Помогите с вирусом-кодировщиком. Расширение id-{TFLRAEKPUAFJPUZEJOTYDJOTXCINSXCHMRXC-29.09.2014 9@05@047606438}[email protected].

Добрый день.
Прошу помощи с вирусом кодировщиком. Добавляет расширение
id-{TFLRAEKPUAFJPUZEJOTYDJOTXCINSXCHMRXC-29.09.2014 [email]9@05@047606438}[email protected][/email]-ver-4.0.0.0.
Образцы фалов по ссылке [url]https://www.sendspace.com/file/9mluxs[/url]
Спасибо.

Уважаемый(ая) [B]indexed[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\win32.exe','');
QuarantineFile('C:\WINDOWS\system32\VTtrayp.exe','');
QuarantineFile('C:\WINDOWS\system32\VTTimer.exe','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Green Christmas Tree');
DeleteFile('C:\Documents and Settings\Администратор\Рабочий стол\GreenChristmasTree.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\win32.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]

Запрошенный карантин и логи.

1. Откройте [b]Блокнот[/b] и скопируйте в него текст скрипта
[CODE]3s3xkv9m.exe -del service iwnntjij
3s3xkv9m.exe -del file "C:\WINDOWS\system32\osvso.dll"
3s3xkv9m.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\iwnntjij"
3s3xkv9m.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\iwnntjij"
3s3xkv9m.exe -reboot[/CODE]2. Нажмите [b]Файл[/b] - [b]Сохранить как[/b]
3. Выберите папку, в которую сохранили [b]3s3xkv9m.exe[/b] (gmer)
4. Укажите [b]Тип файла[/b] - [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]cleanup.bat[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите [b]cleanup.bat[/b]

[color="red"][b]ВНИМАНИЕ:[/b][/color] Компьютер перезагрузится!!!

Сделайте новый лог gmer

Что в папке C:\Program Files\RarLab ?

Скрипт выполнил. Новый лог gmer.

Что в папке C:\Program Files\RarLab ?[/QUOTE]

В папке 2 файла:
1. d.bat содержит:
"ping -n 10 localhost>Nul
del /f /q C:\Program Files\RarLab\*.exe
del /f /q C:\Program Files\RarLab\*.bat"
2.winrar.tmp
"{TFLRAEKPUAFJPUZEJOTYDJOTXCINSXCHMRXC-29.09.2014 9@05@047606438}
9163454751465548606044665492"

Лог в порядке

Папку удалите
В файле зашифровано {CRYPTFULLEND}, что означает полное шифрование

С расшифровкой не поможем

Спасибо.