Пошифровались файлы в основном XML

Пошифровались XML, XLS, возможно что-то еще. Самое важное - XML. В корне появились файлы README1 README2 и т.д. до 10 с вот таким содержимым

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
613B0AB764461DD4E54F|0
на электронный адрес [email][email protected][/email] или [email][email protected][/email] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
613B0AB764461DD4E54F|0
to e-mail address [email][email protected][/email] or [email][email protected][/email] .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

Имена файлов поменялись на хаотичный набор символов, а расширения на xtbl. Заранее спасибо если сможете помочь.

Уважаемый(ая) [B]cisc0[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003 R2" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#1)
[/QUOTE]
Логи сделайте не через терминальную сессию.

Вот локальные логи.

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте! Сразу видно обновления на сервер не ставите. Результат плачевен.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\intel\web\microsoft\surfguard.exe');
TerminateProcessByName('c:\intel\web\microsoft\services.exe');
TerminateProcessByName('c:\intel\web\microsoft\safesurf.exe');
SetServiceStart('ddns', 4);
StopService('ddns');
QuarantineFile('C:\Documents and Settings\Default User\Local Settings\Application Data\Microsoft\Windows\winupdate.exe','');
QuarantineFile('c:\intel\web\microsoft\surfguard.exe','');
QuarantineFile('c:\intel\web\microsoft\services.exe','');
QuarantineFile('c:\intel\web\microsoft\safesurf.exe','');
DeleteFile('c:\intel\web\microsoft\safesurf.exe','32');
DeleteFile('c:\intel\web\microsoft\surfguard.exe','32');
DeleteFile('C:\Intel\Web\Microsoft\services.exe','32');
DeleteFile('C:\Documents and Settings\Default User\Local Settings\Application Data\Microsoft\Windows\winupdate.exe','32');
DeleteService('ddns');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(10);
end.

[/CODE]

Перезагрузите сервер вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O4 - .DEFAULT User Startup: winupdate.lnk = C:\Documents and Settings\Default User\Local Settings\Application Data\Microsoft\Windows\winupdate.exe (User 'Default user')


[/CODE]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Новые логи

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Карантин отправил по ссылке

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.85 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v385c
breg

del %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\BT+5A98TV4WILVJFWNBPPEUSKCV5SSUKEQJGTFCNUC0=.XTBL
del %SystemDrive%\DOCUMENTS AND SETTINGS\DEFAULT USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\HWKLUMPSTOZL+PZSWLMHCT7L8XE1PXWO0VYDHIP-OIS=.XTBL
del %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XEG8MQ3LJUNP3E4MOTS61ZEWS14YFVW4B0RX0H6TOUA=.XTBL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\БАРАНОВА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\ЯРЛЫК ДЛЯ WA.VBS.LNK
del %SystemDrive%\DOCUMENTS AND SETTINGS\ВЛАСЕНКООКСАНА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\FI5W4U2VRQCIMTZP2MLCGUEHF6XKWYJGXZKH4EWJUR8=.XTBL
del %SystemDrive%\DOCUMENTS AND SETTINGS\КУЗОВКИНАТАТЬЯНА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\QIMCMLE6DE0FSVTWSHLTAR5WXBTZMWYUIZO0O7ZT2PQ=.XTBL
delall %SystemDrive%\RECYCLER\WASPACE\WA.VBS
zoo %SystemRoot%\ADFS\CTFMON.EXE
delall %SystemRoot%\ADFS\CTFMON.EXE
czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Компьютер перезагрузите вручную.[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://www.dropbox.com/s/fv5udu0pse3a82g/FRST_canned.png?dl=1[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]https://www.dropbox.com/s/bw0sjh213n7646i/FRST.png?dl=1[/img]

Новые логи что-то очень долго делаются. Пока суть да дело - загрузил новый карантин ZOO...

Хорошо.

Farbar Recovery Scan Tool уже почти сутки молотит на этапе Listing installed Programs. Это вобще нормальное для него явление?

Перекачайте утилиту там должны были несколько ошибок исправить.

[QUOTE=mike 1;1213781]Перекачайте утилиту там должны были несколько ошибок исправить.[/QUOTE]
Так и есть. Исправили.

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
Folder: C:\Documents and Settings\ВласенкоОксана\IETldCache
Folder: C:\Documents and Settings\Администратор\PrivacIE
Folder: C:\Documents and Settings\Администратор\IETldCache
Folder: C:\Documents and Settings\All Users\Application Data\Windows
Folder: C:\Documents and Settings\User_adm\WINDOWS
Folder: C:\Documents and Settings\LarkinOleg\WINDOWS
Folder: C:\Documents and Settings\Баранова\WINDOWS
Folder: C:\Documents and Settings\Белоусова\WINDOWS
Folder: C:\Documents and Settings\БибаеваВера\WINDOWS
Folder: C:\Documents and Settings\АкимоваЕкатерина\WINDOWS
Folder: C:\Documents and Settings\Макарова\WINDOWS
Folder: C:\Documents and Settings\ВласенкоОксана\WINDOWS
Folder: C:\Documents and Settings\Завгар\WINDOWS
Folder: C:\Documents and Settings\КузовкинаТатьяна\WINDOWS
Folder: C:\Documents and Settings\КопноваТатьяна\WINDOWS
Folder: C:\Documents and Settings\Юрченко\WINDOWS
Folder: C:\Documents and Settings\Попова\WINDOWS
Folder: C:\Documents and Settings\ЯкимоваМарина\WINDOWS
Folder: C:\Documents and Settings\РжевскаяСветлана\WINDOWS
Folder: C:\Documents and Settings\ХарьковскаяНаталья\WINDOWS
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![/list]

Вот

Логи в порядке. С расшифровкой помочь не сможем.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]