Подхватил два трояна-шифровальщика (*.crypted и *.fklock).

Здравствуйте. Подхватил два трояна-шифровальщика (*.crypted и *.fklock).
*.crypted на диске D зашифровал все xls лежавших в папках, названных лат. символами(папки: buh,doc), а также в корне диска, но не тронул xls лежавшие в папках названных кириллицей (папка: апрель 2013). Помимо всего, были зашифрованы ещё ряд форматов: dbf, doc, dt и др.
В каждой заражённой папке, помимо файлов с данными присутствует два файла:
1.secret_code.txt
Содержимое:R7m9SYQXZbhsBJGklyl8x2AUNJ9DBNFgeYf6FXqwlUlKAtJTkeXziPZEvsfwo6gRS5JLyd4NmfPSnx/71Kajfw==
2.how_to_decrypt!.html
Содержимое:Внимание! Некоторые Ваши личные и рабочие файлы теперь зашифрованы - это факт. Не волнуйтесь и не паникуйте, уверяем, что восстановить файлы - пара пустяков, нужно лишь следовать нашим советам.
НЕ РЕКОМЕНДУЕТСЯ:

[LIST][*]Проверять компьютер антивирусом[*]Переустанавливать операционную систему[*]Пытаться восстановить данные самостоятельно[/LIST]
Все вышеперечисленные действия - бесполезная трата времени и сил, а так же реальный риск потерять свои данные навсегда.
ЧТО СЛЕДУЕТ СДЕЛАТЬ:

[LIST][*]Оставить все файлы как есть[*]Отключить антивирус, так как он может случайно удалить дешифратор файлов, который мы Вам пришлём[*]Как можно скорее связаться с нами для покупки пароля расшифровки[/LIST]
Краткая инструкция:

[LIST][*]Напишите нам электронное письмо по адресу: [EMAIL="[email protected]?subject=Decrypt&body=KSxG4EBdOnPQ8//7u5B91m74KUL2wqtn8srAkTaIv2qfrF8c6kbZtbvR75pKHHnyrnt3DMsOmlG8ldBxt5KcPneIOrimMtjK53y0uRGlm+zJ7ULe+HmVddcafnPvRuzknJ9FRjfInBnrsi463oNxXHZb4kmlah/DuGzdrhX3dnM="][email protected][/EMAIL][*]В письме добавьте нижеприведённый секретный код, целиком скопированный из этого файла, либо прикрепите к письму текстовый файл "secret_code.txt", который можно найти в каждой папке с зашифрованными файлами[*]Дополнительные инструкции по оплате и расшифровке Вы получите в ответном письме[/LIST]
Ваш секретный код : KSxG4EBdOnPQ8//7u5B91m74KUL2wqtn8srAkTaIv2qfrF8c6kbZtbvR75pKHHnyrnt3DMsOmlG8ldBxt5KcPneIOrimMtjK53y0uRGlm+zJ7ULe+HmVddcafnPvRuzknJ9FRjfInBnrsi463oNxXHZb4kmlah/DuGzdrhX3dnM=
В качестве доказательства нашей честности мы [B]платно[/B] расшифруем любые 2 файла, которые Вы можете прикрепить в письме. Стоимость расшифровки файлов составляет 50 долларов США.

Сделайте первый шаг и всё будет хорошо. До скорого.


На диске E ситуация несколько иная.
*.fklock зашифровал все файлы rar,jpeg,png и ещё ряду других.
В каждой папке присутствует файл:
КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Содержимое:
ВНИМАНИЕ!!!
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ, И ЭТО ФАКТ. КОЛ-ВО ПОПЫТОК ВВОДА ПАРОЛЯ -10, ПОСЛЕ ЭТОГО ВОССТАНОВЛЕНИЕ ФАЙЛОВ
БУДЕТ НЕВОЗМОЖНО.


НЕ РЕКОМЕНДУЕТСЯ:
- ПРОВЕРЯТЬ КОМП АНТИВИРУСОМ;
- ПЕРЕУСТАНАВЛИВАТЬ ВИНДОВС;
- ПЫТАТЬСЯ ВОССТАНОВИТЬ ДАННЫЕ САМОСТОЯТЕЛЬНО.


ВСЕ ЭТИ ДЕЙСТВИЯ - БЕСПОЛЕЗНАЯ ТРАТА ВАШЕГО ВРЕМЕНИ И УСИЛИЙ, А ТАКЖЕ РЕАЛЬНЫЙ РИСК ПОТЕРЯТЬ ВСЮ ИНФОРМАЦИЮ НАВСЕГДА. НЕ УСЛОЖНЯЙТЕ СВОЕ ПОЛОЖЕНИЕ, ЛУЧШЕ ПИШИТЕ НА:
[email][email protected][/email]


И ВСЕ БУДЕТ ХОРОШО. ДО СКОРОГО.
============================
Заранее спасибо, надеюсь на Вашу помощь.

Уважаемый(ая) [B]Шарик А.В.[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

А в DrWeb вам разве не помогли с расшифровкой файлов?

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

DrWeb мне более не ответили. Дело в том, что я до конца не уверен, что отправил им именно источник трояная(crypted), более того, возможно дешифратор должен разрабатываться под мою проблему индивидуально, я имею ввиду ключ дешифровки. Вот и решил пойти более официальным что ли путём, мало ли что у меня ещё в системе затаилось.

Перекачайте uVS по ссылке и сделайте лог версией 3.85.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE]C:\WINDOWS\TASKS\VSEQ.JOB
C:\WINDOWS\TASKS\SCCN.JOB[/QUOTE]
Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Отправляю лог uVS 3.85
[url]http://rghost.ru/59236437[/url]
пароль для скачивания:01230715
=======================
C:\WINDOWS\TASKS\VSEQ.JOB
C:\WINDOWS\TASKS\SCCN.JOB
Отправил архивом task.zip по средством красной ссылке в топе темы.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=mike 1;1192182]Перекачайте uVS по ссылке и сделайте лог версией 3.85.

[COLOR=silver]- - - - -Добавлено - - - - -[/COLOR]


Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы[/QUOTE]


Как удалить файлы, который я ранее добавлял из выделенного мне одного мегабайта в учётной записи?

[QUOTE]Как удалить файлы, который я ранее добавлял из выделенного мне одного мегабайта в учётной записи?[/QUOTE]
Мой кабинет => Вложения

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]

[code]
;uVS v3.85 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
breg

zoo %SystemDrive%\IEXPLORE.BAT
del %SystemDrive%\IEXPLORE.BAT
delref HTTP://METAPOISKOVIK.RU
delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=2A4EAC94D328317F0957EF67F880E770&TEXT={SEARCHTERMS}
delall %SystemDrive%\PROGRAM FILES\MYPC BACKUP\SIGNUP WIZARD.EXE
delall %SystemDrive%\PROGRAM FILES\SHOPPERPRO\JSDRIVER\1.37.0.871\JSDRV.EXE
delall %SystemDrive%\PROGRAMDATA\SHOPPERPRO\SHOPPERPRO.DLL
zoo %SystemDrive%\USERS\OKSANA\DESKTOP\CIPHER7.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\SCCN.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\VSEQ.EXE
delref HTTP:\\METAPOISKOVIK.RU
delall %SystemDrive%\PROGRAM FILES\YOUTUBE ACCELERATOR\YOUTUBEACCELERATOR.EXE
[/code]

Компьютер перезагрузите вручную. Упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата [B].ZIP[/B] с паролем [B]virus[/B] и отправьте этот файл по ссылке "[B]Прислать запрошенный карантин[/B]" над первым сообщением в теме.

[LIST=1][*]Скачайте [b][url=http://virusinfo.info/soft/tool.php?tool=FixerBro]FixerBro by glax 24[/url][/b] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]FixerBro[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы нажмите на кнопку [B]"Проверить"[/B][*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\FixerBro[/COLOR][/B] (лог в формате [b]FixerBro_yyyymmdd.txt[/b])[*]По окончанию сканирования нажмите на кнопку "[b]Отчет[/b]".[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления [B][COLOR="#0000FF"]откажитесь[/COLOR][/B] от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]

ZOO лог отправил и остальные логи прикрепил.

[QUOTE]C:\CCProxy\CCProxy.exe[/QUOTE]
Программа знакома? Сами себе ее ставили?

[LIST=1][*]Запустите повторно [b][color="Blue"]FixerBro by glax24[/b][/color]. [INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать через правую кн. мыши [b]от имени администратора[/b], на [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]Нажмите на кнопку [b]"Проверить"[/b], а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку [b]Исправить[/b]. Дождитесь окончания удаления.

[code]
C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\iexplore.bat - (Объект запуска не найден)]
C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\iexplore.bat - (Объект запуска не найден)]
[/code]
[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [b][color="Blue"]C:\FixerBro[/b][/color]. (Лог в формате [b]FixerBro_yyyymmdd.txt[/b]).[*]По окончанию удаления нажмите на кнопку "[b]Отчет[/b]"[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

[QUOTE]C:\Windows\system33.exe[/QUOTE]
Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

CCProxy.exe программу ставил лично(прокси-сервер), использую около полутора-двух лет.

C:\Windows\system33.exe - отправил.

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 7
HKCU\Software\AppDataLow\Software\Crossrider (PUP.Optional.CrossRider.A) -> Действие не было предпринято.
HKCU\Software\AppDataLow\Software\iWebar (PUP.Optional.iWebar.A) -> Действие не было предпринято.
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\BPROTECTSETTINGS (PUP.Optional.BProtector.A) -> Действие не было предпринято.
HKLM\SOFTWARE\DataMngr (PUP.Optional.DataMangr.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Google\Chrome\Extensions\nbmafkdmkkckhggblphicnnhlgljnoje (PUP.Optional.TornTV.A) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\SPDRIVER_1.37.0.871 (PUP.Optional.ShopperPro) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 2
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes|bProtectorDefaultScope (PUP.BProtector) -> Параметры: {0633EE93-D776-472f-A0FF-E1416B8B2E3A} -> Действие не было предпринято.

Обнаруженные папки: 1
C:\ProgramData\ShopperPro (PUP.Optional.ShopperPro) -> Действие не было предпринято.

Обнаруженные файлы: 28
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$R0QF6YE\sense.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RKGAJKJ\iwebar.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RNU86G0\iwebar.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RH1X0XK\sense.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RHDV3HT\Installiwebar_16380\delay.exe (PUP.Optional.GoobZo) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RHDV3HT\Installsense_16380\delay.exe (PUP.Optional.GoobZo) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RTQHOLD\iwebar.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RTQHOLD\sense.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RRJ954A\sense.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RZF5VQX\iwebar.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RZZ2DPI\iwebar.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1492031878-3338592243-2562590217-500\$RZZ2DPI\sense.exe (PUP.Optional.NSXgen) -> Действие не было предпринято.
E:\$RECYCLE.BIN\S-1-5-21-1492031878-3338592243-2562590217-500\$ROOD0P0.exe (Trojan.Dropped) -> Действие не было предпринято.
C:\Windows\system33.exe (Trojan.Agent) -> Действие не было предпринято.
C:\ProgramData\ShopperPro\config.json (PUP.Optional.ShopperPro) -> Действие не было предпринято.
C:\ProgramData\ShopperPro\database1_0_0.json (PUP.Optional.ShopperPro) -> Действие не было предпринято.
C:\ProgramData\ShopperPro\ShopperPro64.dll (PUP.Optional.ShopperPro) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Всё сделал согласно последней инструкции

Сделайте новый лог uVS.

Вам из DrWeb не отвечали?

В DrWeb я отправлял один единственный файл, с подозрением на вероятный троянец-crypted(Cipher7.exe), но это было ещё до моего полного сканирования системы утилитами сайта virusinfo.info, за исключением uVS, так вот сегодня пришёл ответ:

[I]Перерыли трояна вдоль и поперек: с ошибкой он, так что перебор нашими силами
значительно осложняется. И есть подозрения, что на него могут уйти месяцы
расчетов.[/I]

Тлеет надежда, что не Cipher7.exe есть тот злосчастный троянец...

Эти файлы удалите:

[QUOTE]C:\WINDOWS\TASKS\VSEQ.JOB
C:\WINDOWS\TASKS\SCCN.JOB[/QUOTE]

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserlnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы на рабочем столе будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

[QUOTE]На диске E ситуация несколько иная.
*.fklock зашифровал все файлы rar,jpeg,png и ещё ряду других.[/QUOTE]
Прикрепите небольшой зашифрованный файл.

VSEQ.JOB, SCCN.JOB - удалил!

файл с расширением fklock
[URL="http://rghost.ru/59275856"]http://rghost.ru/59275856[/URL] пароль на скачивание:01230715

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вопрос техподдержке DrWeb:
[I]"А как ситуация с тикетом [drweb.com #5134694]? Там была несколько схожая с моей ситуация."[/I]
Ответ:
[I]"По заявке 5134694 было отвечено в той заявке. Статус чужих тикетов я не
комментирую."[/I]

У Вас есть какие-нибудь сведения касательно данной заявки или связь с её отправителем?

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Запустите ClearLNK, затем скопируйте следующий текст в окно программы

[CODE]C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Server Manager.lnk[/CODE]
[*]Нажмите на кнопку "[B]Лечить[/B]". [*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

[QUOTE]У Вас есть какие-нибудь сведения касательно данной заявки или связь с её отправителем?[/QUOTE]
Отправитель запроса №5134694 я. :)

И я так понимаю по Вашей заявке результата пока нет?

[QUOTE]И я так понимаю по Вашей заявке результата пока нет?[/QUOTE]
У меня запрос был на добавление зловреда в базы, но не на расшифровку.

[QUOTE]Cipher7.exe - Trojan.Encoder.814[/QUOTE]

Я так понимаю, если мне обратиться в платную рубрику "Помогите+" шансов пока нет, так как DrWeb ещё не имеет дешифратора?

Или не только DrWeb занимается дешифрованием?