AES256 закодированны файлы на компьютере

Printable View

10.10.2014, 18:26
Александр1981

AES256 закодированны файлы на компьютере

Добрый день! У меня после перезагрузки компьютера все файлы с видео, текстовые файлы,архивы и многие другие стали закодированы и отображаются как иконка в виде замочка.На рабочем столе появился ярлык онлайн консультанта,который при открытии просит послать денег для расшифровки моих файлов,указывая ещё на то, что каждый день сумма будет возрастать.Антивирус не стоял пользовался др.веб сьют.На данный момент сканировал и Вебом и Касперским как указанно в инструкции не чего не помогло отсылаю вам вложения с отчётам
10.10.2014, 18:28
Info_bot

Уважаемый(ая) [B]Александр1981[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.10.2014, 19:44
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\OPEL\appdata\roaming\mail.ru newgamest\api.dll','');
QuarantineFile('C:\Windows\System32\comparevers.exe','');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','');
QuarantineFile('C:\Users\OPEL\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','32');
DeleteFile('C:\Users\OPEL\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
DeleteFile('C:\Windows\system32\Tasks\cvc','64');
DeleteFile('C:\Windows\System32\comparevers.exe','32');
DeleteFile('C:\Users\OPEL\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFileMask('C:\Users\OPEL\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\OPEL\AppData\Roaming\Mail.RU NewGamesT');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('bd0001');
BC_DeleteSvc('bd0004');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('BDMWrench');
BC_DeleteSvc('BDSafeBrowser');
BC_DeleteSvc('bd0002');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench_x64.sys');
BC_DeleteSvc('BDMWrench_x64');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Сделайте [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]такой лог[/url]
10.10.2014, 20:26
Александр1981

Извините я логи старые удалил и начал создавать новые логи, а карантин не сохранил старый ,что делать с карантином?Прислать что сейчас выдаёт из карантина?
10.10.2014, 20:30
thyrex

Присылайте
10.10.2014, 20:52
Александр1981

следую инструкциям

карантин [url]http://virusinfo.info/upload_virus.php[/url]
10.10.2014, 21:34
thyrex

Пересоздайте ярлыки
[QUOTE]C:\Users\OPEL\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
C:\Users\OPEL\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\OPEL\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [/QUOTE]

Пофиксите в HiJack
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://startovka.ru
O4 - HKCU\..\Run: [Encrypt] C:\Users\OPEL\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe
[/CODE]

Удалите файлы
[QUOTE]C:\Windows\SYSWOW64\removeSAddons.bat
C:\Windows\system32\drivers\BDMWrench.sys
C:\Windows\system32\drivers\BDArKit.sys
C:\Windows\system32\drivers\bd0001.sys
C:\Windows\system32\bd64_x86.dll
C:\Windows\system32\bd64_x64.dll
C:\Windows\system32\drivers\BDSafeBrowser.sys
C:\Windows\system32\drivers\bd0004.sys
C:\Windows\system32\drivers\bd0001_1.sys[/QUOTE]

и папки
[QUOTE]C:\Users\OPEL\AppData\Roaming\Microsoft DB
C:\Users\OPEL\AppData\Roaming\Baidu
C:\ProgramData\Baidu
,C:\Users\OPEL\AppData\Roaming\GemWare
C:\Users\OPEL\AppData\Roaming\ICL[/QUOTE]
11.10.2014, 00:02
Александр1981

из того что вы предложили у меня получилось только, заменить ярлыки, почистить реестр и удалить указанные папки но вот файлы удалить не получается так как требует права администратора, но получить их не получается ни через группы пользователей ни другими способами (unlocker).
11.10.2014, 01:22
regist

Если есть в установленных программах Baidu и другие китайские программы, то деинсталируйте.

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]
11.10.2014, 11:26
Александр1981

Сделал образ автозагрузки

образ афтозагрузки
11.10.2014, 12:16
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT DATA\INSTALLER_NO_CHROME.EXE
zoo %SystemDrive%\GAMES\WORLD_OF_TANKS\WOTLAUNCHER.EXE.BAT
delref %SystemDrive%\USERS\OPEL\APPDATA\ROAMING\MAIL.RU NEWGAMEST\TIKET.EXE
dirzooex %SystemDrive%\USERS\OPEL\APPDATA\ROAMING\ACESTREAM
regt 28
regt 29
czoo
restart[/CODE]

сделайте новый образ автозапуска и отпишитесь, что с проблемой?

+ ACESTREAM - рекомендую удалить.
11.10.2014, 13:41
Александр1981

проблема не решены файлы и документы по прежнему не хотят открываться имеют тип файла Файл "AES256" (.AES256)
карантин выслал,образ прикрепил
11.10.2014, 14:43
regist

Выполните скрипт uVS

[CODE];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
BREG
delref %SystemDrive%\USERS\OPEL\APPDATA\ROAMING\MAIL.RU NEWGAMEST\TIKET.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT DATA\INSTALLER_NO_CHROME.EXE
bl DBC4A0D07B53406B225852EC771CC56B 713728
delall %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT DATA\INSTALLER_NO_CHROME.EXE
czoo
restart[/CODE]

сделайте новый образ автозапуска

Для расшифровки файлов пробуйте [url=http://support.kaspersky.ru/viruses/disinfection/10556]RakhniDecryptor[/url]
11.10.2014, 15:21
Александр1981

Вложений: 1

образ отсылаю

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

программа пишет "невозможно подобрать пароль"

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я так понял что всё это напрасно и один выход либо жертвовать данными и сносить всё под ноль,либо платить этим гениям
11.10.2014, 15:55
regist

Выполните скрипт uVS и пришлите карантин

[CODE];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
BREG
delref %SystemDrive%\USERS\OPEL\APPDATA\ROAMING\MAIL.RU NEWGAMEST\TIKET.EXE
zoo %SystemDrive%\GAMES\WORLD_OF_TANKS\WOTLAUNCHER.EXE.BAT
del %SystemDrive%\GAMES\WORLD_OF_TANKS\WOTLAUNCHER.EXE.BAT
zoo %Sys32%\COMPAREVERS.EXE
delall %SystemDrive%\USERS\OPEL\APPDATA\ROAMING\MAIL.RU NEWGAMEST\TIKET.EXE
czoo
restart[/CODE]

сделайте новый образ автозапуска.

[quote="Александр1981;1171043"]Я так понял что всё это напрасно и один выход либо жертвовать данными и сносить всё под ноль,либо платить этим гениям[/quote]либо, прочитайте эту статью [url]http://virusinfo.info/showthread.php?t=164586[/url] возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.
11.10.2014, 17:37
Александр1981

Да только смысла в этом очень при очень мало ,так как следов преступления как токовых уже не осталось после многих манипуляций с системой:(

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

да и восстанавливать то по сути мне лично на этом компе практически нечего.Так что хакеры просчитались:P

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А на будущее конечно поставлю себе анти вирусок8)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

кстати какой на ваш взгляд самый надёжный и не назойливый?
11.10.2014, 19:00
regist

[quote="Александр1981;1171099"]Да только смысла в этом очень при очень мало ,так как следов преступления как токовых уже не осталось[/quote]
главный след это зашифрованные файлы и они остались.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="Александр1981;1171099"]А на будущее конечно[/quote]
Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
11.10.2014, 20:03
Макcим

[QUOTE]Да только смысла в этом очень при очень мало ,так как следов преступления как токовых уже не осталось[/QUOTE]Остались еще как. Обращайтесь.
17.10.2014, 20:15
thyrex

[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] пробуйте
17.10.2014, 20:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]