Вирус зашифровал файлы(.ctbl) [Backdoor.Win32.Androm.dqux, Trojan-Ransom.Win32.Onion.d ]

Printable View

11.07.2014, 00:54
olef_iri

Вложений: 3

Вирус зашифровал файлы(.ctbl) [Backdoor.Win32.Androm.dqux, Trojan-Ransom.Win32.Onion.d ]

Здравствуйте!
Помогите пожалуйста. Поймали вирус-шифровальщик.Теперь все документы и фотографии зашифрованы и имеют расширение .ctbl. Можно ли восстановить файлы?
11.07.2014, 00:56
Info_bot

Уважаемый(ая) [B]olef_iri[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.07.2014, 01:00
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\kwzxzrc.exe');
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\kb10419593.exe');
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\kb10414656.exe');
QuarantineFile('C:\Documents and Settings\Admin\ajqxcnrs.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Ehko\otha.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\msllszu.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msbdeobr.com','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\kwzxzrc.exe','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\kb10419593.exe','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\kb10414656.exe','');
DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msbdeobr.com','32');
DeleteFile('C:\DOCUME~1\ALLUSE~1\msllszu.exe','32');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10414656.exe','32');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe','32');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Ehko\otha.exe','32');
DeleteFile('C:\Documents and Settings\Admin\ajqxcnrs.exe','32');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\kwzxzrc.exe','32');
DeleteFile('C:\WINDOWS\Tasks\qihppbf.job','32');
DeleteFile('C:\WINDOWS\Tasks\System Components Update.job','32');
DeleteFile('C:\WINDOWS\Tasks\System Security.job','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','4180');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','1017520237');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkInformer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{88B896C3-0851-F288-22F7-9D3679764127}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\Ehko', '*', true, ' ');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\Ehko');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.amaizingsearches.info/?pid=946&r=2014/04/02&hid=14061996964876040248&lg=EN&cc=UA&unqvl=51
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.amaizingsearches.info/?pid=946&r=2014/04/02&hid=14061996964876040248&lg=EN&cc=UA&unqvl=51
O4 - HKLM\..\Run: [NetworkInformer] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10414656.exe
O4 - HKLM\..\Run: [System Security] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe
O4 - HKCU\..\Run: [{88B896C3-0851-F288-22F7-9D3679764127}] "C:\Documents and Settings\Admin\Application Data\Ehko\otha.exe"
O4 - HKCU\..\Run: [MSConfig] "C:\Documents and Settings\Admin\ajqxcnrs.exe"
O4 - HKCU\..\Run: [System Security] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe
O4 - HKLM\..\Policies\Explorer\Run: [4180] C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msbdeobr.com
O4 - HKLM\..\Policies\Explorer\Run: [1017520237] C:\DOCUME~1\ALLUSE~1\msllszu.exe
O4 - HKLM\..\Policies\Explorer\Run: [System Security] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe
O4 - HKCU\..\Policies\Explorer\Run: [System Security] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [System Security] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [System Security] C:\DOCUME~1\Admin\LOCALS~1\Temp\KB10419593.exe (User 'Default user')
O20 - AppInit_DLLs:
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]
11.07.2014, 07:35
olef_iri

Вложений: 3

Еще логи
11.07.2014, 15:00
mike 1

Просил же ничего не удалять. Нет все равно удалили. Да и лог сделали MBAM 2.0.
11.07.2014, 16:37
olef_iri

Прошу прощения за некомпетеннтность, но MBAM скачала из вышеуказанной Вами ссылки, и что он не той версии даже не подозревала, просто соглашалась со всем при установке. А что же теперь делать? Все пропало ?
11.07.2014, 17:12
mike 1

Я же писал:

[QUOTE]обновите базы (во время обновления откажитесь от загрузки и установки новой версии)[/QUOTE]
Ладно. Файлы скорее всего не получится расшифровать без оригинального дешифратора.
11.07.2014, 19:06
olef_iri

Я так понимаю, сам вирус мы удалили.Огромное спасибо за помощь и еще раз извините за мои ошибки.
А файлы восстановить нет никакой надежды?
Иеще подскажите, пожалуйста, что делать с файлами в карантине Malwarebytes' Anti-Malware. Вчера я их не удалила, а отправила в карантин.
11.07.2014, 19:55
mike 1

[QUOTE]Я так понимаю, сам вирус мы удалили[/QUOTE]
Да.

[QUOTE]А файлы восстановить нет никакой надежды?[/QUOTE]
Думаю нет.

[QUOTE]подскажите, пожалуйста, что делать с файлами в карантине Malwarebytes' Anti-Malware[/QUOTE]
Удалили в основном рекламное ПО, но и вирусы были.
11.07.2014, 20:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\ajqxcnrs.exe - [B]Backdoor.Win32.Tofsee.fc[/B] ( AVAST4: Win32:Dropper-gen [Drp] )[*] c:\documents and settings\admin\application data\ehko\otha.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.PWS.Panda.655, BitDefender: Gen:Variant.Symmi.41104, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\docume~1\admin\locals~1\temp\kb10414656.exe - [B]Backdoor.Win32.Hlux.dzym[/B] ( AVAST4: Win32:CeeInject-AQ [Trj] )[*] c:\docume~1\admin\locals~1\temp\kb10419593.exe - [B]Trojan.Win32.Spamer.ho[/B] ( BitDefender: Trojan.GenericKD.1753518, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\docume~1\admin\locals~1\temp\kwzxzrc.exe - [B]Trojan-Ransom.Win32.Onion.d[/B] ( BitDefender: Trojan.GenericKD.1751060, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\docume~1\alluse~1\locals~1\temp\msbdeobr.com - [B]Backdoor.Win32.Androm.dqux[/B] ( DrWEB: Trojan.PWS.Panda.655, BitDefender: Gen:Variant.Symmi.41222, AVAST4: Sf:Zbot-CD [Trj] )[*] c:\docume~1\alluse~1\msllszu.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.34773, AVAST4: Win32:Malware-gen )[/LIST][/LIST]