Вирус зашифровал zip, rar, doc, pdf и т.д. Ко всем файлам добавилось [email protected]_152

Здравствуйте! На компе заблокирован доступ у файлам zip, doc, pdf, jpeg и т.д, к расширению дописалось [EMAIL="[email protected]"][email protected][/EMAIL]_152. При заражении компа флешка была подключена и все файлы соответственно тоже зашифровались. Утилита Dr.Web CureIt! нашла угрозу BackDoor.Butirat.337, переместить ее не получилось, но после AVZ смогла, однако файлы все те же.
[ATTACH]456563[/ATTACH]
[ATTACH]456564[/ATTACH]
[ATTACH]456565[/ATTACH]
Помогите, пожалуйста, файлы с флешки очень важны!

Уважаемый(ая) [B]Des 356485844[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com/?ctid=CT3320133&octid=EB_ORIGINAL_CTID&SearchSource=55 &CUI=&UM=2&UP=SP3CF38333-96B5-4397-B4E1-18A8A256EFA6&SSPV=
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://comcuerra.com/that/addpic.creo
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
[/CODE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Скачайте [url="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]

Результаты сканирований

[ATTACH]456693[/ATTACH]
[ATTACH]456694[/ATTACH]

1. [QUOTE]C:\Users\Liza\AppData\Local\Temp\105.exe[/QUOTE]

Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

2. [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

3. Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 5
HKCR\CLSID\{67BD9EEB-AA06-4329-A940-D250019300C9} (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\TypeLib\{A0EE0278-2986-4E5A-884E-A3BF0357E476} (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\Interface\{9EDC0C90-2B5B-4512-953E-35767BAD5C67} (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\Updater.AmiUpd.1 (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\Updater.AmiUpd (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.

Обнаруженные папки: 2
C:\Users\Liza\AppData\Roaming\newnext.me (PUP.Optional.NextLive.A) -> Действие не было предпринято.
C:\Users\Liza\AppData\Roaming\newnext.me\cache (PUP.Optional.NextLive.A) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Users\Liza\AppData\Local\Temp\105.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\Users\Liza\AppData\Local\Temp\nsm55A4.exe (PUP.Optional.SearchProtect.A) -> Действие не было предпринято.
C:\Users\Liza\AppData\Local\Temp\nsgA8C1.exe (PUP.Optional.SearchProtect.A) -> Действие не было предпринято.
C:\Users\Liza\AppData\Local\Temp\nslA44D.exe (PUP.Optional.SearchProtect.A) -> Действие не было предпринято.
C:\Users\Liza\AppData\Local\Temp\nsf2349.exe (PUP.Optional.SearchProtect.A) -> Действие не было предпринято.
C:\Users\Liza\AppData\Local\Temp\nsf2608.exe (PUP.Optional.SearchProtect.A) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-2665223655-217092748-282013535-1000\$RMLZDN5.exe (PUP.Optional.Softonic.A) -> Действие не было предпринято.
C:\Windows\Tasks\AmiUpdXp.job (PUP.Software.Updater) -> Действие не было предпринято.
C:\Users\Liza\AppData\Roaming\newnext.me\nengine.cookie (PUP.Optional.NextLive.A) -> Действие не было предпринято.
C:\Users\Liza\AppData\Roaming\newnext.me\cache\spark.bin (PUP.Optional.NextLive.A) -> Действие не было предпринято.
[/CODE]

4. После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

1. Запрошенный карантин отправлен.
2. [ATTACH]456732[/ATTACH] повторное сканирование.
3. [ATTACH]456734[/ATTACH] из предоставленного кода многого не было, надеюсь, это нормально.
4. [ATTACH]456733[/ATTACH] итоговое сканирование.

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Готово
[ATTACH]456744[/ATTACH]
[ATTACH]456745[/ATTACH]

Логи в порядке. Дешифратором для этой версии пока что никто не поделился.

Спасибо большое.
Это значит, что восстановление файлов пока невозможно?

[QUOTE=Des 356485844;1080256]Спасибо большое.
Это значит, что восстановление файлов пока невозможно?[/QUOTE]
К сожалению невозможна без оригинального дешифратора, который пока что есть только у автора этого шифровальщика. К тому же ваша версия шифровальщика достаточно свежая.

[QUOTE=mike 1;1080261]К сожалению невозможна без оригинального дешифратора, который пока что есть только у автора этого шифровальщика. К тому же ваша версия шифровальщика достаточно свежая.[/QUOTE]
Ясно. И ещё вопросики, простите, пожалуйста, я просто далека от всего связанного с компами и операции выше делала, как первоклашка егэ сдавал бы, так вот, мне нужно, получается, ждать неизвестно сколько? А если написать на адрес с картинки, они действительно продадут оригинальный дешифратор? В народ дешифраторы так идут? Пару файлов мне нужны в срочном порядке, я бы попробовала его достать и поделиться, что ли. Спасибо за внимание. И благодарю за разъяснения заранее.

Операции, которые я проводил с вашим компьютером были направлены на зачистку следов вируса. Следы вируса удалены. Обычно на этих "продавцов" еще пока никто не жаловался чтобы они после оплаты не высылали дешифратор.

[QUOTE]получается, ждать неизвестно сколько?[/QUOTE]
Пока кто нибудь не купит дешифратор с точно такой же почтой как у вас и таким же 152 номером и не отправит такой дешифратор в вирусную лабораторию. Шансов что такое случится немного.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]