Printable View
В общем, поймал шифровальщика(((... Собрали мне всю дрянь не AVZ увы, поторопились, но может хватит этого, сам вирус есть. Есть исходные файлы и шифрованные, но они больше 1 Мб каждый. В архиве все по папкам как в компьютере. Вирус уже убили (скорее всего, но от AVZ не откажусь). Нужен дешифратор, помогите, пожалуйста!!!
Уважаемый(ая) [B]Андрей Чернов[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url]http://virusinfo.info/pravila.html[/url]
Правила я читал, логи AVZ прикрепляю, правда система уже пролечена, не знаю, помогут ли. Ссылка на файлы, исходный и шифрованный - [url]http://files.mail.ru/7A4509E7957542089E2D966B81A298F5[/url]. Сами вирусы и лог Hijack в первом посте. Может что-нибудь похожее уже есть? Помогите, пожалуйста.
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://sandeta.com/themes/sde.exg[/CODE]
ProxyServer = 192.168.4.1:8080 сами прописали?
Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]
HiJack-ом пофиксил, прокси убрал, это не я писал(. Лог gmer-а прилагаю.
1. Откройте [b]Блокнот[/b] и скопируйте в него текст скрипта
[CODE]ifej7ly2.exe -del file "C:\WINDOWS\system32\kndmxf.dll"
ifej7ly2.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\hojqabcz"
ifej7ly2.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xwvxxim"
ifej7ly2.exe -reboot[/CODE]2. Нажмите [b]Файл[/b] - [b]Сохранить как[/b]
3. Выберите папку, в которую сохранили [b]ifej7ly2.exe[/b] (gmer)
4. Укажите [b]Тип файла[/b] - [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]cleanup.bat[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите [b]cleanup.bat[/b]
[color="red"][b]ВНИМАНИЕ:[/b][/color] Компьютер перезагрузится!!!
Сделайте новый лог gmer
Выполнено. Лог во вложении.
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделано. Лог во вложении.
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\!!!Вирус!!!\Tasks.rar', 'MBAM: Trojan.FileLock');
QuarantineFile('C:\!!!Вирус!!!\Tasks.zip', 'MBAM: Trojan.FileLock');
QuarantineFile('C:\!!!Вирус!!!\Tasks\312.exe', 'MBAM: Trojan.FileLock');
DeleteFile('C:\!!!Вирус!!!\Tasks.rar');
DeleteFile('C:\!!!Вирус!!!\Tasks.zip');
DeleteFile('C:\!!!Вирус!!!\Tasks\312.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]Объекты реестра обнаружены: 3
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.[/code]
Папку "!!!Вирус!!!" и все, что в ней находится, я сам создал и положил туда этот вирус. Сам вирус я отправлял вам в первом посте, вы его удалили. Могу еще раз отправить, назвав, как Вы просите, virusinfo_autoquarantine.zip, сути дела это не меняет. С MBAM я разберусь. Спасибо Вам, что после работы онлайн помогаете мне чистить компьютер и тратите свое драгоценное время на то, чтобы обучить меня правилам борьбы с вирусами в операционной системе Windows. Вопрос - как быть с дешифрацией? Реально это или нет? Только брутфорс или что-то еще есть?
Карантин из вложений [B]удалите[/B]! virusinfo_autoquarantine.zip нужно загрузить по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Да уж, бюрократии у Вас только поучится. У Вас директор не Билл Гейтс случайно? [B]Прислал запрошенный карантин - Файл сохранён как 140115_050855_virus_52d617e7f1772.zip.[/B]. А знаете, я еще умею нажимать кнопку Пуск и запускать другие программы, вот. Готов продолжить обучение на Ваших компьютерных курсах, вы хорошие преподаватели. Дайте хоть программу для брутфорса, я бы уже половину вариантов этого RSA-1024 перебрал для этого приватного ключа!
[quote="Андрей Чернов;1080375"]Дайте хоть программу для брутфорса, я бы уже половину вариантов этого RSA-1024 перебрал для этого приватного ключа![/quote]Вам самому не смешно ? Антивирусные компании этим заниматься не хотят по причине несоизмеримости затрат времени и результата
[QUOTE=thyrex;1080658]Антивирусные компании этим заниматься не хотят по причине несоизмеримости затрат времени и результата[/QUOTE]
Это понятно, они и не будут этим заниматься. Это, собственно не их профиль - дешифрация. Коллекционируйте сигнатуры, это здорово помогает в борьбе с заразой.
И все-таки, подскажите, пожалуйста, куда копать, где искать, ибо криптографией не занимался. Поставлю машинку, пусть молотит. А вдруг мой ключ окажется вначале перебора?:) Преценденты уже есть, находил на просторах интернета.
Неделя прошла. И тишина... Че там с моим вирусом?! Помощники, не молчите! Скажите хоть что-нибудь!
Я все уже Вам сказал. Больше добавить нечего
Ну, то есть, от вирусов мы вас избавили, досвидания, так получается. Офигенная помощь, ничего не скажешь. Ну, поставьте себе очередной плюсик. А скоко стоит Ваша помощь в окончательном устранении последствий вируса? Бесплатно, я так понимаю, Вы этого делать не собираетесь... Ладно, устрою тендер между Вами и вымогателями. Собственно, все равно кому платить:O. Можно в личку по почте, она у Вас есть.
Уважаемые помощники! Я глубоко признателен Вам за Ваш труд, за то, что Вы, невзирая на все трудности и перипетии нашей нелегкой жизни, помогаете нам, несведущим пользователям, в борьбе против компьютерных вирусов. Но в состязании с этим вирусом мы с Вами, наверное, проиграли... Прощай мой терабайт данных...
Большая просьба, если Вы где-то как-то когда-то найдете отгадку этого шифра - сообщите мне по почте. Надежда умирает последней.
Если Вы считаете нужным закрыть эту тему - можете ее закрыть. Ну, токо отпишитесь, мол, все пока, мы бессильны, ищем там, думаем, бла-бла-бла... А то я все-таки поглядываю сюда, а вдруг... И почту каждый день трепетно проверяю...
С уважением,
Андрей