зашифрованы файлы xls, xlsx, doc, docx, jpg расширение не поменялось [Trojan-Ransom.Win32.Gimemo.blzi, Trojan.Win32.Vilsel.bwyv ]

Printable View

10.06.2014, 09:41
vectorman

Вложений: 3

зашифрованы файлы xls, xlsx, doc, docx, jpg расширение не поменялось [Trojan-Ransom.Win32.Gimemo.blzi, Trojan.Win32.Vilsel.bwyv ]

[COLOR=#333333]Пользователь открыл ссылку из письма.[/COLOR]
[COLOR=#333333]Файлы зашифровались.[/COLOR]
[COLOR=#333333]На рабочем столе появились обои:[/COLOR]
[COLOR=#333333]"твои файлы зашифрованы, если они тебе нужны напиши мне на почту[/COLOR]
[EMAIL="[email protected]"][email protected][/EMAIL]
[COLOR=#333333]ваш id vasya сообщите его на почту без него возврат файлов будет затруднителен"[/COLOR]
10.06.2014, 09:42
Info_bot

Уважаемый(ая) [B]vectorman[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.06.2014, 11:36
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Директор\AppData\Local\winrar.exe','');
QuarantineFile('C:\Users\Директор\AppData\Local\Temp\machineupper32.exe','');
QuarantineFile('C:\Users\Директор\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\JKSXQJHT\308[1].html','');
DeleteFile('C:\Users\Директор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\notify.txt','32');
DeleteFile('C:\Users\Директор\appdata\local\winrar.exe','32');
DeleteFile('C:\Users\Директор\AppData\Local\Temp\machineupper32.exe','32');
DeleteFile('C:\Users\Директор\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\JKSXQJHT\308[1].html','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\winrar','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

В MBAM удалите:

[CODE]
Обнаруженные параметры в реестре: 1
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры:

Обнаруженные файлы: 3
C:\Users\Директор\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\JKSXQJHT\308[1].html (Trojan.Zbot) -> Действие не было предпринято.
C:\Users\Директор\AppData\Local\Temp\machineupper32.exe (Trojan.Crypt.NKN) -> Действие не было предпринято.
[/CODE]
10.06.2014, 12:03
vectorman

Вложений: 2

вот повторные логи

повторные логи
10.06.2014, 12:32
mike 1

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Windows\my1.bgi','');
DeleteFile('C:\Windows\my1.bgi','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','bginfo');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте новые логи AVZ.

Сделайте лог быстрого сканирования MBAM.
10.06.2014, 12:55
vectorman

не-не bginfo Оригинальный лежит, это утилита от sysinternals, выводит на раб.стол картинку с параметрами компа
есть экзешник, которым заразили комп(3Мб весит), есть 2 файла - один оригинальный, второй шифрованный, могу их прислать
10.06.2014, 13:32
mike 1

Хорошо тогда сделайте лог быстрого сканирования MBAM. Помочь в расшифровке не сможем
19.06.2014, 20:06
thyrex

Пришлите несколько зашифрованных файлов небольшого размера
20.06.2014, 07:12
vectorman

Вложений: 1

вот doc, xlsx, jpg в архиве
20.06.2014, 14:52
thyrex

[INFORMATION][color="#FF0000"][b]Внимание![/b][/color] [color="#0000FF"]Данный дешифратор предназначен только для пользователя [b]vectorman[/b]
Во избежание [u]окончательной потери информации[/u] использовать данный дешифратор другим пострадавшим [/color][color="#FF0000"][b]не рекомендуется[/b][/color][/INFORMATION]

[url="http://rghost.ru/private/56469944/978a70b32b880de62b86b4f7d030935d"]Дешифратор[/url]

[u]Принцип работы с дешифратором:[/u]

1. Ввиду медленной расшифровки файлов [b]не пытайтесь скормить сразу слишком много файлов[/b]. Это создает эффект зависания программы, а на самом деле дешифровка идет. Скопируйте часть файлов в отдельную папку и расшифровывайте их.

2. Дешифратор создает две копии расшифрованных файлов:
[color="#0000FF"][b]А)[/b][/color] в первом варианте дешифратор не меняет имя файла, но оставляет в конце файла мусор в виде информации, необходимой для расшифровки. В большинстве случаев такой файл успешно открывается
Исключение: файлы от Microsoft Office 2007, 2010 и некоторых других форматов - смотри п. Б

[color="#0000FF"][b]Б)[/b][/color] во втором варианте дешифратор возвращает файл [u]в первоначальное состояние[/u] до шифрования, но приписывает к имени файла дополнительно расширение [b].bak[/b]
Если это расширение удалить, то файлы, указанные в исключении п. А, тоже успешно открываются
23.06.2014, 07:28
vectorman

а нормально, что его антивирус нод32 как троян распознает?
.../978a70b32b880de62b86b4f7d030935d/b4737ca19b3af66a9ed0eec9d6cd20f25bf62c58/desh-vasya.zip = ZIP = desh-vasya.exe модифицированный Generik.HYPEONS троянская программа соединение прервано - изолирован
23.06.2014, 15:49
thyrex

Это паранойя Вашего антивируса. Лучше бы самого шифровальщика ловил :)
23.06.2014, 15:59
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\директор\appdata\local\microsoft\windows\temporary internet files\content.ie5\jksxqjht\308[1].html - [B]Trojan.Win32.Vilsel.bwyv[/B] ( BitDefender: Gen:Variant.Kazy.270205, AVAST4: Win32:Dexter-K [Spy] )[*] c:\users\директор\appdata\local\temp\machineupper32.exe - [B]Trojan-Ransom.Win32.Gimemo.blzi[/B] ( BitDefender: Trojan.Encpk.Gen.4, AVAST4: Win32:VB-AHDG [Trj] )[*] c:\users\директор\appdata\local\winrar.exe - [B]Trojan.Win32.Refroso.hizz[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]