Расшифровка файлов после заражения AES256

Здравствуйте. Скачивал программу для чтения djvu файлов, после чего на компьютере закодировались все файлы. На рабочем столе появился ярлык под названием "Онлайн консультант". При попытке запуска файлов происходил запуск программы, где предлагалось перевести деньги. В каждой папке появился текстовый файл (ниже цитата)
"Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл."
Программа была удалена, компьютер полностью проверен на вирусы при помощи антивируса avast, найденные вирусные угрозы ликвидированы. Однако файлы остались по - прежнему зашифрованными. Очень прошу о помощи, т.к. очень могут быть утеряны очень важные файлы, существующие в единичном экземпляре.

Уважаемый(ая) [B]AutumnRomance[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\КПК\AppData\Roaming\Mail.RU NewGamesT\*','');
QuarantineFile('C:\Users\КПК\AppData\Roaming\runWIN\*','');
QuarantineFile('C:\Users\КПК\AppData\Roaming\runWIN\Update.exe','');
QuarantineFile('C:\Users\КПК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('C:\Users\КПК\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','32');
DeleteFile('C:\Users\КПК\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Users\КПК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\КПК\AppData\Roaming\runWIN\update.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
DeleteFileMask('C:\Users\КПК\AppData\Roaming\runWIN', '*', true, ' ');
DeleteFileMask('C:\Users\КПК\AppData\Roaming\Mail.RU NewGamesT', '*', true, ' ');
DeleteDirectory('C:\Users\КПК\AppData\Roaming\runWIN');
DeleteDirectory('C:\Users\КПК\AppData\Roaming\Mail.RU NewGamesT');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - HKCU\..\Run: [RuningWIN32] C:\Users\КПК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe
O4 - HKCU\..\Run: [NewLoadSystemWIN32] C:\Users\КПК\AppData\Roaming\runWIN\update.exe
O4 - HKCU\..\Run: [Encrypt] C:\Users\КПК\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe


[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [b][url=http://virusinfo.info/soft/tool.php?tool=FixerBro]FixerBro by glax 24[/url][/b] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]FixerBro[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы нажмите на кнопку [B]"Проверить"[/B][*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\FixerBro[/COLOR][/B] (лог в формате [b]FixerBro_yyyymmdd.txt[/b])[*]По окончанию сканирования нажмите на кнопку "[b]Отчет[/b]".[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

Высылаю вам файлы, о которых вы упомянули в своем сообщении, кроме карантина. После выполнения скрипта открыл окно "Просмотр карантина", однако там было пусто.

[LIST=1][*]Запустите повторно [b][color="Blue"]FixerBro by glax24[/b][/color]. [INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать через правую кн. мыши [b]от имени администратора[/b], на [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]Нажмите на кнопку [b]"Проверить"[/b], а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку [b]Исправить[/b]. Дождитесь окончания удаления.

[code]
C:\Users\КПК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://reque.ru" - (Объект запуска не найден)]
C:\Users\КПК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://reque.ru" - (Объект запуска не найден)]
C:\Users\КПК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://reque.ru" - (Объект запуска не найден)]
C:\Users\КПК\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://reque.ru"]
C:\Users\КПК\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://reque.ru" - (Объект запуска не найден)]
C:\Users\КПК\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk [C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat "http://reque.ru"]
C:\Users\Public\Desktop\Mozilla Firefox.lnk [C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat "http://reque.ru"]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk [C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat "http://reque.ru"]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://reque.ru"]
[/code]
[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [b][color="Blue"]C:\FixerBro[/b][/color]. (Лог в формате [b]FixerBro_yyyymmdd.txt[/b]).[*]По окончанию удаления нажмите на кнопку "[b]Отчет[/b]"[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ [LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]

Спасибо за помощь! Высылаю запрошенные вами файлы.

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://reque.ru
[/CODE]

Удалите эти папки:

[QUOTE]
08.10.2014 10:54:27 ----D---- C:\Users\КПК\AppData\Roaming\Microsoft DB
07.10.2014 22:10:41 ----D---- C:\Users\КПК\AppData\Roaming\GemWare
07.10.2014 22:08:45 ----D---- C:\Users\КПК\AppData\Roaming\ICL
[/QUOTE]

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]