.AES256 зашифровал файлы [Trojan.VBS.Agent.su ]

Здравствуйте!
Помогите пожалуйста, ребенок что-то наставил или еще как-то подцепили вирус.
Все jpeg, mp3, avi и т.п. зашифрованы в .AES256
Жена с ума чуть не сошла - фотки за последние 5 (!) лет - 1 класс ребенка и куча других знаменательных фотографий, спасайте!

Во всех папках лежит txt файл ВНИМАНИЕ_ОТКРОЙТЕ-МЕНЯ следующего содержания:
""
[I]Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: [URL]https://www.torproject.org/[/URL] | Видео инструкция: [URL]http://youtu.be/43feBLwHzn0[/URL]
url_1: [URL]http://y6kpyefykdvswxps.onion:4567/pay.html[/URL]
url_2: [URL]http://gi3ruskskqzff2rw.onion:4567/pay.html[/URL]
HashKey: 98dcffec976b095da7845239917d9c96
ID: 13645[/I]

""

Уважаемый(ая) [B]osta6[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','');
QuarantineFile('C:\Users\Олег\AppData\Roaming\runWIN\Update.exe','');
QuarantineFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('C:\Users\Олег\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('C:\Users\Олег\AppData\Local\Microsoft\Windows\system.vbs','');
DeleteFile('C:\Users\Олег\AppData\Local\Microsoft\Windows\system.vbs','32');
DeleteFile('C:\Users\Олег\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\Олег\AppData\Roaming\runWIN\update.exe','32');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','32');
DeleteFileMask('C:\Users\Олег\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\Олег\AppData\Roaming\Mail.RU NewGamesT');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SystemScript');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SystemScript');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]


Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- сделайте лог [URL="http://dragokas.16mb.com/Safe/CheckBrowsersLNK.zip"]CheckBrowserLnk[/URL]


[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Карантин отправил.
Логи прикрепляю, как просили.

Жду дальнейших указаний! :)

Baidu - деинсталируйте.

Выполните скрипт в AVZ
[CODE]begin
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk','');
QuarantineFile('C:\Users\Public\Desktop\Firefox.lnk','');
QuarantineFile('C:\Users\Юыху\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk','');
QuarantineFile('C:\Users\Юыху\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk','');
QuarantineFile('C:\Users\Юыху\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk','');
QuarantineFile('C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat','');
QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','');
DeleteFile('C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat','');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','');
DeleteFile('C:\Windows\system32\Tasks\Core Temp Autostart Олег','64');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.[/CODE]

- Файл [b][color=Red]quarantine.zip[/color][/b] из папки AVZ загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.


- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки:

[CODE]C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\Users\Public\Desktop\Firefox.lnk
C:\Users\Юыху\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk
C:\Users\Юыху\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\Юыху\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk[/CODE]
отчёт прикрепите.

+ [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

Baidu - деинсталлировал.
Скрипт в AVZ выполнил - quarantine.zip - загрузил по ссылке из темы.

"""
Результат загрузки
Файл сохранён как 141017_153706_quarantine_544137a2eb7a0.zip
Размер файла 3210
MD5 ad1b6bb4d1817bbac139b2ac7cd844dc
Файл закачан, спасибо!

"""

С помощью утилиты ClearLNK исправил ярлыки - отчет прикрепил.
Сделал полный образ автозапуска uVS - образ прикрепил.



Жду указаний! :)

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин (если карантин будет создан)

[CODE];uVS v3.84 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
delref HTTP://1KANAL.ORG/?SRC=HP1
zoo %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.EXE.BAT
del %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.EXE.BAT
zoo %SystemDrive%\USERS\ОЛЕГ\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\FIREFOX.LNK
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUAN\3.0.0.3971\BAIDUANTRAY.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\BAIDU\BAIDUHIPS\1.1.0.733\BD0002.DLL.BAK
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUSD\1.8.0.1255\EXPLUGIN\IEBAIDUSDDETECTPLUG.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BINDEX.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUSD\2.1.0.3086\BDKVDESKBAND64.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\BAIDU\
regt 28
regt 29
czoo
restart[/CODE]

сделайте новый образ автозапуска.

Выполнил скрипт в uVS - прикрепил ZOO_2014-10-17_19-52-22.zip (не знаю карантин это или нет?)
Сделал новый образ автозапуска - прикрепил!

[quote="osta6;1174858"]прикрепил ZOO_2014-10-17_19-52-22.zip (не знаю карантин это или нет?)[/quote]
карантин и к сообщению его прикреплять запрещено. Загрузите по ссылке наверху темы.

[I]карантин и к сообщению его прикреплять запрещено. Загрузите по ссылке наверху темы. [/I]

Загрузил по ссылке наверху темы ...

""

Результат загрузки
Файл сохранён как 141017_191415_ZOO_2014-10-17_19-52-22_54416a872b19c.zip
Размер файла 3026
MD5 ec86d128c0a534cce717491558514335
Файл закачан, спасибо!

""

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.84 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
delall %SystemDrive%\USERS\ОЛЕГ\APPDATA\ROAMING\RUNWIN\UPDATE.EXE
delall %SystemDrive%\USERS\ОЛЕГ\APPDATA\ROAMING\MAIL.RU NEWGAMEST\TIKET.EXE
zoo %SystemDrive%\USERS\ОЛЕГ\APPDATA\LOCAL\MICROSOFT\WINDOWS\SYSTEM.VBS
bl 4A6A4985C655A515319E5F6CDEA5EBE6 27628
delall %SystemDrive%\USERS\ОЛЕГ\APPDATA\LOCAL\MICROSOFT\WINDOWS\SYSTEM.VBS
delref HTTP://1KANAL.ORG/?SRC=HP1
delref HTTP://GO.MAIL.RU/SEARCH?UTF8IN=1&FR=FFTBUFIX&Q=
czoo
restart[/CODE]

сделайте новый образ автозапуска.

После выполнения скрипта, перед перезагрузкой вылетело сообщение:
""
[B]Windows Script Host

Ошибка при выполнении сервера сенариев Windows. (Эта
программа заблокирована групповой политикой. За
дополнительными сведениями обращайтесь к системному
администратору.)[/B]

""
Комп перегрузился - вылетело еще два таких же - нажал [ ОК ]
После выполнения скрипта - карантин прицепил вверху темы:
""

[I]Результат загрузки
Файл сохранён как 141017_193844_ZOO_2014-10-17_22-30-24_54417044c618f.zip
Размер файла 9327
MD5 8cec3dcb4ff9ecde022a5583631e0fe0
Файл закачан, спасибо![/I]

""
Новый образ автозапуска прицепил ниже.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]


[CODE];uVS v3.84 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
zoo %SystemDrive%\USERS\ОЛЕГ\APPDATA\LOCAL\MICROSOFT\WINDOWS\SYSTEM.VBS
bl 4A6A4985C655A515319E5F6CDEA5EBE6 27628
delall %SystemDrive%\USERS\ОЛЕГ\APPDATA\LOCAL\MICROSOFT\WINDOWS\SYSTEM.VBS
czoo
restart[/CODE]

сделайте свежий образ.

Скрипт сделал.
Свежий образ прикрепил.


p.s.

это сообщение не вылетало уже :)
""
Windows Script Host

Ошибка при выполнении сервера сенариев Windows. (Эта
программа заблокирована групповой политикой. За
дополнительными сведениями обращайтесь к системному
администратору.)

""

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.84 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
delref HTTP://1KANAL.ORG/?SRC=HP1
chklst
delvir

restart[/CODE]

Для расшифровки файлов пробуйте [URL='http://support.kaspersky.ru/viruses/disinfection/10556']RakhniDecryptor[/URL].

УРАААААА!!!!!!!!!!!!!!!!!

Расшифровка пошла .... уже больше тысячи расшифровано!!!!!!!!


СПАСИБО ОГРОМНОЕ!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\internet explorer\iexplore.exe.bat - [B]Trojan-Clicker.BAT.Small.bp[/B] ( DrWEB: BAT.StartPage.42 )[*] c:\program files (x86)\mozilla firefox\firefox.exe.bat - [B]Trojan-Clicker.BAT.Agent.an[/B][*] \firefox.exe.bat._5e485c45b9beaaf1a76ab474f672f53108e57b7b - [B]Trojan-Clicker.BAT.Agent.an[/B][*] \firefox.lnk._b1b5ea5341c73f5a3ca49144d4f2b650a497d667.txt - [B]Trojan-Clicker.BAT.Agent.an[/B][*] \system.vbs._a14965e00f9b6b25e4f9cb1ae238669fc8699565 - [B]Trojan.VBS.Agent.su[/B] ( DrWEB: Trojan.Ormes.9, AVAST4: VBS:AutoRun-CS [Trj] )[/LIST][/LIST]