Printable View
Доброго времени суток!!
Шифровальщик Вымогатель
Зашифровал все фото файлы и документы Office
заменил картинку рабочего стола на требование заплатить за расшифровку (автор сообщения явно юморист)
Первичная зачистка системы выявило [удалено] (тело вируса прилагаю- расширение файла поменять на rar)
312.exe - сидел в авто загрузчике и шифровал файлы
3feaf.exe- что делал он не выявил
пока даже представить не могу как расшифровать данные- на компе "вся жизнь"
Спасибо! Пожалуйста!
Уважаемый(ая) [B]sysadm[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Какое расширение стало у файлов?
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\VKlimina\Главное меню\Программы\Автозагрузка\312.123','');
DeleteFile('C:\Documents and Settings\VKlimina\Главное меню\Программы\Автозагрузка\312.123','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]
Расширение файлов стало - "имя файла[email protected]_X50"
сейчас дело даже не влечении, вирус сам выявлен вроде ,
Сейчас проблема как расшифровать файлы! Это вот [I]бедапечаль[/I]
Прилагаю два зашифрованных файла
Gmer ещё сканирует (и чувствую эт надолго)
Дождемся лога gmer
Расшифровать пока не получится. Дешифратором для данной модификации пока никто не поделился
Служба поддержки DrWeb пришла на помощь
и предоставила дешифратор
Вот их ответ:
[I]"Спасибо за предоставленную информацию, троян был в архиве.
Для частичного восстановления файлов можно запустить
[url]ftp://ftp.drweb.com/pub/drweb/tools/te102decrypt.exe[/url] с параметрами командной
строки -k h15 -e [email protected]_X50
С уважением, Александр Негородов.
Служба технической поддержки компании "Доктор Веб"."[/I]
пробую дешифровать
. По результатам отпищусь
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\vklimina\\главное меню\\программы\\автозагрузка\\312.123 - [B]Trojan-Ransom.Win32.Crypren.pfa[/B] ( BitDefender: Trojan.Generic.9415761, AVAST4: Win32:Malware-gen )[*] \\vir\\3feaf.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Trojan.CryptRedol.Gen.3, AVAST4: Win32:Malware-gen )[*] \\vir\\312.exe - [B]Trojan-Ransom.Win32.Crypren.pfa[/B] ( BitDefender: Trojan.Generic.9415761, AVAST4: Win32:Malware-gen )[/LIST][/LIST]