Поймал вирус. Дублирует doc и jpeg файлы с раширением вконце .vscrypt [Архив]

Maks76

28.12.2008, 03:34

Пожайлуста помогите. Поймал вриус, дублирует doc и jpeg файлы с раширением вконце .vscrypt По этой ссылке афтар вируса выложил исходники и файлы дешифратора:cut1
Вирус фотографии моей маленькой дочки зашифровал, жена в шоке, я тоже. В .doc тоже ценная для меня информация, открываются какие-то закорючки. Подскажите что делать?

Добавлено через 36 минут

Вот, если что, ссылка на мои фалы cut . Там 4 файла: 2-doc(нормальный - .doc и измененный - .doc.vscrypt и также 2 jpeg)

pig

28.12.2008, 03:47

Навскидку - можете попробовать вот это (http://news.drweb.com/show/?i=193&c=5&p=0), хуже не будет. Хотя по описанию не очень похоже...

Maks76

28.12.2008, 04:15

Troyan Encoder descriptor-33decrypt не помог. Пишет: "Не удалось найти первый ключ. Компьютер не инфицирован". Прошу еще варианты.

pig

28.12.2008, 04:25

Тогда можно сюда (http://vms.drweb.com/sendvirus/). Категория "Запрос на лечение". Повторите там всё, что здесь написали. Раз зверь ходит в диком виде, должны отреагировать оперативно. Хотя и не факт, что за сутки справятся.

У вас на машине какой антивирус?

Maks76

28.12.2008, 04:36

Так получилось, что комп начал си-и-ильно тормозить. Так как причин для этого кроме действия вируса не наблюдалось, я занялся его поисками посредством разных антивирусов. Уже точно не помню, толи Касперский, толи drWeb нашел 2 подозритьельных файла, удалил их и перезагрузил компьютер. С этого все и началось... Спасибо вам большое за оперативные подсказки. Уже не раз сюда обращаюсь и очень вам всем благодарен. По предлженной ссылке, запрос на лечение сделаю, о результатах отпишусь. Надеюсь, что "зверюгу" можно победить.

pig

28.12.2008, 04:54

А штатного aka постоянного антивируса не держите?
Подозрительные файлы прибитые - большой интерес представляют. Что в них нашлось, конечно, не помните?

Maks76

28.12.2008, 05:45

Нет, не помню. Как обычно, антивир определил подозрительные файлы, как вирусы, я и убил их безвозвратно. Намедни, друг мой в гости со своей флешкой приходил, может он "подарочек" принес. 6 вирусов у него нашел, может что-то и проскочило...

Лёха-Молодец

08.06.2009, 00:39

Пожайлуста помогите. Поймал вриус, дублирует doc и jpeg файлы с раширением вконце .vscrypt . Подскажите что делать? Скачал утилиту от док.Вэб-te19decrypt.exe, но она запрашивает файл vscrypt.txt, а у меня он удалён. Я в панике-sos, плиз, всё ведь затронул этот гад.

senyak

08.06.2009, 00:55

В "Помогите! (http://virusinfo.info/forumdisplay.php?f=46)", но с начало читать правила (http://virusinfo.info/showthread.php?t=1235)

Alex_Goodwin

08.06.2009, 10:31

Попробуйте дешифровщик тут (ftp://ftp.drweb.com/pub/drweb/tools/te34decrypt.exe)

Kuzz

08.06.2009, 10:53

но она запрашивает файл vscrypt.txt, а у меня он удалён.
Попробуйте все-же найти его поиском по всем дискам.
Он необходим для расшифровки

Alex_Goodwin

08.06.2009, 12:59

Либо восстановить удаленный спец. утилитами.

michaelspb

10.06.2009, 09:39

здраствуйте, помогите, подскажите что делать!времени совсем нет и все антивирусы не помогают!
вирус дублирует doc и jpeg файлы с раширением вконце .vscrypt
самое инетресное что не все файлы продублированы, очень много осталось нормальтных и спокойно открываются, а другие нет(в одной папке как правило все не заражены.
никакие антивирусы не помогает и даже те что были предложены тут.
слышал про какую ту delphi, но что это и как не знаю!

Kuzz

10.06.2009, 09:54

Вот тут DrWeb дают скачать и объясняют как использовать (http://news.drweb.com/show/?i=49) спецутилиту для расшифровки

michaelspb

10.06.2009, 10:27

спасибо что откликнулись!
сейчас я на работе, а это происходит у меня дома, вчера уже скачал и попробовал её в действии, но мои зашифорванные файлы находятся на диске D, а программа работала(смотрела что она делала)только с диском С и похоже там вылечила(там у меня cтоит TOP Plan и работает более менее)а вот на дешке ничего не сделала, хотя сохранена эта утилита именно на D
или мне попробовать всё что на D скинуть на С?

Kuzz

10.06.2009, 10:51

А если внимательно посмотреть ссылку, то там есть

Как использовать утилиту

Запустите расшифровку файлов на всем диске C:. Для этого запустите программу, со следующими параметрами командной строки:

te19decrypt.exe [путь]
например:
te19decrypt.exe c:\

Файлы на диск С: будут расшифрованы. По окончании работы утилиты рядом с шифрованными файлами .crypt должны появиться расшифрованные файлы без окончания .crypt. Шифрованные файлы удалять не надо, т.к. не исключена возможность некорректной расшифровки.

Если Вам не удалось расшифровать некоторые файлы, просим присылать на адрес [email protected] файл crypted.txt из корня диска C: и несколько образцов зашифрованных файлов.
Так что стоит попробовать
te19decrypt.exe D:\

PS. Несмотря на то, что DrWeb указывает расширение зашифрованых файлов как .crypt, утилита умеет работать и с .vscrypt

michaelspb

10.06.2009, 11:08

заранее извиняюсь за глупый вопрос, ламер ламером))

я так понимаю это надо сделать перед началом сканирования, когда появляется эта программа, в её окне?..скачать сейчас и посмотреть как и что я её к сожалению не могу(нет доступа), так что говорю по памяти

Добавлено через 8 минут

и ещё вопрос, если знаете, как мне найти сам вирус и удалить его?
кстаи на диске С у меня появилась папка с файлом DLL как я уже понял от этого вируса - удалять мне её сейчас или это и есть код..или это и есть сама программа?
и ещё
расшифруются ли файлы если я удалил их копии с добавкой vscrypt?

OSSP2008

10.06.2009, 12:55

я удалил их копии с добавкой vscrypt?
Зря это сделали

michaelspb

10.06.2009, 19:05

ладно, эти фотографии, копии которых я удалил, не особо важны мне, я знаю где их взять заново
вот что насчет самого вируса?
кстати похоже этот вирус ещё и поудалял несколько фотографий, в одной папке из 700 осталось только около 250 и они оказались зашифрованными

Добавлено через 6 часов 3 минуты

чёрт, это я про другую прогу говорил, а это не хочет работать т.к. нету файла crypted.txt? а его у меня и отрадясь не было, во всяком случаи я его и не видел...что делать?

Kuzz

10.06.2009, 19:21

чёрт, это я про другую прогу говорил, а это не хочет работать т.к. нету файла crypted.txt? а его у меня и отрадясь не было, во всяком случаи я его и не видел...что делать?

Попробуйте поискать на всех дисках этот файл.
Если не найдется - тогда в помогите создавать тему по правилам. Возможно удастся отловить шифратор и отправить аналитикам

michaelspb

10.06.2009, 20:57

искал, нету
просто я его и н помню, где вообще он может быть
и есть папка на С vsworkdir с файлом CSCA1.DLL, удалять его?

попробую зайти в помогите...там кончно много надо сделать. а времени то нет совсем

Kuzz

10.06.2009, 21:45

"Лучше пол дня потерять, потом за пять минут долететь..."

michaelspb

10.06.2009, 22:25

это правильно
попробую, но уже не раньше понедельника
да и нашел в помогите похожую тему и там сказали другому человеку что не смогут воостановить файлы...увы
твердите, что можно с помощью утилиты от доктора веба исправить, но сначала не получалось её открыть т.к. нет файла cryptes.txt
как я понял этот фал стандартный и в нем написано что комп инфицирован и бла бла бла...ну я его создал и...о чудо прога заработала, стала сканировать и С и D, НЕ спрашивая никаких путей типа te19decrypt.exe c:\
прошлась по всему и в конце выдала - расшифрованных файлов - 0...

Kuzz

10.06.2009, 22:28

потому что в этом самом "cryptes.txt" не было ключа шифрования...

Если почитать сообщение от DrWeb:

Если Вам не удалось расшифровать некоторые файлы, просим присылать на адрес [email protected] файл crypted.txt из корня диска C: и несколько образцов зашифрованных файлов.

Возможно теперь используется другой метод
Попробуйте связаться с аналитиками (e-mail приведен в цитате), возможно им удастся "сломать" эту методику
только укажите свои симптомы (и то, что cryptes.txt нет)

michaelspb

11.06.2009, 11:22

спасибо за совет, так и попробую!
как сделаю, отпишусь

michaelspb

16.06.2009, 09:37

прислали мне дешифратор, одному человеку он помог, ну и я решил попробовать
эта прога нвшла очень много файлов, потом их дешифровала, а азтем удалила копии, но увы ничего практически не расшифровала и теперь никак и не расшифровать - копий то нет...ну и ладно, одни файлы. что зашифрованы было не особо нужны, а другие я делал резервные копии пару месяцев назад, так что не особо много потерял!

bolshoy kot

16.06.2009, 13:34

http://yandex.ru/yandsearch?rpt=rad&text=CSCA1.DLL
http://yandex.ru/yandsearch?text=vsworkdir
http://forum.ru-board.com/topic.cgi?forum=5&topic=30506&start=40

Добавлено через 56 секунд

http://yandex.ru/yandsearch?text="small_codec.exe"&stpar2=/h0/tm3/s1&stpar4=/s1
http://yandex.ru/yandsearch?text=vscrypt&stpar2=/h1/tm13/s3&stpar4=/s3

Shu_b

16.06.2009, 14:14

ftp://ftp.drweb.com/pub/drweb/tools/
На текущий момент:
<DIR> ..
05/21/09 10:08 [GMT] 42,224 te34decrypt.exe
06/01/09 08:35 [GMT] 42,224 te37decrypt.exe
06/08/09 12:43 [GMT] 42,224 te38decrypt.exe
06/11/09 09:24 [GMT] 42,224 te39decrypt.exe

Zef77

22.06.2009, 11:35

Привет! У меня точно такая же проблема:
http://virusinfo.info/showthread.php?t=48350
Все файлы с расширением jpg, rar, word, все зашифровано.. Правда странно этот троян себя ведет, некоторые фото зашифровал в чистую, а некоторые папки даже не тронул..

Kuzz

24.06.2009, 21:34

Попробуйте поискать файлы вида *crypt*.txt* по всем дискам.
Если что-то найдется - дествуем так:
копируем найденный файл в c:\crypded.txt, если c:\crypded.txt уже был - сохраняем его. Он может в дальнейшем понадобиться аналитикам
а дальше выполняем эту инструкцию (http://news.drweb.com/show/?i=49)

Если не находится или не помогает - так (http://virusinfo.info/showpost.php?p=414895&postcount=24)

demetra

01.10.2009, 00:43

Все файлы с расширением jpg, rar, word, все зашифровано.. Правда странно этот троян себя ведет, некоторые фото зашифровал в чистую, а некоторые папки даже не тронул..

аналогично