Помогите ! Ваши файлы зашифрованы. Для восстановления файлов, зайдите на страницу: http://data-recovery-back-up.com:800

Файлы doc,jpg,архивы, не открываются, появились файлы Read_me с текстом ->
Ваши файлы зашифрованы.
Для восстановления файлов, зайдите на страницу:
[URL]http://data-recovery-back-up.com:800[/URL]

Your files was encrypted.
For recovery your files, visit web page:
[URL]http://data-recovery-back-up.com:800[/URL]

=== KEY ===
010200000266000000A40000D0DFFC6C6F5BA94E
235E3A6E96565263B8898C1E64D24FD84BDEDE31
78D073C121E97916A2D8B8D1CB042B5D4537C878
F845BD0FCA772304A7C8984ED11227BC
=== END ===

Очень нужна ваша помощь!

Уважаемый(ая) [B]_uin[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте! Это c:\7r1dabkt.exe DrWeb Cure it?

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\User\clszeptu.exe','');
DeleteFile('C:\Users\User\clszeptu.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[b]mike 1[/b],
c:\7r1dabkt.exe Да это DrWeb Cure it !
C:\Users\User\clszeptu.exe файл отсутствует, архив 'quarantine.zip создается пустой!
Вот запись антивируса в лог ->->-> 23.06.2014 22:04:58 Защита в режиме реального времени файл C:\Users\User\clszeptu.exe Win32/Tofsee.AX троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло при попытке доступа к файлу следующим приложением: C:\Windows\system32\SearchProtocolHost.exe.
Пробую восстановить clszeptu.exe!! Есть смысл восстановления данного файла?

[QUOTE]Есть смысл восстановления данного файла?[/QUOTE]
Нету это не сам шифратор.

[b]mike 1[/b],
Отправил через ссылку "Прислать запрошенный карантин"
(1.hijackthis.txt 2.quarantine.rar 3.virusinfo_syscheck.zip) => virusinfo_syscheck.rar

В quarentine.rar найдены
1.C:\Users\User\AppData\Roaming\Microsoft\sys32\drive.exe BAT/CoinMiner.DX троянская программа
2.C:\Users\User\AppData\Local\Temp\ztmp\t17498.bat BAT/CoinMiner.GU троянская программа
3.C:\Users\User\AppData\Roaming\Microsoft\sys32\driver.exe BAT/CoinMiner.GU троянская программ
4.C:\Users\User\AppData\Local\Temp\ztmp\t15999.bat BAT/CoinMiner.GU троянская программа

Спасибо вам за помощь!

[QUOTE]Отправил через ссылку "Прислать запрошенный карантин"
(1.hijackthis.txt 3.virusinfo_syscheck.zip)
[/QUOTE]
Эти отчеты нужно выкладывать в вашей теме.

Спасибо!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\User\appdata\roaming\microsoft\sys32\minerd.exe','');
QuarantineFile('C:\Users\User\appdata\roaming\microsoft\sys32\drive.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\driver.exe','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\driver.exe','');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\driver.exe','32');
DeleteFile('C:\Users\User\appdata\roaming\microsoft\sys32\drive.exe','32');
DeleteFile('C:\Users\User\appdata\roaming\microsoft\sys32\minerd.exe','32');
DeleteFile('C:\Users\User\appdata\roaming\microsoft\windows\start menu\programs\startup\driver.exe','32');
DeleteFileMask('C:\Users\User\appdata\roaming\microsoft\sys32', '*', true, ' ');
DeleteDirectory('C:\Users\User\appdata\roaming\microsoft\sys32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - Global Startup: driver.exe


[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[b]mike 1[/b],
Спасибо!

Логи в порядке. Самого шифратора не удалось найти. Карантин не нужно выкладывать в теме его нужно загружать по красной ссылке "[B]Прислать запрошенный карантин[/B]".

[b]mike 1[/b],
а шифратор уникален для каждого зараженного?
может с такой проблемой столкнетесь в будущем, можно будет получить решение проблемы на email?
Спасибо!

[QUOTE]а шифратор уникален для каждого зараженного?[/QUOTE]
Не знаю точно. Не во всех темах его удалось поймать.

[b]mike 1[/b],
может есть хотя бы варианты расшифровщиков для пробы, пришли пожалуйста!
Спасибо!

К сожалению нету пока таких.