Вирус с шифрованием файлов [email protected]

Printable View

14.04.2014, 18:52
Элина Черепанова

Вирус с шифрованием файлов [email protected]

Добрый день!
Пришло письмо от арбитражного суда, словили вирус. Зашифрованы картинки, экселевские и вордовские файлы, архивы... Ссылка на зашифрованные файлы: [url]http://files.mail.ru/A92F5F11096B4F99811EE9933C04B7DD[/url]
Буду признательна за помощь.
14.04.2014, 18:53
Info_bot

Уважаемый(ая) [B]Элина Черепанова[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
14.04.2014, 19:09
mike 1

Инструкция по расшифровке файлов будет выдана по окончанию лечения.

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - Startup: napominanie.txt
[/CODE]

Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[CODE]c:\windows\test.bat[/CODE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
14.04.2014, 21:07
Элина Черепанова

1. Пофиксила. Перестал при запуске системы появляться навязчивый призыв выкупить зашифрованные файлы.
2. В карантине AVZ пусто, повторная проверка дисков C и D ничего не дала. Базы обновляла.
Такого файла тоже нет "c:\windows\test.bat" - что я упустила?
3. Лог AdwCleaner прикрепила.
14.04.2014, 21:22
mike 1

1. [B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - HKLM\..\Run: [test] c:\windows\test.bat
[/CODE]

2. [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Folder Found : C:\users\user\AppData\Roaming\Mozilla\Firefox\Profiles\2w5epw9m.default\Extensions\[email protected]
Folder Found : C:\users\user\AppData\Roaming\Mozilla\Firefox\Profiles\2w5epw9m.default\Extensions\[email protected]
Folder Found : C:\users\user\AppData\Roaming\Mozilla\Firefox\Profiles\k7wui19f.default\Extensions\[email protected]
Folder Found : C:\users\user\AppData\Roaming\Mozilla\Firefox\Profiles\k7wui19f.default\Extensions\[email protected]
Folder Found : C:\users\user\AppData\Roaming\Mozilla\Firefox\Profiles\k7wui19f.default\Extensions\[email protected]
Folder Found C:\Program Files\Mail.Ru
Folder Found C:\Program Files\Yandex
Folder Found C:\ProgramData\Yandex
Folder Found C:\users\user\AppData\Local\Mail.Ru
Folder Found C:\users\user\AppData\Local\Yandex
Folder Found C:\users\user\AppData\LocalLow\Yandex
Folder Found C:\users\user\AppData\Roaming\Yandex
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

3. Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
15.04.2014, 12:39
Элина Черепанова

Все пункты выполнены.
15.04.2014, 13:17
mike 1

[INFORMATION]

Скачайте [URL="http://download.geo.drweb.com/pub/drweb/tools/te102decrypt.exe"]te102decrypt.exe[/URL] и сохраните [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B].

В командной строке введите:
[code]C:\te102decrypt.exe -k 197[/code]

[B][COLOR="#FF0000"]Внимание!!![/COLOR][/B]
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION]
25.04.2014, 15:19
Элина Черепанова

Дешифровка проходила трое суток без перерыва! Почти 26.000 файлов!
Спасибо огромное за помощь, проблема решена :girl_dance:
25.04.2014, 15:41
mike 1

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]