Прошу помощи Троян.pdf.keybtc@gmail_com зашифровал все файлы

Добрый день,

Вчера получила письмо на почту
[ATTACH=CONFIG]494435[/ATTACH]
. Ждала от одноименной компании контракт, поэтому без подозрений открыла вчера после обеда.
Спокойно работала, потом выключила комп и пошла по делам. Сегодня включила компьютер - а все документы расширений doc и pdf с подозрительным расширением и word их открыть не может.
Сказать, что расстроена - это ничего не сказать.
DrWeb Cure It скачала, пролечила, эти файлы он зараженными не воспринял.
Слава Богу нашла ваш форум.
Выполнила правила и скачала AVZ и HijacThis и провела всю процедуру четко по инструкции.
Выкладываю логи:
Молю о помощи!!!

Уважаемый(ая) [B]lenulya[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Проверьте эти файлы на [url=http://www.virustotal.com/index.html]virustotal[/url]
[CODE]
C:\Program Files\Gajim\bin\gajim.exe
[/CODE]
кнопка [b]Выбрать файл[/b] (Choose File) - ищете нужный файл у вас в системе - [b]Открыть[/b] (Browse) - [b]Проверить[/b] (Scan it!). Нажать на кнопку [b]Повторить анализ[/b] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

Ваша надстройка?

[QUOTE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = [url]https://rosreestr.ru/[/url]
[/QUOTE]

Вложение из этого письма пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы. Имя архиву задайте [B]virus.zip
[/B]

[QUOTE=mike 1;1158809]Проверьте эти файлы на [URL="http://www.virustotal.com/index.html"]virustotal[/URL]
[CODE]
C:\Program Files\Gajim\bin\gajim.exe
[/CODE]
кнопка [B]Выбрать файл[/B] (Choose File) - ищете нужный файл у вас в системе - [B]Открыть[/B] (Browse) - [B]Проверить[/B] (Scan it!). Нажать на кнопку [B]Повторить анализ[/B] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

Ваша надстройка?



Вложение из этого письма пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы. Имя архиву задайте [B]virus.zip
[/B][/QUOTE]

[url]https://www.virustotal.com/ru/file/d78524d75d478b2cecbdf8083b69234e790ab0a57b738aed0692f45037ee5629/analysis/1410525343/[/url]
Gajim.exe - надежная программа. Это наша болталка в офисе, типо Qip или ICQ.

Надстройка rosreestr.ru наша (нужна для корректной работы с порталом росреестра и подписывания ЭЦП).

Про вложения из этого письма туплю:( Что нужно сохранить и прислать вам? Если правильно поняла, то именно файл C:\Program Files\Gajim\bin\gajim.exe. Если я ошиблась - то готова прислать другое.

[QUOTE]Про вложения из этого письма туплю Что нужно сохранить и прислать вам?[/QUOTE]
Сохраните zip архив из письма, потом упакуйте его в архив [B]virus.zip[/B] с паролем [B]virus[/B] и пришлите его по красной ссылке вверху темы.

уже. Файл сохранён как 140912_124919_virus_5412ebcf0aa82.zip

[QUOTE]уже. Файл сохранён как 140912_124919_virus_5412ebcf0aa82.zip[/QUOTE]
Прислали этот C:\Program Files\Gajim\bin\gajim.exe файл. А нужен был архив из письма.

К сожалению по ссылке в этом письме еще раз перешла, а там уже написано [ATTACH=CONFIG]494467[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Наверное, он где-то сохранился (я перешла по ссылке, там был Zip, я его открыла 7-Zip и там было 2 файла каких-то. Но как найти - я не могу додуматься.

Зашла в 7-ZIp смотрю историю. Там были изменения в нужное время и был создан файл в директории
C:\Documents and Settings\lenulya\Application Data\ key.private и Unique.private
Может это они? На всякий случай пересылаю

[b]mike 1[/b], прекратите вводить пользователей в заблуждение. Должен был скачиваться bat-файл, а не zip-архив

[QUOTE=thyrex;1158848][b]mike 1[/b], прекратите вводить пользователей в заблуждение. Должен был скачиваться bat-файл, а не zip-архив[/QUOTE]
В zip архиве js скрипт, который в свою очередь подгружает сам bat файл.

Еще обнаружила подозрительную папку, которую не создавала. И создана они примерно в то же время, когда и был открыт тот злосчастный псевдо-контракт, который порушил мне все файлы.. Эту папку как добавить для пересылки? Можно ее заархивировать 7-zip и переслать через карантин? Я просто не уверена, что при работе AVZ папку правильно указала.

В письме приходит сама ссылка, а не zip-архив

[QUOTE=thyrex;1158848][b]mike 1[/b], прекратите вводить пользователей в заблуждение. Должен был скачиваться bat-файл, а не zip-архив[/QUOTE]
я прошла по ссылке, и Zip архив скачал архив, в котором было 2 файла, насколько я помню. 1 был практически невесомый, я его не трогала, а второй весил как обычный договор. И видимо я на него нажала, чтобы открыть. Выгляжу круглой идиоткой сейчас:(.
[QUOTE=mike 1;1158850]В zip архиве js скрипт, который в свою очередь подгружает сам bat файл.[/QUOTE]
точно, там было такое расширение у файла. js я еще подумала, надо же какое странное. Вот дура я дура:furious3:

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Да, пришла именно ссылка. Сисадмин мне уже это показал. Я скопировала путь к ссылке. Отпрправляет туда [CODE]http://bit.ly/1Bt9qpt[/CODE]

[QUOTE=thyrex;1158855]В письме приходит сама ссылка, а не zip-архив[/QUOTE]
Верно. Но при переходе по ссылке загружается еще один zip архив в котором в свою очередь находится сам js скрипт. ;)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE]точно, там было такое расширение у файла. js я еще подумала, надо же какое странное.[/QUOTE]
Упакуйте этот 2 zip архив с паролем [B]virus[/B] и пришлите его согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[QUOTE=mike 1;1158873]
Упакуйте этот 2 zip архив с паролем [B]virus[/B] и пришлите его согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы[/QUOTE]
Я прислала вам странную папку заархивированную в 7-Zip которая была создана в момент, когда началось преобразование файлов. К сожалению эта папка с именем gnupg через ABZ не архивируется.
Пишет
"Ошибка карантина файла, попытка прямого чтения C:\Documents and Settings\lenulya\Application Data\gnupg) с использованием прямого чтения - ошибка
Можно я заархивирую эту папку в 7-zip с паролем virus и именем вирус и пришлю вам через карантин? Там в папке есть файл с расширением Bak

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сам присланный мне архив прислать не могу. Я писала, что пройдя по ссылке сразу открылась 7-ZIP ПАПКА, я вспомнить ее название не могу. Но через 7-zip ищу файлы, которые были созданы вчера в часовой диапазон времени, когда я перешла по ссылке и нашла именно эту странную gnugp.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Нашла txt файл, время создания которого = времени архивации всех файлов на компе. открыла. там написано:
[SPOILER]Здравствуйте. Почему все файлы стали с расширением keybtc@gmail_com?

Это инструкция, которая поможет понять и решить Вашу проблему. Во избежание неясностей прочитайте внимательно каждый пункт.

СОДЕРЖАНИЕ:

--------------------------------------------------------
1. Описание проблемы
2. Автоматизация и техническая справка для сис.админов
3. Методы решения проблемы
4. Инструкция
5. Советы при работе
6. Процесс дешифрования после покупки дешифратора
7. Вопрос-Ответ
8. Контакты
9. Дешифрование без оплаты keybtc. Благотворительность
--------------------------------------------------------


1. Ваша проблема - вирус

1.1. К сожалению, Вы стали жертвой вируса-шифровальщика.
1.2. Проведем паралель работы вируса-шифровальщика на примере материального предмета (=Вашего файла)
- Вирус берет Ваш чемодан с документами.
- Используя 1024 битный ключ выполняет его шифрование(это не кладет его под замок-оболочку, нет).
- Вирус перетирает содержимое в пыль, фактически затирая и перезаписывая каждый байт данных
- Вы сможете из пыли собрать чемодан с документами? Нет.
- Восстановить данные можно имея только специальный ключ.
- Взломать/подобрать/восстановить данный ключ невозможно
1.3. Вирусы шифровальщики рассчитаны на невнимательность пользователей.
1.4. Вы жертва продвинутой версии вируса, работа которой полностью автоматизирована.
1.5. За ключ дешифровки вносится сумма. После получения суммы все данные восстанавливаются.


2. АВТОМАТИЗАЦИЯ И ТЕХНИЧЕСКАЯ СПРАВКА

2.1. Система работает по прицнипу клиент-сервер
2.2. При запуске вирус генерирует новую пару ключей для шифрования.
2.4. Каждый компьютер/пользователь имеет свой уникальный ключ (KEY.PRIVATE) и дополнительный файл-идентификатор (UNIQUE.PRIVATE)
2.5. Для восстановления нужны только эти два файла.
2.6. Шансы эксплуатирования уязвимостей автоответчика сведены к минимуму.
2.7. Все гарантии дешифрования Вы получите в процессе работы с автоматизированной системой keybtc.
2.8. Ваш случай - ассиметричное шифрование RSA-1024, используется в военной сфере. Подобрать/взломать его невозможно.
При шифровании, в разные места компьютера был скопирован 'KEY.PRIVATE' и специальный ID-файл 'UNIQUE.PRIVATE'. Не потеряйте их ()
Для каждого компьютера ID-файл создается новый. Он уникальный и в нём содержится код на дешифровку. Он Вам и нужен.


3. МЕТОДЫ РЕШЕНИЯ

3.1. У Вас есть всего два варианта:
- если необходимо восстановление информации - делаем запрос на дешифрование. Вполне разумное решение
- в случае непотребности информации - форматируем диск и не делаем запрос системе
Не нужно ждать появления универсального дешифратора от антивирусных лабораторий. Беспокоимся про ограниченные сроки удаления Вашего ключа.
3.2. Ваши ресурсы, необходимые для быстрого решения вопроса:
- KEY.PRIVATE
- UNIQUE.PRIVATE
- Тестовые файлы с расширением .keybtc@gmail_com
- E-mail адрес
3.3. Без вышеперечисленных составляющих дешифровка не представляется возможной.


4. ИНСТРУКЦИЯ

4.1. Вы решили восстановить файлы
4.2. Автоматизированная система построена таким образом, что она учитывает Ваши интересы в получении гарантий дешифрования.
Для этого Вы отправляете два тестовых файла с расширением keybtc@gmail_com
При условии правильного составления Вашего запроса, Вы получите два тестовых дешифрованных файла.
Тестовое дешифрование предоставляет Вам гарантию того, что мы можем дешифровать файлы.
4.3. Ваш запрос на дешифрование должен отвечать некоторым КРИТЕРИЯМ, а именно:
- вложение к письму без архива: KEY.PRIVATE
- вложение к письму без архива: UNIQUE.PRIVATE
- [по желанию] тестовый зашифрованный файл с расширением .keybtc@gmail_com не более 3МБ
- [по желанию] 2-й тестовый зашифрованный файл с расширением .keybtc@gmail_com не более 3МБ
- Два файла на тестовое дешифрование должны быть с разными расширениеми. Например 1 doc и 1 pdf.
- Система определит, если Вы решите проявить хитрость и подменить расширение с xls на doc. Стоимость резко вырастет.
- Система более 2-х файлов не дешифрует. Если отправите 20 файлов, в ответ получите случайные два.

4.5. Тестовое дешифрование разрешено ТОЛЬКО следующих типов файлов: (JPG, JPEG, PDF, DOC, DOCX) и НЕ БОЛЕЕ 3 мегабайт за файл.
4.6. ВАЖНО. XLS файлы по понятным причинам не дешифруются тестово. При получении дешифратора они будут восстановлены, как и остальные файлы.
4.7. Тема сообщения и текст заполняется в произвольной форме (они игнорируются системой).
4.8. ВАЖНО. После Вашего запроса, система производит анализ, генерирует счет и сумму для оплаты.
4.9. В ответном письме Вы получите гарантии, а именно детальный анализ компьютера, стоимость, Ваш счет для перевода.
4.10. После получения средств, в течение получаса система Вам отправит дешифратор и инструкции.
4.11. Оплата не принимается наличными или банковским переводом.
4.12. Оплата принимается только криптовалютой BitCoin
4.13. ВАЖНО. Ключ дешифрования имеет свой срок годности.
4.14. ВАЖНО. Гарантируем, что ждать появления универсального дешифратора на просторах интернета не стоит. Выдача возможна только через [email][email protected][/email]
4.15. ВАЖНО. По истечении одного месяца ключи автоматически затираются системой.
4.16. Автоответчик: [email][email protected][/email]


5. СОВЕТЫ

5.1. Если Вы отправите KEY.PRIVATE + тестовые файлы - система ответит, что, увы, не хватает еще UNIQUE.PRIVATE
5.2. В случае, если Вы отправите UNIQUE.PRIVATE, без KEY.PRIVATE (или KEY.PRIVATE будет неправильным) - система об этом также сообщит.
5.3. Если Вы отправите KEY.PRIVATE и UNIQUE.PRIVATE, но без тестовых для дешифрования файлов (или они будут от другого компьютера).
Тогда в ответном письме будет только счет на оплату и стоимость.
5.4. Ответ на Ваш запрос может приходить с других ящиков от имени keybtc. Ответ может прийти в папку СПАМ. Проверяйте её
5.5. Если в течение длительного времени система не дала ответ на Ваш запрос, напишите с другой почты.
5.6. После приобретения ключа, сделайте копию всех важных зашифрованных файлов на внешние носители.
5.7. В процессе дешифрования желательно не трогать компьютер, () ДВА раза запускать с ключем дешифратор не нужно.
5.8. Сам процесс дешифрования происходит в скрытом режиме (обычно до 6-ти часов)
5.9. Если думаете, что вместо дешифратора Вы получите очередной вирус, тогда поставьте виртуальную систему и там проведите дешифровку.
5.10. Если какие-то файлы не будут окончательно расшифрованы, читайте FAQ
5.11. После дешифрования все оригинальные имена файлов восстанавливаются


6. ПРОЦЕСС ДЕШИФРОВАНИЯ ПОСЛЕ ОПЛАТЫ

6.1. Вы получили ключ UNCRYPT.KEY на Вашу почту
- Это Ваш уникальный приватный ключ для дешифрования.
- Копируете в одну папку файл UNCRYPT.KEY и DECODE.exe (из архива, который получили после оплаты)
- Запускаете DECODE.exe - должно написать Key FOUND
- Закрываете все открытые программы КРОМЕ дешифратора и нажимаете ОК в информационной табличке.
- Далее просто ожидаете перезапуска. Дешифровка это длительный процесс. Иногда больше 3-х часов.
- Должно появится консольное окно - так Вы можете наблюдать процесса дешифрования
- Если все файлы критически важны, сделайте напровсяк их копии перед дешифровкой. Или проведите дешифровку на другом чистом компьютере.
- Дешифратор без вирусов. Открытый исходный код.

6.2. В случае проблем с дешифровкой используйте РЕЗЕРВНЫЙ дешифратор, который идет в комплекте.
- Резервный дешифратор работает только в той папке, в которой находится.
- Это означает, что он проводит дешифрование только внутри своей директории
- В директории с дешифратором не должно быть других папок - только файлы (расширение .keybtc@gmail_com или .gpg)
- Дешифратор требует ключа UNCRYPT.KEY - положите рядом с ReDec.exe UNCRYPT.KEY (перед запуском)
- Использовать в том случае, если у Вас:
Файлы стали с расширением .gpg
Просто не проходила дешифровка
Компьютер перезагружался без восстановления

6.3. Извлекаете из архива файл ReDec.exe куда-нибудь в новую папку.
6.4. В эту же папку кидаете Ваш купленный ключ 'UNCRYPT.KEY'
6.5. В эту папку КОПИРУЕТЕ зашифрованные файлы. Если ключ не подходит - они удалятся.
6.6. Запускаете ReDec.exe. Если дешифратор не запускается, попробуйте отключить антивирус.
6.7. Ожидаете некоторое время.
6.8. Если файлы удалились/не дешифровались - ключ для них 'UNCRYPT.KEY' - НЕ подходит. Значит Вам нужен другой ключ.
6.9. О результате нашей с Вами положительной работы отпишитесь на форумах по теме [email][email protected][/email]




7. FAQ (Вопрос-Ответ)

[-] Где найти KEY.PRIVATE и UNIQUE.PRIVATE
= При начале работы ПО, KEY.PRIVATE копируется в несколько мест, дабы Вы его не удалили где-то
= Без файла KEY.PRIVATE дешифровка невозможна. Он может находится по след. путям: Рабочий стол, Корни дисков, папка APPDATA
= Программа дешифрвщик будет идти вместе с ключем.

[-] После запуска дешифратора у меня ничего не происходит.
= Дешифрование присходит в скрытом режиме, ожидайте перезагрузки компьютера

[-] У меня файлы не дешифровались. Что делать?
= Самое главное, что у Вас есть ключ к файлам. Найти сторонние утилиты дешифрования по Вашему ключу - не большая проблема.
= Воспользуйтесь резервным дешифратором (в комплекте)

[-] У меня дешифровались файлы но не все, часть осталась зашифрованными
= Воспользуйтесь резервным дешифратором (в комплекте)
= Если резервный дешифратор не помог, значит KEY.PRIVATE и UNIQUE необходимы другие (возможно у Вас сетевой диск и шифровало с двух компьютеров)

[-] Я не могу найти KEY.RPIVATE и UNIQUE.PRIVATE.
= Возможно это сетевой диск, поищите в папках C:\Users\vitalii\AppData\Roaming на всех компьютерах сети

[-] А если мне нужно только 1 файл дешифровать и все? А у меня 50 тыс ненужных??
= К сожалению, у Вас есть выбор или дешифровать все, или ничего.

[-] Мне пишет что Ваша почта заблокирована, как с Вами связаться?
= Вполне возможно, что почту могут заблокировать. Данную инструкцию использовать нужно только тогда, когда ответ не приходит в течение недели на почту.

Вам необходимо узнать новый ящик автоответчика, для этого необходимо:
1. Прочитать в интернете принцип работы сервиса BitMessage
2. Посетить сайт [url]http://bitmsg.me[/url] - сервис онлайн отправки bitmessage
3. Зарегистрироваться
4. Написать письмо на этот адрес BM-NBQtPZpj4vKeGfSNq4em8j8zjcHRPTKf с указанием Вашей почты ()
5. Система из тела письма извлечет почтовый адрес и на указанную почту отправит привет.
6. ВАЖНО. Во время работы почты [email][email protected][/email], система НЕ обрабатывает сообщения из BitMessage.

[-] У меня исключительный случай: Я мать-одиночка, инвалид, ветеран, пенсионер, сотрудник бедного государственного (муниципального) учреждения.
Никак не могу оплатить ключ.
= Мы не меценаты, но если у Вас действительно тяжелая жизненная ситуация, мы, возможно, решим Ваш вопрос в индивидуальном порядке.
Для этого Вам необходимо:
1. Собрать документальные доказательства Вашего затруднительного положения:
- Отсканировать (сфотографировать) свидетельства/удостоверения/справки, которые подтверждают Ваш статус инвалида/пенсионера и т.д.
- К документам на скане-копии должен быть приложен листочек с надписью от руки "keybtc" и датой, по состоянию на которую Вы фотографируете/сканируете документы.
- Сфотографироваться с соответствуюищими документами. Ваше лицо должно быть видно на фотографии, чтоб мы знали, что документы реально Ваши.
2. Загрузить на файлообменник [url]http://dropmefiles.com[/url] сделанные фотографии и сканы. Скопировать ссылку на них.
3. Прочитать в интернете принцип работы сервиса BitMessage
4. Посетить сайт [url]http://bitmsg.me[/url] - сервис онлайн отправки bitmessage
5. Зарегистрироваться
6. Написать письмо на этот адрес BM-NBQtPZpj4vKeGfSNq4em8j8zjcHRPTKf с:
- адресом Вашей почты;
- детальным описание Вашей жизненной проблемы;
- ссылкой на файлы, загруженные на [url]http://dropmefiles.com[/url]

[-] Очень все сложно как-то, я ничего не понимаю.
= Процедура очень проста.
1. Нашли KEY.PRIVATE и UNIQUE.KEY, взяли пару тестовых файлов (jpg, doc) - отправили автоответчику [email][email protected][/email]
2. Через некоторое время получаете автоматический ответ с номером кошелька BitCoin и суммой
3. Получаете ключ дешифрования после оплаты, ПО и инструкцию по дешифрованию

8. КОНТАКТЫ

8.1. Дешифратор [email][email protected][/email]
8.2. BitMessage (др. вопросы) BM-NBQtPZpj4vKeGfSNq4em8j8zjcHRPTKf


9. ПОЛУЧЕНИЕ КЛЮЧА БЕЗ ОПЛАТЫ KEYBTC. БЛАГОТВОРИТЕЛЬНОСТЬ

9.1. Файлы нужно обязательно вернуть в прежнее состояние
9.2. Вы не платите злоумышленникам из принципа
9.3. Очень хорошо, у Вас есть десять шагов для получения ключа без оплаты нам:
[1] Вам необходимо получить стоимость на дешифрование. Инструкция составления правильного запроса выше
[2] После получения стоимости и гарантий дешифрования, Вы пишете нам на BitMessage (адрес выше)
[3] Направление благотворительности Вы определяете сами, но обязательно с нами нужно согласовать.
[4] Стоимость благотворительности рассчитывается след.образом. Наша выставленная стоимость по заявке *20 (умножается на 20). Далее заходите на сайт preev.com. И конвертируете в Вашу валюту
[5] Сообщаете нам о готовности оплатить (купить вещей на эти средства) указанную сумму в выбранном направлении
[6] После нашего подтверждения оплачиваете (покупаете все необходимое)
[7] Нам необходимо получить максимальное кол-во подтверждений:
- Если это дет.дом - купить вещей или самого важного на эту сумму, приехать туда - сфотографировать все, рядом листочек с надписью ручкой "KEYBTC - ID"
- Если это перевод в помощь лечения, необходимо нам будет отправить все подтверждения оплаты с мокрыми печатями, плюс рядом листочек с надписью ручкой "KEYBTC - ID"
[8] После этого получаете дешифратор (без оплаты нам)


Время блокировки: 11.09.2014 / 17:07[/SPOILER]

[QUOTE]C:\Documents and Settings\lenulya\Application Data\gnupg[/QUOTE]
Это легальная программа шифрования, которой и пошифрованы ваши файлы. С расшифровкой файлов к сожалению мы вам не сможем помочь так как используется очень стойкий алгоритм шифрования.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]