Вирус зашифровал файлы (AES256)

Printable View

09.10.2014, 20:00
Bolshenog

Вложений: 1

Вирус зашифровал файлы (AES256)

[COLOR=#333333][COLOR=#333333]Доброго Вечера спасители. В браузерах при открытии открываются левые вкладки и всплывают рекламные баннеры + вирус начал зашифровывать файлы (изображения, все виды документов, музыку) в тип AES256. На рабочем столе ярлык "Онлайн-консультант". [/COLOR][/COLOR]
[COLOR=#333333][COLOR=#333333]Также в каждой папке с зашифрованным файлом находится txt с названием "Внимание!Откройте меня" и содержанием "Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

Микрософт есеншл ничего не находит, Касперский нашёл, но не смог вылечить.

[/COLOR][/COLOR][COLOR=#333333][COLOR=#333333]Хотелось бы восстановить зашифрованные файлы и избавиться от этих проблем. Вот лог с Касперского
[/COLOR][/COLOR]
09.10.2014, 20:01
Info_bot

Уважаемый(ая) [B]Bolshenog[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.10.2014, 20:10
thyrex

[url]http://virusinfo.info/pravila.html[/url]
09.10.2014, 20:43
Bolshenog

Вложений: 3

извиняюсь

[QUOTE=thyrex;1170046][url]http://virusinfo.info/pravila.html[/url][/QUOTE]

извиняюсь:
09.10.2014, 20:54
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\home\AppData\Roaming\runWIN\Update.exe','');
QuarantineFile('C:\Users\home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
DeleteFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat','32');
DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
DeleteFile('C:\Program Files\baidu\BindEx.exe','32');
DeleteFile('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Users\home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\home\AppData\Roaming\runWIN\Update.exe','32');
DeleteFileMask('C:\Users\home\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\home\AppData\Roaming\runWIN');
DeleteFileMask('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('c:\program files\common files\baidu\baiduprotect1.3\1.3.0.443\baiduprotect.exe');
BC_DeleteFile('c:\program files\baidu\bindex.exe');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\ad.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\7z.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDKitUtils.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDLogicUtils.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMNet.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMReport.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\bdsg0001.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\DriverManager.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\dynplugins\AssistReportPlugin.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\plugins\BaiduRepair.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\plugins\HIPS.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\SafeBrowserDll.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\SafeExplorer.dll');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
BC_DeleteSvc('BDSGRTP');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BaiduProtect.exe');
BC_DeleteSvc('bd0001');
BC_DeleteSvc('bd0004');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('BDMWrench');
BC_DeleteSvc('BDSafeBrowser');
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Сделайте [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]такой лог[/url]
09.10.2014, 21:14
Bolshenog

Вложений: 3

выполнил.
прислал.
сделал.
09.10.2014, 21:19
thyrex

А новые логи по правилам где?
09.10.2014, 21:48
Bolshenog

Вложений: 3

[HELP][/HELP][QUOTE=thyrex;1170091]А новые логи по правилам где?[/QUOTE]
ой, подумал что новые это эти два rsit и такойлог. вот те:
09.10.2014, 23:13
thyrex

Пересоздайте ярлыки
[QUOTE]C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\Opera 24.lnk
C:\Users\home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera 24.lnk
C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Opera 24.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera 24.lnk
C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
C:\Users\home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk[/QUOTE]

Удалите папки
[CODE]C:\extensions
C:\Users\home\AppData\Roaming\Microsoft DB
C:\Users\home\AppData\Roaming\Baidu
C:\Program Files\Common Files\Baidu
C:\ProgramData\Baidu
C:\Program Files\baidu
C:\Users\home\AppData\Roaming\GemWare
C:\Users\home\AppData\Roaming\ICL[/CODE]
10.10.2014, 01:18
Bolshenog

так, все сделал, а дальше?)
10.10.2014, 14:09
thyrex

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]
10.10.2014, 14:29
Bolshenog

Пишет невозможно подобрать пароль(((((
10.10.2014, 14:46
thyrex

Увы, больше помочь нечем
12.10.2014, 14:33
regist

[b]Bolshenog[/b], прочитайте эту статью [url]http://virusinfo.info/showthread.php?t=164586[/url] возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.
16.10.2014, 22:37
Bolshenog

Ребята, я почитал в соседних ветках, что у людей получается расшифровать с помощью дешифратора

[QUOTE]Сегодня, 00:59 [B]mike 1
[/B]
id и hashkey, который выдал вам шифратор напишите.

Сегодня, 15:28 [B]adhara[/B]

HashKey: a5dc15ec2736ebb684d68d2ad97361df
ID: 24020

Сегодня, 15:34 [B]mike 1 [/B]

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

Дешифратор ([url]http://rghost.ru/58393279[/url])

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

Вложения Вложения Тип файла: zip key.zip (191 байт, 3 просмотров)[/QUOTE]

может, у меня так тоже получится?)
мои:
HashKey: 9eed7e21ac2b2cc86d24a78e123a742e
ID: 24289
16.10.2014, 22:48
thyrex

Теперь только ждать новую версию дешифратора от ЛК
16.10.2014, 22:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]