Зашифрованы файлы Word, Exel, картинки. Предложили написать на адрес [email][email protected][/email] , написали, они требуют 10000 руб., дальше не пишем...
В инструкции к форуму написано выложить ссылки на файлы, вот выложил...
Примеры файлов здесь:
[url]https://yadi.sk/d/SIbr72roadq57[/url] ,
[url]https://yadi.sk/i/cDxFgh1PadsBy[/url],
[url]https://yadi.sk/d/sWxtDZgBadsMh[/url]
Что дальше делать, паника.....
Уважаемый(ая) [B]Romarrio[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
вот логи сканирования указанными программами:
и еще есть сам файл который все это натворил, называется Attachment, тип: Программа заставка, вес: 588 кб.
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe');
SetServiceStart('Wpm', 4);
StopService('Wpm');
QuarantineFile('C:\Program Files\parol_ot_failov\svchost.exe','Утка');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\G9Y3O52B\install[1].exe','');
QuarantineFile('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\WPM\wprotectmanager.exe','32');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\G9Y3O52B\install[1].exe','32');
DeleteFile('C:\Program Files\parol_ot_failov\svchost.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','install');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
DeleteService('Wpm');
DeleteFileMask('C:\Program Files\parol_ot_failov', '*', true, ' ');
DeleteDirectory('C:\Program Files\parol_ot_failov');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.delta-homes.com/web/?type=ds&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.delta-homes.com/web/?type=ds&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?type=hp&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.qone8.com/web/?type=ds&ts=1383140996&from=cor&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://start.qone8.com/web/?type=ds&ts=1383140996&from=cor&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - HKCU\..\Run: [install] C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\G9Y3O52B\install[1].exe
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]
Новые логи:
Лог MBAM где?
Извините за задержку, дети имеются.........
Вот лог MBAM:
Выполните скрипт в AVZ:
[CODE]
begin
QuarantineFile('C:\Program Files\abobe soft\информационное извещение\svchost.exe','Утка');
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.
[/CODE]
[B]quarantine2.zip[/B] пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
В MBAM удалите все, [B]кроме[/B]:
[CODE]
Обнаруженные файлы: 142
C:\Documents and Settings\Admin\Application Data\Rambler\Holdem\{D9527E5B-427D-450F-9FDF-351C08163520}\7.0.75.0\holdem.msi (PUP.Optional.Rambler.A) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Application Data\Rambler\RamblerUpdater\RUpdate.exe (PUP.Optional.Rambler.A) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\VideoConverterSetup.exe (PUP.Optional.InstallCore) -> Действие не было предпринято.
C:\Program Files\Adobe\Adobe Photoshop CS6\amtlib.dll (PUP.RiskwareTool.CK) -> Действие не было предпринято.
C:\Program Files\Microsoft Office\activator.exe (PUP.Hacktool) -> Действие не было предпринято.
C:\WINDOWS\AutoKMS\AutoKMS.exe (Trojan.AutoKMS) -> Действие не было предпринято.
D:\Дистриб\Качать видео с инета\rsload.net.Internet.Download.Manager.v6.15.Build.5.Retail\patch\Tonec.Inc.Internet.Download.Manager.v6.xx.WinALL.Incl.Keygen.and.Patch-UnREaL.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
[/CODE]
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
карантин 2.zip выслал, лог MBAM прикрепил......
спасибо что возитесь со мной.......
[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
вот эти два отчета:
Эти папку удалите вручную:
[QUOTE]
29.08.2014 10:45:41 ----D---- C:\Program Files\abobe soft
[/QUOTE]
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Просканировал, вот отчет:
А удалять что-либо нужно было? Я ничего не удалял....
[QUOTE]А удалять что-либо нужно было?[/QUOTE]
В предыдущем своем сообщении я просил удалить только 1 папку.
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Папка Найдено : C:\Documents and Settings\Admin\Application Data\Mra
Папка Найдено : C:\Documents and Settings\Admin\Local Settings\Application Data\Mail.Ru
Папка Найдено : C:\Program Files\Mail.Ru
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
очистил кроме указанных Вами, вот лог:
Больше помочь особо нечем.
Пароли все смените т.к. злоумышленник мог удаленно подключаться к вашему компьютеру.
Спасибо за муки со мной, но мне немного не понятно, а что мы вообще делали?
Просто чистили комп от всяких мелких вирусишек?
Проблема ведь была изначально в том, что закодированы файлы word, exel, и jpg картинки т. е. нужно их как бы, было раскодировать..
То что мы с Вами проделали, удалили, очистили , это наверное важно и полезно, но это и до того не причиняло никаких проблем работе компьютера, сейчас все работает так же как и ранее...
Проблема осталась одна! невозможно воспользоваться закодированными файлами!
И теперь вопрос, если дать денег злоумышленникам, смогут ли они все обратно восстановить? Раскодировать? или теперь после проделанных нами инсинуаций смысла в этом нет? и можно запустить всесильную команду [format C:\] ?
Файлы расшифровать без оригинального дешифратора не получится. Оригинальный дешифратор есть только у автора этого шифратора.
[QUOTE] а что мы вообще делали?[/QUOTE]
Чистили компьютер от вирусов. У вас кстати шифратор в автозагрузке был прописан и теоретически мог дальше шифровать файлы если бы мы его не удалили.
[QUOTE]И теперь вопрос, если дать денег злоумышленникам, смогут ли они все обратно восстановить? [/QUOTE]
Думаю смогут. Тариф у них около 10000 рублей за дешифратор.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\all users\application data\wpm\wprotectmanager.exe - [B]not-a-virus:AdWare.Win32.WProtManager.e[/B] ( DrWEB: Trojan.Click3.8485, BitDefender: Adware.PUQF, AVAST4: Win32:Agent-ATRV [Trj] )[*] c:\program files\abobe soft\информационное извещение\svchost.exe - [B]Trojan.Win32.Yakes.ftru[/B] ( BitDefender: Gen:Variant.Symmi.45917, AVAST4: Win32:Crypt-RHH [Trj] )[*] c:\program files\parol_ot_failov\svchost.exe - [B]Trojan.Win32.Yakes.ftru[/B] ( BitDefender: Gen:Variant.Symmi.45917, AVAST4: Win32:Crypt-RHH [Trj] )[/LIST][/LIST]