[email protected]_ZA174 [Trojan.Win32.VB.cjut ]

Printable View

01.11.2013, 23:38
Filou

Вложений: 3

[email protected]_ZA174 [Trojan.Win32.VB.cjut ]

Заразился [noparse][email protected][/noparse]_ZA174

Файлы прилагаю.

h__p://rusfolder.com/38652186

h__p://rusfolder.com/38652187

h__p://rusfolder.com/38652189

Есть шансы на расшифровку?

P.S. Как заразился так и не понял. Вроде ничего подозрительного не получал по почте, не лазил нигде...
Комп начал тормозить, а потом на раб. столе файлы зашифровались...
01.11.2013, 23:39
Info_bot

Уважаемый(ая) [B]Filou[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
02.11.2013, 01:51
mike 1

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

1. [B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\d0e2~1\appdata\local\temp\3fe96.exe');
QuarantineFile('C:\Users\Вано\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\312.exe','');
QuarantineFile('c:\users\d0e2~1\appdata\local\temp\3fe96.exe','');
DeleteFile('C:\Users\Вано\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\312.exe','32');
DeleteFile('C:\Windows\system32\Tasks\DSite.job','64');
DeleteFile('C:\Windows\system32\Tasks\t9kw7l4fl1.job','64');
DeleteFile('C:\Windows\Tasks\DSite.job','64');
DeleteFile('C:\Windows\Tasks\t9kw7l4fl1.job','64');
DeleteFile('C:\Users\D0E2~1\AppData\Local\Temp\3fe96.exe','32');
DeleteFile('C:\Windows\system32\Tasks\DSite','64');
DeleteFile('C:\Windows\system32\Tasks\t9kw7l4fl1','64');
DeleteFile('C:\Windows\Tasks\DSite','64');
DeleteFile('C:\Windows\Tasks\t9kw7l4fl1','64');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

2. Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

3. [B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - Startup: 312.exe
O9 - Extra button: (no name) - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra button: (no name) - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - (no file)
[/CODE]

4. Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

5. [LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
02.11.2013, 13:33
Filou

Вложений: 5

Выполнил все по списку. Карантин выслал.
Есть надежда расшифровать мои файлы?
Жду дальнейших указаний.

Спасибо Вам!
02.11.2013, 20:58
mike 1

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Вано\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\R04SKZ8G\345[1].html','');
QuarantineFile('C:\Users\Вано\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\R04SKZ8G\312[1].html','');
DeleteFile('C:\Users\Вано\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\R04SKZ8G\312[1].html','32');
DeleteFile('C:\Users\Вано\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\R04SKZ8G\345[1].html','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O9 - Extra button: (no name) - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra button: (no name) - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - (no file)
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
02.11.2013, 23:03
Filou

Вложений: 3

Выполнил
02.11.2013, 23:39
mike 1

Логи в порядке. Дешифратором для ZA174 пока никто не поделился.
03.11.2013, 10:38
Filou

Cпасибо!

Буду ждать новостей. Пославлю Др. Веба
17.11.2013, 10:25
Filou

Как я могу сейчас найти тело вируса, для отправки в касперкийлаб?
17.11.2013, 11:21
thyrex

Тело шифровальщика уже известно вирлабу
17.11.2013, 12:32
Filou

Вы можете мне его как-нибудь предоставить?

Касперскому видимо еще не известно. Они просили прислать им его, используя платное ПО.

[U]Здравствуйте!

Пожалуйста, попробуйте воспользоваться утилитами из статьи: [url]http://support.kaspersky.ru/viruses/utility[/url]

Для того, чтобы попытаться расшифровать файлы требуется:

1) Тело вируса шифровальщика. Найти его можно так:

• Восстановив удалённые *.exe файлы утилитой Recuva - [url]http://www.piriform.com/recuva[/url] (нам понадобится архив с восстановленными файлами)
• Сделав карантин утилитой Combofix - [url]http://virusinfo.info/showthread.php?t=58309&p=493610#post493610[/url]
(после работы утилиты найдите папку C:\Qoobox\Quarantine , заархивируйте ее и пришлите нам также этот архив).

2) Несколько зашифрованных файлов в архиве.

Если найти тело вируса найти возможности нет (вирус был безвозвратно удалён, была переустановлена система), то остаётся только ждать, пока кто-либо не пришлёт тело вируса в нашу вирусную лабораторию или добровольно не приобретёт дешифратор у злоумышленников и не пришлёт его в нашу вирусную лабораторию.

315447298[/U]
17.11.2013, 12:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\d0e2~1\\appdata\\local\\temp\\3fe96.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Kazy.113826, AVAST4: Win32:Malware-gen )[*] c:\\users\\вано\\appdata\\local\\microsoft\\windows\\temporary internet files\\content.ie5\\r04skz8g\\312[1].html - [B]Trojan.Win32.VB.cjut[/B] ( BitDefender: Gen:Heur.VB.Krypt.11, AVAST4: Win32:Malware-gen )[*] c:\\users\\вано\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\312.exe - [B]Trojan.Win32.VB.cjut[/B] ( BitDefender: Gen:Heur.VB.Krypt.11, AVAST4: Win32:Malware-gen )[/LIST][/LIST]