Вирус зашифровал файлы (AES256) [Trojan-Ransom.MSIL.Lortok.p ]

Printable View

09.10.2014, 13:54
Герман Бакер

Вложений: 3

Вирус зашифровал файлы (AES256) [Trojan-Ransom.MSIL.Lortok.p ]

[COLOR=#333333]После скачивания программы интернете в браузере при его открытии открываются левые вкладки. Так продолжалось пару дней, сегодня в определенное время вирус начал зашифровывать файлы (изображения, все виды документов, музыку) в тип AES256. На рабочем столе появился ярлык "Онлайн-консультант". [/COLOR]
[COLOR=#333333]Также в каждой папке с зашифрованным файлом находится txt с названием "Внимание!Откройте меня" и содержанием "Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

[/COLOR][COLOR=#333333]Хотелось бы восстановить зашифрованные файлы и избавиться от этих проблем. Прикрепляю ссылки на примеры зашифрованных файлов и логи проверки.

[/COLOR]https://depositfiles.com/files/dykg9p5u5
[URL]https://depositfiles.com/files/rxzk3j1a9[/URL]
[URL]https://depositfiles.com/files/i6vg45swv[/URL]
09.10.2014, 13:55
Info_bot

Уважаемый(ая) [B]Герман Бакер[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.10.2014, 14:34
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\Бакер\appdata\roaming\steam\reversed\steam.exe');
TerminateProcessByName('c:\program files (x86)\baidu\bindex.exe');
TerminateProcessByName('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.542\baiduprotect.exe');
SetServiceStart('BDSafeBrowser', 4);
SetServiceStart('BDMWrench', 4);
SetServiceStart('BDArKit', 4);
SetServiceStart('bd0004', 4);
SetServiceStart('bd0001', 4);
SetServiceStart('BDSGRTP', 4);
StopService('BDSafeBrowser');
StopService('BDMWrench');
StopService('BDArKit');
StopService('bd0004');
StopService('bd0001');
StopService('BDSGRTP');
QuarantineFile('C:\Users\Бакер\appdata\roaming\mail.ru newgamest\api.dll','');
QuarantineFile('C:\Users\Бакер\AppData\Roaming\runWIN\Update.exe','');
QuarantineFile('C:\Users\Бакер\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('C:\Users\Бакер\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('c:\users\Бакер\appdata\roaming\steam\reversed\steam.exe','');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.542\BaiduProtect.exe','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Program Files (x86)\baidu\BindEx.exe','32');
DeleteFile('C:\Users\Бакер\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Users\Бакер\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\Бакер\AppData\Roaming\runWIN\update.exe','32');
DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineUA.job','64');
DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\Steam-S-1-8-22-9865GUI','64');
DeleteFile('C:\Users\Бакер\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFile('C:\Users\Бакер\appdata\roaming\steam\reversed\steam.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
DeleteService('bd0002');
DeleteService('BDSafeBrowser');
DeleteService('BDMWrench');
DeleteService('BDArKit');
DeleteService('bd0004');
DeleteService('bd0001');
DeleteService('BDSGRTP');
DeleteFileMask('C:\Users\Бакер\appdata\roaming\mail.ru newgamest', '*', true, ' ');
DeleteFileMask('C:\Users\Бакер\AppData\Roaming\runWIN', '*', true, ' ');
DeleteFileMask('c:\users\Бакер\appdata\roaming\steam\reversed', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\Common Files\Baidu', '*', true, ' ');
DeleteDirectory('C:\Users\Бакер\appdata\roaming\mail.ru newgamest');
DeleteDirectory('C:\Users\Бакер\AppData\Roaming\runWIN');
DeleteDirectory('c:\users\Бакер\appdata\roaming\steam\reversed');
DeleteDirectory('C:\Program Files (x86)\Common Files\Baidu');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('c:\program files (x86)\baidu\bindex.exe');
BC_DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.542\BaiduProtect.exe');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_DeleteSvc('BDSGRTP');
BC_DeleteSvc('bd0001');
BC_DeleteSvc('bd0004');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('BDMWrench');
BC_DeleteSvc('BDSafeBrowser');
BC_DeleteSvc('bd0002');
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://1kanal.org/?src=hp1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O2 - BHO: (no name) - {ae48ed75-5a56-4c5f-bbce-6f1ac3875f66} - (no file)
O2 - BHO: Визуальные закладки - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKCU\..\Run: [78af7de1204cf3b6beec98d89fd6e37af74933b8] iexplore.exe
O4 - HKCU\..\Run: [LoaderSystemWIN] C:\Users\Бакер\AppData\Roaming\runWIN\Update.exe
O4 - HKCU\..\Run: [RuningWIN32] C:\Users\Бакер\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe
O4 - HKCU\..\Run: [baidu] C:\Program Files (x86)\baidu\BindEx.exe
O4 - HKCU\..\Run: [NewLoadSystemWIN32] C:\Users\Бакер\AppData\Roaming\runWIN\update.exe
O4 - HKCU\..\Run: [Encrypt] C:\Users\Бакер\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[LIST=1][*]Скачайте [b][url=http://virusinfo.info/soft/tool.php?tool=FixerBro]FixerBro by glax 24[/url][/b] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]FixerBro[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы нажмите на кнопку [B]"Проверить"[/B][*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\FixerBro[/COLOR][/B] (лог в формате [b]FixerBro_yyyymmdd.txt[/b])[*]По окончанию сканирования нажмите на кнопку "[b]Отчет[/b]".[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]
09.10.2014, 15:43
Герман Бакер

Вложений: 3

Просканировал с помощью AVZ и ADW Cleaner.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Просканировал с Fixerbro.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Что мне делать дальше?
09.10.2014, 16:23
mike 1

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Папка Найдено : C:\Users\Бакер\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\Бакер\AppData\Local\MailRu
Папка Найдено : C:\Users\Бакер\AppData\LocalLow\Mail.Ru
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

В браузере удалите расширение SuperMegaBest

Скачайте ComboFix [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]здесь[/url] и сохраните в корень диска С.

1. [color=red]Внимание![/color] Обязательно закройте все браузеры, [URL="http://virusinfo.info/showthread.php?t=130828"]временно выключите антивирус, firewall и другое защитное программное обеспечение[/URL]. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите [b]combofix.exe[/b], когда процесс завершится, скопируйте текст из [b]C:\ComboFix.txt[/b] и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe
09.10.2014, 17:50
Герман Бакер

Вложений: 1

Отчет по ADW Cleaner

Указанного расширения в браузере не присутствует
09.10.2014, 18:18
mike 1

Жду лог Combofix.
09.10.2014, 19:41
Герман Бакер

Вложений: 1

Комбофикс выслал
09.10.2014, 20:00
mike 1

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С.[/B][/COLOR]
[code]
KillAll::

File::
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\bd64_x64.dll
c:\windows\system32\bd64_x86.dll
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\bd0001_1.sys
c:\windows\system32\DRIVERS\BDMWrench_x64.sys
c:\windows\system32\DRIVERS\BDMWrench.sys

Driver::
BDMWrench_x64
BDSafeBrowser
bd0004
BDMWrench

Folder::
c:\programdata\Baidu
c:\users\Бакер\AppData\Roaming\Microsoft DB
c:\program files (x86)\Common Files\Baidu
c:\users\Бакер\AppData\Roaming\GemWare
c:\users\Бакер\AppData\Roaming\ICL
C:\supermegabest

Registry::

FileLook::

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
09.10.2014, 20:39
Герман Бакер

Вложений: 1

Новый лог Комбофикс
09.10.2014, 20:48
mike 1

Деинсталлируйте ComboFix: нажмите [b]Пуск[/b] => [b]Выполнить[/b] в окне наберите команду [b]Combofix /Uninstall[/b], нажмите кнопку "[b]ОК[/b]"

[IMG]http://s16.radikal.ru/i191/1003/6c/671e520b7c2d.jpg[/IMG]

Скачайте [url="http://oldtimer.geekstogo.com/OTC.exe"]OTCleanIt[/url], запустите, нажмите [B]Clean up[/B]

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]
09.10.2014, 22:15
Герман Бакер

Я начинаю проверку и через 30 секунд мне пишут. Невозможно подобрать пароль

И вообще файлы с подобным расширением хоть кто-то сумел расшифровать?
09.10.2014, 23:18
thyrex

[quote="Герман Бакер;1170113"]И вообще файлы с подобным расширением хоть кто-то сумел расшифровать?[/quote]Да, 5-6 человек есть, которым ключи подошли

Увы, Вы не в их числе
09.10.2014, 23:24
Герман Бакер

И что мне остается делать? Эти счастливчики будут радоваться, а я получается неудачник.
Вся жизнь на этом компе

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А главное все началось на следующий день после установки AVIRA
10.10.2014, 01:26
mike 1

[QUOTE]И что мне остается делать?[/QUOTE]
Вариантов немного на самом деле.

1. Ждать пока может быть добавят новые ключи.

2. Забыть про файлы.

3. Восстановить все из резервных копий.

4. Этот вариант думаю очевиден.
15.10.2014, 18:55
regist

Ваш id и hashkey напишите.
15.10.2014, 19:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\бакер\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.p[/B] ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )[/LIST][/LIST]