Помогите расшифровать файлы [email protected]_KJTTxS

Printable View

06.03.2014, 13:48
NakiThomson

Вложений: 3

Помогите расшифровать файлы [email protected]_KJTTxS

Здравствуйте! На электронную почту пришло сообщение, что у меня какой то долг и лежит zipвский файл. Я его открыл, в итоге ошибка и тут же смотрю на рабочем столе все файлы doc, docx, JPG, xls потеряли свои значки. Ну и по мере проблемы понял что они зашифровались. Помогите решить проблему.
06.03.2014, 13:49
Info_bot

Уважаемый(ая) [B]NakiThomson[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
06.03.2014, 16:41
mike 1

Здравствуйте!

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR=#000080]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
DeleteFile('C:\Windows\Tasks\HQ-Video-Pro-1.4-chromeinstaller.job','32');
DeleteFile('C:\Windows\Tasks\HQ-Video-Pro-1.4-codedownloader.job','32');
DeleteFile('C:\Windows\Tasks\HQ-Video-Pro-1.4-enabler.job','32');
DeleteFile('C:\Windows\Tasks\HQ-Video-Pro-1.4-firefoxinstaller.job','32');
DeleteFile('C:\Windows\Tasks\HQ-Video-Pro-1.4-updater.job','32');
DeleteFile('C:\Windows\system32\Tasks\Funmoods','32');
DeleteFile('C:\Windows\system32\Tasks\HQ-Video-Pro-1.4-chromeinstaller','32');
DeleteFile('C:\Windows\system32\Tasks\HQ-Video-Pro-1.4-codedownloader','32');
DeleteFile('C:\Windows\system32\Tasks\HQ-Video-Pro-1.4-enabler','32');
DeleteFile('C:\Windows\system32\Tasks\HQ-Video-Pro-1.4-firefoxinstaller','32');
DeleteFile('C:\Windows\system32\Tasks\HQ-Video-Pro-1.4-updater','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера.

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR=Blue]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Скачайте [URL="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/URL] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[B]Perform Full Scan[/B]" ("[B]Полное сканирование[/B]"), нажмите "[B]Scan[/B]" ("[B]Сканирование[/B]"), после сканирования - [B]Ok[/B] - [B]Show Results[/B] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR=Red]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [URL="http://data.mbamupdates.com/tools/mbam-rules.exe"]Загрузить обновление [B]MBAM[/B].[/URL]
06.03.2014, 23:00
thyrex

[quote="NakiThomson;1097467"]лежит zipвский файл[/quote]Файл сохранился?
07.03.2014, 10:10
NakiThomson

Вложений: 2

Нет, открывал zip прямо с почты, ничего не сохранял. А сам он не открылся, выдал ошибку и после этого произошел такой казус.
Файлы которые просили сделать с помощью сканов.
07.03.2014, 14:51
mike 1

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет C:\AdwCleaner\AdwCleaner[S0].txt прикрепите.

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 25
HKCR\CLSID\{11111111-1111-1111-1111-110511291120} (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKCR\TypeLib\{44444444-4444-4444-4444-440544294420} (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKCR\Interface\{55555555-5555-5555-5555-550555295520} (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKCR\CrossriderApp0052920.BHO.1 (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110511291120} (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{11111111-1111-1111-1111-110511291120} (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKCR\CLSID\{EF7BD87A-8024-11E2-F316-F3E56188709B} (PUP.DealPly) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EF7BD87A-8024-11E2-F316-F3E56188709B} (PUP.DealPly) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{EF7BD87A-8024-11E2-F316-F3E56188709B} (PUP.DealPly) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{EF7BD87A-8024-11E2-F316-F3E56188709B} (PUP.DealPly) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{C87FC351-A80D-43E9-9A86-CF1E29DC443A} (PUP.Optional.Funmoods.A) -> Действие не было предпринято.
HKCR\CrossriderApp0052920.BHO (PUP.Optional.CrossRider.A) -> Действие не было предпринято.
HKCR\CrossriderApp0052920.Sandbox (PUP.Optional.CrossRider.A) -> Действие не было предпринято.
HKCR\CrossriderApp0052920.Sandbox.1 (PUP.Optional.CrossRider.A) -> Действие не было предпринято.
HKCU\SOFTWARE\funmoods (PUP.FunMoods) -> Действие не было предпринято.
HKCU\SOFTWARE\DEALPLY (PUP.Optional.DealPly.A) -> Действие не было предпринято.
HKCU\SOFTWARE\InstallCore\funmoods (PUP.FunMoods) -> Действие не было предпринято.
HKCU\Software\AppDataLow\Software\Crossrider (PUP.Optional.CrossRider.A) -> Действие не было предпринято.
HKCU\Software\AppDataLow\Software\HQ-Video-Pro-1.4 (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKCU\Software\InstalledBrowserExtensions\HQ-Video (PUP.Optional.HQVideoProfessional.A) -> Действие не было предпринято.
HKLM\SOFTWARE\DEALPLY (PUP.Optional.DealPly.A) -> Действие не было предпринято.
HKLM\SOFTWARE\InstallCore\funmoods (PUP.Optional.FunMoods.A) -> Действие не было предпринято.
HKLM\Software\HQ-Video-Pro-1.4 (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\HQ-Video-Pro-1.4 (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 3
HKCU\SOFTWARE\DealPly|Partner (PUP.Optional.DealPly.A) -> Параметры: iron -> Действие не было предпринято.
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 1P1O1N1R1G1M1J -> Действие не было предпринято.
HKLM\SOFTWARE\DealPly|ChromeCrxPath (PUP.Optional.DealPly.A) -> Параметры: C:\Program Files\DealPly\DealPly.crx -> Действие не было предпринято.

Обнаруженные папки: 8
C:\Program Files\DealPly (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly (PUP.OPtional.Dealply.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\DealPly (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\DealPly\UpdateProc (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\OpenCandy (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\OpenCandy\6E48820DA4A44F1AA6A62666D26DABF2 (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\OpenCandy\DFA9D36381AE4CFBA94F032CD9F9E5A1 (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4 (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-bho.dll (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPlyIE.dll (PUP.DealPly) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\CQVX9LG2\BiTool[1].dll (PUP.Optional.Somoto) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Local\Mobogenie\Version\OldVersion\Mobogenie2.2.1.zip (PUP.Optional.NextLive.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Local\Temp\bitool.dll (PUP.Optional.Somoto) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Local\Temp\setup.exe (Riskware.BitcoinMiner) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Local\Temp\is357113909\dp.exe (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\OpenCandy\6E48820DA4A44F1AA6A62666D26DABF2\Mobogenie_Setup_2.1.37_507.exe (PUP.Optional.NextLive.A) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPlyUpdate.exe (PUP.Optional.Dealply) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPlyUpdateRun.exe (PUP.Optional.Dealply) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-bg.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-chromeinstaller.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-codedownloader.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-enabler.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-firefoxinstaller.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4-updater.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\utils.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPly.crx (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPly.xpi (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPlyIE64.dll (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Program Files\DealPly\DealPlyUpdateVer.exe (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Program Files\DealPly\icon.ico (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Program Files\DealPly\uninst.exe (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly\Uninstall DealPly.lnk (PUP.OPtional.Dealply.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly\DealPly Help.url (PUP.OPtional.Dealply.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly\DealPly.url (PUP.OPtional.Dealply.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\DealPly\UpdateProc\config.dat (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Users\Komp2\AppData\Roaming\OpenCandy\DFA9D36381AE4CFBA94F032CD9F9E5A1\pokkiInstaller.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\52920.crx (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\52920.xpi (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\background.html (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\HQ-Video-Pro-1.4.ico (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\Installer.log (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
C:\Program Files\HQ-Video-Pro-1.4\Uninstall.exe (PUP.Optional.HQVideoPro.A) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
07.03.2014, 23:00
thyrex

Ну а письмо сохранилось?
08.03.2014, 12:12
NakiThomson

Вложений: 2

[QUOTE=thyrex;1098095]Ну а письмо сохранилось?[/QUOTE]

Которое мне на почту пришло??? Нет, я его удалил после этого из ящика сразу! Но м б сохранилось на другом компе, можно посмотреть если надо!

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Нет письма к сожалению не осталось.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Файлы, как вы и просили.
08.03.2014, 12:46
thyrex

[CODE]C:\AdwCleaner\Quarantine\C\Program Files\DealPly\DealPlyIE.dll.vir (PUP.DealPly) -> Действие не было предпринято.
C:\AdwCleaner\Quarantine\C\Program Files\DealPly\DealPlyUpdate.exe.vir (PUP.Optional.Dealply) -> Действие не было предпринято.
C:\AdwCleaner\Quarantine\C\Program Files\DealPly\DealPlyUpdateRun.exe.vir (PUP.Optional.Dealply) -> Действие не было предпринято.
C:\AdwCleaner\Quarantine\C\Users\Komp2\AppData\Local\Mobogenie\Version\OldVersion\Mobogenie2.2.1.zip.vir (PUP.Optional.NextLive.A) -> Действие не было предпринято.[/CODE]удалите
09.03.2014, 12:16
NakiThomson

Вложений: 1

Удалил, прикрепил лог по выполненной операции.
09.03.2014, 12:53
mike 1

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите Uninstall.[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Дешифратором для этой версии пока никто не поделился.
10.03.2014, 11:11
NakiThomson

[QUOTE=mike 1;1098408][LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите Uninstall.[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Дешифратором для этой версии пока никто не поделился.[/QUOTE]

Печально! Этот вирус может передаваться? или одноразовый? Стоит ли отформатировать компьютер?:(
10.03.2014, 12:52
mike 1

[QUOTE=NakiThomson;1098638]Печально! Этот вирус может передаваться? или одноразовый? Стоит ли отформатировать компьютер?:([/QUOTE]
Следы вирусов уже зачистили. Шифратор по окончанию шифрования файлов сам удаляется с компьютера.
13.03.2014, 08:15
NakiThomson

[QUOTE=mike 1;1098654]Следы вирусов уже зачистили. Шифратор по окончанию шифрования файлов сам удаляется с компьютера.[/QUOTE]

А сроки шифрования файлов не известны как я понимаю? Я правильно понял, что файлы которые зашифровались рано или поздно станут доступными?
13.03.2014, 21:28
thyrex

[url]http://virusinfo.info/showthread.php?t=156694[/url]