Возможна ли расшифровка файлов после вируса? [Trojan.Win32.VB.cogo ]

Printable View

18.07.2014, 20:55
vladsh2014

Вложений: 1

Возможна ли расшифровка файлов после вируса? [Trojan.Win32.VB.cogo ]

Доброго времени суток! К сожалению, столкнулся с проблемой .. jpg, xls, doc оказались зашифрованы вирусом...

на экране сообщение:

[SIZE=1]Ваши документы, фотографии, базы данных и другие важные файлы были зашифрованы
сильнейшим шифрованием с уникальным ключом, сгенерированным для данного компьютера.

Приватный ключ хранится на секретном сервере в интернет и никто не сможет
расшифровать ваши файлы пока вы не оплатитие и не получите приватный ключ.

Если вы видите основное окно шифровщика, то следуйте его инструкциям.
Если нет - значит вы или ваш антивирус удалили программу-шифровщик.
Теперь у вас есть последний шанс на восстановление ваших файлов.

1. Введите адрес [noparse]http://torproject.org[/noparse] в вашем браузере.
Он откроет сайт браузера Tor.

2. Нажмите 'Download Tor', затем 'DOWNLOAD Tor Browser Bundle',
установите и запустите его.

3. Теперь у вас есть Tor Browser. В нем откройте адрес the [noparse]http://zaxseiufetlkwpeu.onion/[/noparse]
Обратите внимание, что этот сервер доступен только через Tor Browser.
Если сайт недоступен, повторите попытку через час.

4. Скопируйте следующий ключ и вставьте его в форму ввода на сервере.
G52NKH-IB4IZA-YN3TIS-IULU6P-V5PLII-B6Q626-PAW5VN-E5DMHM
UUAY2M-LPVHIL-LWYFL4-SXNUDK-5V7ENQ-XDDLWV-3O46X3-TRWKUW
I6A6ZK-WX3YUT-GCX2FO-ZCT7TT-C455RS-YBXKGL-EKM3A5-PYCRAA

5. Следуйте инструкциям на сервере.[/SIZE]

убить вирус - переустановкой системы - проблем нет... вопрос только в том.. есть ли какая то возможность восстановить файлы ?
В настоящее время систему не чистил.. есть возможность вытащить (наверно ) любой файл...

Вложения:иhijackthis, virusinfo_syscheck
Зашифрованные файлы по ссылкам:
[noparse]http://www.fayloobmennik.net/3959885[/noparse]
[noparse]http://www.fayloobmennik.net/3959888[/noparse]

Заранее спасибо за любой ответ
18.07.2014, 20:56
Info_bot

Возможна ли расшифровка файлов после вируса? [Trojan.Win32.VB.cogo ]

Уважаемый(ая) [B]vladsh2014[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.07.2014, 22:24
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('D:\Мои документы\CommonData\Winhlp31.exe','');
QuarantineFile('C:\Documents and Settings\Admin\vzquwdhr.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\WinRAR\sysnobod.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\KB06203046.exe','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\KB06203046.exe','32');
DeleteFile('C:\Documents and Settings\Admin\Application Data\WinRAR\sysnobod.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SYS_UPDATE_12072014','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\System Security','command');
DeleteFile('C:\Documents and Settings\Admin\vzquwdhr.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MSConfig','command');
DeleteFile('D:\Мои документы\CommonData\Winhlp31.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Winhlp31','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
19.07.2014, 17:04
vladsh2014

Доброго дня суток!
все что нужно - я сделаю . не вопрос. но.. для меня самое главное расшифровать зашифрованные файлы. Судя по скрипту - я (мы) убираем подозрительные файлы в карантин.. а как расшифровать...?? это реально.. ?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

hijackthis.log
http://www.fayloobmennik.net/3960923
virusinfo_syscheck
http://www.fayloobmennik.net/3960925
20.07.2014, 01:46
mike 1

Логи выкладывайте на форум.

[QUOTE]Судя по скрипту - я (мы) убираем подозрительные файлы в карантин.. а как расшифровать...?? это реально.. ?[/QUOTE]
Пока думаю нет.
20.07.2014, 07:06
vladsh2014

Т.е. или платить вымогателям или проститься с зашифрованными файлами ? :(
20.07.2014, 11:57
mike 1

[QUOTE=vladsh2014;1139340]Т.е. или платить вымогателям или проститься с зашифрованными файлами ? :([/QUOTE]
Пока да.
20.07.2014, 15:16
vladsh2014

1. Лог полного сканирования МВАМ

[spoiler]Malwarebytes Anti-Malware
[url]www.malwarebytes.org[/url]

Scan Date: 19.07.2014
Scan Time: 13:38:38
Logfile: report MAM.txt
Administrator: No

Version: 2.00.2.1012
Malware Database: v2014.07.19.02
Rootkit Database: v2014.07.17.01
License: Trial
Malware Protection: Enabled
Malicious Website Protection: Enabled
Self-protection: Disabled

OS: Windows XP Service Pack 3
CPU: x86
File System: NTFS
User: Admin

Scan Type: Custom Scan
Result: Completed
Objects Scanned: 148668
Time Elapsed: 18 min, 59 sec

Memory: Disabled
Startup: Disabled
Filesystem: Enabled
Archives: Disabled
Rootkits: Enabled
Deep Rootkit Scan: Enabled
Heuristics: Enabled
PUP: Enabled
PUM: Enabled

Processes: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Registry Keys: 0
(No malicious items detected)

Registry Values: 0
(No malicious items detected)

Registry Data: 3
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|FirewallDisableNotify, 1, Good: (0), Bad: (1),,[65f9e1c04c2f7abc3e53c2e1cc389868]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UpdatesDisableNotify, 1, Good: (0), Bad: (1),,[4a145c45d5a638fed6bc970c21e3ad53]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|AntiVirusDisableNotify, 1, Good: (0), Bad: (1),,[75e97130116a171f4848950e8c785ea2]

Folders: 1
Trojan.Spyeyes, C:\Recycle.Bin, , [71ed079a2b50dc5a4eddcfd1e12147b9],

Files: 5
Trojan.Critroni, C:\Program Files\Mozilla Firefox\run6305625.exe, , [a7b7158c4f2c290dd9d8e8b5f30e5da3],
Trojan.Dropped, C:\WINDOWS\system32\hidcon.exe, , [bf9f49587a01d85e87ef0f9be1203dc3],
Exploit.Dropper, C:\Program Files\Mozilla Firefox\0.10673251557132157.exe, , [441a9e03f289ad890c1296ffea19748c],
Malware.Trace, C:\WINDOWS\system32\ieunitdrf.inf, , [f36bedb4e6951224355f485fa2613dc3],
Hijack.Trace, C:\WINDOWS\system32\drivers\etc\h??sts, , [c59948593f3c092df51f9d3b5ea5fc04],

Physical Sectors: 0
(No malicious items detected)

(end)

2. hijackthis.log

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 19:52:09, on 19.07.2014
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
CHROME: 35.0.1916.153
FIREFOX: 30.0 (ru)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\DrWeb Enterprise Suite\dwengine.exe
C:\Program Files\DrWeb Enterprise Suite\DWNETFILTER.EXE
C:\Program Files\DrWeb Enterprise Suite\frwl_svc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Malwarebytes Anti-Malware\mbamscheduler.exe
C:\Program Files\Malwarebytes Anti-Malware\mbamservice.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Malwarebytes Anti-Malware\mbam.exe
C:\Program Files\DrWeb Enterprise Suite\drwagnui.exe
C:\Program Files\DrWeb Enterprise Suite\frwl_notify.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\VistaDriveIcon\VistaDrv.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Admin\Application Data\uTorrent\uTorrent.exe
C:\Program Files\DrWeb Enterprise Suite\drwagntd.exe
C:\Program Files\DrWeb Enterprise Suite\dwengine.exe
C:\Program Files\DrWeb Enterprise Suite\dwarkdaemon.exe
J:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [url]http://webalta.ru/search[/url]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [url]http://webalta.ru/search[/url]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [url]http://webalta.ru/search[/url]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://www.yandex.ru/?clid=133922[/url]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = [url]http://go.microsoft.com/fwlink/?LinkId=69157[/url]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [url]http://go.microsoft.com/fwlink/?LinkId=54896[/url]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = [url]http://go.microsoft.com/fwlink/?LinkId=54896[/url]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://go.microsoft.com/fwlink/?LinkId=69157[/url]
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = [url]http://webalta.ru/search[/url]
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки
O4 - HKLM\..\Run: [2Gis Update Notifier] "C:\Program Files\2gis\3.0\2GISTrayNotifier.exe" -delayed_start
O4 - HKLM\..\Run: [DrWebAgentUI] "C:\Program Files\DrWeb Enterprise Suite\drwagnui.exe"
O4 - HKLM\..\Run: [FirewallNotify] "C:\Program Files\DrWeb Enterprise Suite\frwl_notify.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [VistaIcon] C:\Program Files\VistaDriveIcon\VistaDrv.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [uTorrent] "C:\Documents and Settings\Admin\Application Data\uTorrent\uTorrent.exe" /MINIMIZED
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [VistaIcon] C:\Program Files\VistaDriveIcon\VistaDrv.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [VistaIcon] C:\Program Files\VistaDriveIcon\VistaDrv.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [VistaIcon] C:\Program Files\VistaDriveIcon\VistaDrv.exe (User 'Default user')
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: Справочные материалы - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Предзагрузчик Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Демон кэша категорий компонентов - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: 2GIS UpdateService (2GISUpdateService) - ООО ДубльГИС - C:\Program Files\2gis\3.0\2GISUpdateService.exe
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: Dr.Web Enterprise Agent (drwagntd) - Doctor Web, Ltd. - C:\Program Files\DrWeb Enterprise Suite\drwagntd.exe
O23 - Service: Dr.Web Scanning Engine (DrWebEngine) (DrWebEngine) - Doctor Web, Ltd. - C:\Program Files\DrWeb Enterprise Suite\dwengine.exe
O23 - Service: Dr.Web Firewall Service (DrWebFwSvc) - Doctor Web, Ltd. - C:\Program Files\DrWeb Enterprise Suite\frwl_svc.exe
O23 - Service: Dr.Web Net Filtering Service (DrWebNetFilter) - Doctor Web, Ltd. - C:\Program Files\DrWeb Enterprise Suite\DWNETFILTER.EXE
O23 - Service: Dr.Web Enterprise Upgrade Service (drwupgrade) - Doctor Web, Ltd. - C:\Program Files\DrWeb Enterprise Suite\1\drwupgrade.exe
O23 - Service: Журнал событий (Eventlog) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe
O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Корпорация Майкрософт - C:\WINDOWS\system32\imapi.exe
O23 - Service: MBAMScheduler - Malwarebytes Corporation - C:\Program Files\Malwarebytes Anti-Malware\mbamscheduler.exe
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files\Malwarebytes Anti-Malware\mbamservice.exe
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe
O23 - Service: Plug and Play (PlugPlay) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Смарт-карты (SCardSvr) - Корпорация Майкрософт - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Журналы и оповещения производительности (SysmonLog) - Корпорация Майкрософт - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Теневое копирование тома (VSS) - Корпорация Майкрософт - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Адаптер производительности WMI (WmiApSrv) - Корпорация Майкрософт - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--
End of file - 7013 bytes[/spoiler]
20.07.2014, 15:55
mike 1

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
QuarantineFile('C:\Program Files\Mozilla Firefox\run6305625.exe','');
QuarantineFile('C:\Program Files\Mozilla Firefox\0.10673251557132157.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.
[/CODE]

Пришлите [B]quarantine2.zip[/B] согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Новые логи AVZ где?
20.07.2014, 16:27
vladsh2014

1. virusinfo_syscheck.zip
[url]http://www.fayloobmennik.net/3962166[/url]
2. virusinfo_syscure.zip
[url]http://www.fayloobmennik.net/3962170[/url]

quarantine2.zip - отправлен
20.07.2014, 18:30
mike 1

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
[/CODE]

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Folders: 1
Trojan.Spyeyes, C:\Recycle.Bin, , [71ed079a2b50dc5a4eddcfd1e12147b9],

Files: 5
Trojan.Critroni, C:\Program Files\Mozilla Firefox\run6305625.exe, , [a7b7158c4f2c290dd9d8e8b5f30e5da3],
Exploit.Dropper, C:\Program Files\Mozilla Firefox\0.10673251557132157.exe, , [441a9e03f289ad890c1296ffea19748c],
Malware.Trace, C:\WINDOWS\system32\ieunitdrf.inf, , [f36bedb4e6951224355f485fa2613dc3],
Hijack.Trace, C:\WINDOWS\system32\drivers\etc\h??sts, , [c59948593f3c092df51f9d3b5ea5fc04],
[/CODE]

Смените все пароли.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
20.07.2014, 18:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\mozilla firefox\run6305625.exe - [B]Trojan.Win32.VB.cogo[/B] ( BitDefender: Trojan.Generic.11530226, AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]