Зашифровались файлы в тип *.paycrypt@gmail_com [not-a-virus:Monitor.Win32.LA.a ]

Добрый день.

Помогите, пожалуйста, разобраться с вирусами.
[h=1]08.10.2014 создала тему [URL="http://virusinfo.info/showthread.php?t=168736"]Зашифровались файлы в *.just[/URL] (заявка № 168736) - разбираемся.[/h]
Сегодня в 12:01 появились новые файлы с расширением *.paycrypt@gmail_com, тип файлов: "файл paycrypt@gmail_com".

Проблема еще и в том, что у нас 12 компов в сети. Папка, в которой зашифровались файлы, находится на отдельном диске Synilogy, доступ к которому есть у всех компов.
Как понять, на каком их них вирус, чтобы сделать логи?

Уважаемый(ая) [B]Jenny-chka[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]Сегодня в 12:01 появились новые файлы с расширением *.paycrypt@gmail_com, тип файлов: "файл paycrypt@gmail_com".[/QUOTE]
Ищите в локальной сети сотрудника, который через почту открыл очередное письмо счастья.

1) Каким образом его можно найти?
2) Как избежать этого в будущем, если стоит Касперский, но не видит вирус? Не могу же я проверять каждое письмо каждого сотрудника перед открытием :(
3) Как отловить вирус сейчас? Поможет ли переустановка винды? Просто так будет быстрее, чем искать на всех компах и пытаться вылечить.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Нашли комп, на котором есть зашифрованные файлы.

Восстановить зашифрованные файлы, как понимаю, уже не получится.

Подскажите, что можно сделать в данной ситуации?
Сейчас комп поставлен на проверку, логи прикреплю, как будут готовы.

[QUOTE]Как избежать этого в будущем, если стоит Касперский, но не видит вирус? Не могу же я проверять каждое письмо каждого сотрудника перед открытием[/QUOTE]
Делайте резервные копии ценных данных на отдельный жесткий диск, который постоянно не подключен к компьютеру. Обучайте персонал базовой компьютерной грамотности.

[QUOTE]Поможет ли переустановка винды?[/QUOTE]
Не поможет. Более того есть риск потерять свои файлы окончательно.

[QUOTE]Восстановить зашифрованные файлы, как понимаю, уже не получится.
[/QUOTE]
Не получится т.к. используется стойкий алгоритм шифрования RSA 1024.

Да уже бог с ними, с файлами... Важно, чтобы вылечить и не распространить на другие компы.

Почему не поможет переустановка винды? Каким образом избавиться от вирусу на ВСЕХ компах?

[QUOTE]Почему не поможет переустановка винды?[/QUOTE]
Да ради бога форматируйте, но файлы не вернете переустановкой системы. Я даже более скажу потеряете файлы KEY.PRIVATE и UNIQUE.PRIVATE можете забыть про свои файлы.

[QUOTE]аким образом избавиться от вирусу на ВСЕХ компах?[/QUOTE]
На каждом компьютере собираете логи по инструкции и для каждого компьютера создаете отдельную тему.

Я прекрасно понимаю, что файлы не расшифруются после переустановки. Сейчас важнее, чтобы все остальные не зашифровались.
Если на каждом компе собирать логи и ждать ответа - не один день пройдет, а нам работать нужно :(

Кстати, данные файлы нашла и сохранила, плюс,
%temp%\pubring.gpg
"%temp%\secring.gpg

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Логи АВЗ сохранить не получается, комп надолго зависает, а потом выдает сообщение, что у меня нет прав на сохранение файла на рабочий стол (и вообще в другие места, кроме "Мои документы" админского профиля.
Что делать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вычислили комп.
После долгих танцев с бубнами - прикрепляю логи.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Файлы дешифровать не нужно - жалко времени и сил, быстрее инфу выдернуть из почты всю.
Важно сейчас сделать так, чтобы вирус не пополз дальше.

Здравствуйте! Рекомендации написаны для компьютера с которого были сняты [B]virusinfo_syscheck.zip , hijackthis2.txt[/B]. Архив [B]KL_Syscure.zip[/B] не смотрел т.к. на каждую тему должен быть 1 компьютер.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Program Files\suptab\search~2.dll','');
QuarantineFile('C:\Program Files\suptab\dpinterface32.dll','');
QuarantineFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','');
DeleteFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
DeleteFile('C:\Windows\Tasks\DSite.job','32');
DeleteFile('C:\Windows\Tasks\UpdaterEX.job','32');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
DeleteFile('C:\Windows\system32\Tasks\DSite','32');
DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','32');
DeleteFile('C:\Program Files\suptab\dpinterface32.dll','32');
DeleteFile('C:\Program Files\suptab\search~2.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1396242598&from=cor&uid=WDCXWD5000AZRX-00A8LB0_WD-WMC1U823215932159
O20 - AppInit_DLLs: C:\PROGRA~1\SupTab\SEARCH~1.DLL


[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Нарушили последовательность и запустили сначала AdwCleaner, поэтому прикрепляю логи ДО и ПОСЛЕ проверка АВЗ.

В HiJackThis из перечисленных строк не было ни одной.

[QUOTE]запустили сначала AdwCleaner[/QUOTE]
Активатор для офиса теперь может слететь.

Логи в порядке.

Не страшно, активируем заново :)

Т.е. комп теперь совсем не опасный и можно его в сеть пускать?

[QUOTE]Т.е. комп теперь совсем не опасный и можно его в сеть пускать?[/QUOTE]
Да.

Спасибо огромное!!! :094:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\lasys\wssfcmai.exe - [B]not-a-virus:Monitor.Win32.LA.a[/B][/LIST][/LIST]