустите программу, со следующими параметрами командной строки:
> 
> te19decrypt.exe [путь]
> например:
> te19decrypt.exe c:\
> 
> Файлы на диск С: будут расшифрованы. По окончании работы утилиты рядом с шифрованными файлами .crypt должны появиться расшифрованные файлы без окончания .crypt. Шифрованные файлы удалять не надо, т.к. не исключена возможность некорректной расшифровки.
> ...


Так что стоит попробовать 

```
te19decrypt.exe D:\
```

PS. Несмотря на то, что DrWeb указывает расширение зашифрованых файлов как .crypt, утилита умеет работать и с .vscrypt

----------


## michaelspb

заранее извиняюсь за глупый вопрос, ламер ламером))

я так понимаю это надо сделать перед началом сканирования, когда появляется эта программа, в её окне?..скачать сейчас и посмотреть как и что я её к сожалению не могу(нет доступа), так что говорю по памяти

*Добавлено через 8 минут*

и ещё вопрос, если знаете, как мне найти сам вирус и удалить его?
кстаи на диске С у меня появилась папка с файлом DLL как я уже понял от этого вируса - удалять мне её сейчас или это и есть код..или это и есть сама программа?
и ещё
расшифруются ли файлы если я удалил их копии с добавкой vscrypt?

----------


## OSSP2008

> я удалил их копии с добавкой vscrypt?


Зря это сделали

----------


## michaelspb

ладно, эти фотографии, копии которых я удалил, не особо важны мне, я знаю где их взять заново
вот что насчет самого вируса?
кстати похоже этот вирус ещё и поудалял несколько фотографий, в одной папке из 700 осталось только около 250 и они оказались зашифрованными

*Добавлено через 6 часов 3 минуты*

чёрт, это я про другую прогу говорил, а это не хочет работать т.к. нету файла crypted.txt? а его у меня и отрадясь не было, во всяком случаи я его и не видел...что делать?

----------


## Kuzz

> чёрт, это я про другую прогу говорил, а это не хочет работать т.к. нету файла crypted.txt? а его у меня и отрадясь не было, во всяком случаи я его и не видел...что делать?


Попробуйте поискать на всех дисках этот файл.
Если не найдется - тогда в помогите создавать тему по правилам. Возможно удастся отловить шифратор и отправить аналитикам

----------


## michaelspb

искал, нету
просто я его и н помню, где вообще он может быть
и есть папка на С vsworkdir с файлом CSCA1.DLL, удалять его?

попробую зайти в помогите...там кончно много надо сделать. а времени то нет совсем

----------

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

----------


## Kuzz

"Лучше пол дня потерять, потом за пять минут долететь..."

----------


## michaelspb

это правильно
попробую, но уже не раньше понедельника
да и нашел в помогите похожую тему и там сказали другому человеку что не смогут воостановить файлы...увы
твердите, что можно с помощью утилиты от доктора веба исправить, но сначала не получалось её открыть т.к. нет файла cryptes.txt
как я понял этот фал стандартный и в нем написано что комп инфицирован и бла бла бла...ну я его создал и...о чудо прога заработала, стала сканировать и С и D, НЕ спрашивая никаких путей типа te19decrypt.exe c:\
прошлась по всему и в конце выдала - расшифрованных файлов - 0...

----------


## Kuzz

потому что в этом самом "cryptes.txt" не было ключа шифрования...

Если почитать сообщение от DrWeb:



> Если Вам не удалось расшифровать некоторые файлы, просим присылать на адрес [email protected] файл crypted.txt из корня диска C: и несколько образцов зашифрованных файлов.


Возможно теперь используется другой метод
Попробуйте связаться с аналитиками (e-mail приведен в цитате), возможно им удастся "сломать" эту методику
только укажите  свои симптомы (и то, что cryptes.txt нет)

----------


## michaelspb

спасибо за совет, так и попробую!
как сделаю, отпишусь

----------


## michaelspb

прислали мне дешифратор, одному человеку он помог, ну и я решил попробовать
эта прога нвшла очень много файлов, потом их дешифровала, а азтем удалила копии, но увы ничего практически не расшифровала и теперь никак и не расшифровать - копий то нет...ну и ладно, одни файлы. что зашифрованы было не особо нужны, а другие я делал резервные копии пару месяцев назад, так что не особо много потерял!

----------


## bolshoy kot

http://yandex.ru/yandsearch?rpt=rad&text=CSCA1.DLL
http://yandex.ru/yandsearch?text=vsworkdir
http://forum.ru-board.com/topic.cgi?...30506&start=40

*Добавлено через 56 секунд*

http://yandex.ru/yandsearch?text="small_codec.exe"&stpar2=/h0/tm3/s1&stpar4=/s1
http://yandex.ru/yandsearch?text=vsc.../s3&stpar4=/s3

----------


## Shu_b

ftp://ftp.drweb.com/pub/drweb/tools/
На текущий момент:

```
<DIR> ..
05/21/09 10:08 [GMT]         42,224 te34decrypt.exe
06/01/09 08:35 [GMT]         42,224 te37decrypt.exe
06/08/09 12:43 [GMT]         42,224 te38decrypt.exe
06/11/09 09:24 [GMT]         42,224 te39decrypt.exe
```

----------


## Zef77

Привет! У меня точно такая же проблема:
http://virusinfo.info/showthread.php?t=48350
Все файлы с расширением jpg, rar, word, все зашифровано.. Правда странно этот троян себя ведет, некоторые фото зашифровал в чистую, а некоторые папки даже не тронул..

----------


## Kuzz

Попробуйте поискать файлы вида *crypt*.txt* по всем дискам.
Если что-то найдется - дествуем так:
*копируем* найденный файл в c:\crypded.txt, если c:\crypded.txt уже был - сохраняем его. Он может в дальнейшем понадобиться аналитикам
а дальше выполняем эту инструкцию

Если не находится или не помогает - так

----------


## demetra

> Все файлы с расширением jpg, rar, word, все зашифровано.. Правда странно этот троян себя ведет, некоторые фото зашифровал в чистую, а некоторые папки даже не тронул..


аналогично

----------


## Kuzz

*demetra*, http://virusinfo.info/showthread.php?t=55586 + http://news.drweb.com/show/?i=611&c=5&p=0

----------


## demetra

http://forum.drweb.com/index.php?showtopic=283832&st=0

----------


## Kuzz

*demetra*, решилось - вот и хорошо

----------


## Neeekit

а что должно быть в файле  vscrypt.txt нашел файл с похожим названием там путь ко всем файлам которые изменил вирус,оно?

----------


## Lile

а если я "по дурости" удалила  :Sad:  crypted.txt до того как узнала про утилиты, которые без него теперь не работают, возможно что либо сделать?

----------

