вирус зашифровал файлы AES256 [Trojan-Ransom.MSIL.Lortok.bk ]

Заражен ПК, сообщение в каждой папке с зашифрованными файлами:

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: [noparse]https://www.torproject.org/[/noparse] | Видео инструкция: [url]http://youtu.be/43feBLwHzn0[/noparse]
url_1: [noparse]http://y6kpyefykdvswxps.onion:4567/pay.html[/noparse]
url_2: [noparse]http://gi3ruskskqzff2rw.onion:4567/pay.html[/noparse]
HashKey: aa8af8ccff382e79441e4eddac7ea9e1
ID: 7473

Логи прикладываю, а также:
ЛОГ avz через стандартный скрипт [удалено] (Карантин загружаем по красной ссылке вверху темы!)
папка с программой вымогателем [удалено]
шифрованные файлы [noparse]http://rghost.ru/58421779[/noparse]

помогите...

Уважаемый(ая) [B]diamondxp[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Логи AVZ прикрепите нужные.

[QUOTE=mike 1;1169604][url]http://virusinfo.info/pravila.html[/url]

Логи AVZ прикрепите нужные.[/QUOTE]

Пробую... прикрепил.

p.s. я не вижу своё сообщение в разделе ПОМОГИТЕ - оно скрыто???

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\дом\appdata\roaming\mail.ru newgamest\api.dll','');
QuarantineFile('C:\Users\дом\AppData\Roaming\runWIN\update.exe','');
QuarantineFile('C:\Users\дом\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('C:\ProgramData\Schedule\timetasks.exe','');
DeleteFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat','32');
DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule','command');
DeleteFile('C:\Users\дом\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Encrypt','command');
DeleteFile('C:\Users\дом\AppData\Roaming\runWIN\update.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NewLoadSystemWIN32','command');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
DeleteFile('C:\Users\дом\appdata\roaming\mail.ru newgamest\api.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

не могу ответить в теме: [url]http://virusinfo.info/showthread.php?t=168161[/url]
создал новую и отвечаю дальше.
прилагаю запрошенные файлы

Поместите в карантин МВАМ всё, [B]кроме[/B]
[CODE]PUP.Optional.Softonic, C:\Users\??????\Downloads\SoftonicDownloader_for_winrar.exe, , [f3550e04304c66d0772d8b2fe021d828],
PUP.Optional.LoadMoney, C:\Users\??????\Downloads\sony vegas pro 12.exe, , [30180909e19b82b43bdf2edf7b8a6b95],
PUP.Optional.LoadMoney, C:\Users\??????\Downloads\windows-7-ultimate-sp1-original-by-a l e x -03 2014.exe, , [03457c9643393600d545749933d2bf41],
PUP.Optional.OpenCandy.A, C:\Users\??????\Downloads\windows.7.codec.pack.v4.1.0.setup.exe, , [3f0966acbbc187af4e4fce7437c9c53b],
PUP.Optional.Zona, C:\Users\??????\Downloads\ZonaSetup_latest.exe, , [ce7a997945379e9851c97adb08f951af],
PUP.Optional.InstallCore, C:\Users\??????\Downloads\PdfCreatorSetup.exe, , [f25637db53294aec8a7869a49570fd03],
PUP.Optional.Zona, C:\Users\??????\Downloads\vit_registry_fix_pro_11.5_portable_shareware (1).exe, , [3810d14129530630938779dc1ce59d63],
PUP.Optional.Zona, C:\Users\??????\Downloads\vit_registry_fix_pro_11.5_portable_shareware.exe, , [7ace4cc6f587cb6b70aa67eedc258f71],
PUP.RiskwareTool.CK, C:\Users\??????\Downloads\sony vegas pro 12\Sony_Vegas_Pro_12\vegas.pro.12.-patch.exe, , [83c5a66c512b7bbb232937cb649ecc34],
Packer.ModifiedUPX, E:\Program Files\eXponent\eXponent_Furniture_Designer_1_05_crack.exe, , [de6a040e88f468ce1d202e9ce0205fa1],
Packer.ModifiedUPX, E:\Program Files\eXponent\expfurn\A\eXponent_Furniture_Designer_1_05_crack.exe, , [1b2df81a2c50c472ab924e7cad5340c0],
PUP.Optional.OpenCandy, E:\Users\??????\AppData\Roaming\Real\Update\UpgradeHelper\RealPlayer\10.50\agent\stub_data\stubinst_pkg_en-eu.cab, , [92b64ac83f3dd75f964e61ddf90c728e],
PUP.Optional.OneClickDownloader.A, E:\Users\??????\Downloads\Nik_Software_Viveza_2_v2_004_By_Cool_Release_rar.exe, , [e86058baa1db3501c3a6af7647ba768a],
PUP.Optional.InstallCore, E:\Users\??????\Downloads\ImageResizerSetup.exe, , [b494d43e0a72d85e2fcd7c849570e61a],
PUP.Optional.LoadMoney.gen, E:\Users\??????\Downloads\adobe photoshop cs6.exe, , [66e2b85a403c1026b0f2d6e6dd24c739], [/CODE]

Удалите папки
[QUOTE]C:\ProgramData\Program status
C:\Users\дом\AppData\Roaming\phoenixguard
C:\Users\дом\AppData\Roaming\cload2
C:\Users\дом\AppData\Roaming\Mail.RU NewGamesT
C:\Users\дом\AppData\Roaming\Microsoft DB
C:\Users\дом\AppData\Roaming\GemWare
C:\Users\дом\AppData\Roaming\ICL
C:\Program Files\ШоппингГид[/QUOTE]

Выполнено!
Как насчет расшифрования файлов?
кстати нашёл подозрительный файл в папке program files, дата создания совпадает с датой заражения
{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys

[url]http://rghost.ru/58452449[/url]

Файлы, имеющие отношение к шифрованию, давно удалены :)

[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] пробуйте

[QUOTE=thyrex;1170675]Файлы, имеющие отношение к шифрованию, давно удалены :)

[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] пробуйте[/QUOTE]

пишет - невозможно подобрать пароль. и всё, хана

Увы, больше помочь нечем

ответ в теме [url]http://virusinfo.info/showthread.php?t=168161[/url]

у меня сохранен файл-шифровальщик в архиве - его отправка поможет расшифровать файлы??

Encrypt.exe

[INFORMATION][color=#FF0000][b]Внимание![/b][/color] [color=#0000FF]Данный дешифратор предназначен только для пользователя [b]diamondxp[/b]
Во избежание [u]окончательной потери информации[/u] использовать данный дешифратор другим пострадавшим [/color][color=#FF0000][b]не рекомендуется[/b][/color][/INFORMATION]

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

[url=http://rghost.ru/58393279]Дешифратор[/url]

[u]Принцип работы с дешифратором:[/u]

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

Для файлов из первого сообщения
[QUOTE]К сожалению этот ключ неправильный[/QUOTE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]35[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\дом\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.bk[/B][*] \mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.bk[/B][/LIST][/LIST]