Ваши файлы были зашифрованы [Trojan.Win32.Agent.amoow, Trojan-Ransom.Win32.Agent.iej ]

Здравствуйте, два дня назад заразился пк. На экране была фоновая картинка, которая ссылалась на файл README.TXT


[QUOTE]Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
CE78A0E7DD1FA1FCDB0D|0
на электронный адрес [email][email protected][/email] или [email][email protected][/email] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.[/QUOTE]




В поисках лечения, нашел эти две ссылки:
[url]http://pk-help.com/security/no-virus-pc/[/url]
[url]http://pk-help.com/security/the-virus-encrypts-files/[/url]


Удалил из автозапуска все, почистил CCleaner'ом, перезагрузил пк и с помощью Dr web CureIt выполнил проверку. Нашло два файла encore.exe, которые я удалил. После этого, выполнил проверку Дестриктором, но ни одного файла не расшифровало. И вот, я нашел вас сайт. Как написано в инструкции, прикрепляю три файла (virusinfo_syscheck.zip, hijackthis.zip и зашифрованный файл) [url]https://yadi.sk/d/TYKMovCee2jy5[/url]

Уважаемый(ая) [B]Apmyp[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Логи прикрепите на форуме через кнопку Расширенный режим

[QUOTE=thyrex;1213982]Логи прикрепите на форуме через кнопку Расширенный режим[/QUOTE]


Сделал

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('D:\wubi.exe','');
QuarantineFile('C:\Users\Rina\AppData\Roaming\cppredistx86.exe','');
TerminateProcessByName('C:\Users\Rina\AppData\Roaming\Microsoft\Windows\IEUpdate\eventcreate.exe');
QuarantineFile('C:\Users\Rina\AppData\Roaming\Microsoft\Windows\IEUpdate\eventcreate.exe','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('C:\Users\Rina\AppData\Roaming\Microsoft\Windows\IEUpdate\eventcreate.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eventcreate');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','eventcreate');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Command Processor','AutoRun');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Command Processor\','Autorun');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
DeleteFile('C:\Users\Rina\AppData\Roaming\cppredistx86.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Файл карантина прислал.

C расшифровкой не поможем

А как на счет самого вируса?

По логам плохого не видно

А нет ли другого способа файлы расшифровать, даже если платно?

[quote="Apmyp;1214375"]А нет ли другого способа файлы расшифровать, даже если платно?[/quote]Увы

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\windows\csrss.exe - [B]Trojan-Ransom.Win32.Agent.iej[/B][*] c:\users\rina\appdata\roaming\microsoft\windows\ieupdate\eventcreate.exe - [B]Trojan.Win32.Agent.amoow[/B] ( AVAST4: Win64:Malware-gen )[/LIST][/LIST]