Шифровальщик AMBA [not-a-virus:NetTool.Win32.Wasppace.l, HEUR:Trojan.Win32.Generic ]

Доброй ночи.
Столкнулся с шифровальщиком AMBA все файлы стали с расширение AMBA.
Текст сообщения
"Внимание!
Если Вы читаете это сообщение, значит Ваш компьютер был атакован опаснейшим вирусом.
Вся Ваша информация (документы, базы данных, бэкапы и другие файлы) на этом компьютере была зашифрована.
Все зашифрованые файлы имеют расширение .AMBA
Ни в коем случае не изменяйте файлы! И не используйте чужие дешифраторы, Вы можете потерять Ваши файлы навсегда.

Напишите нам письмо на адрес [email][email protected][/email] , чтобы узнать как получить дешифратор.

Если мы Вам не ответили в течении 3 часов - повторите пересылку письма.

В письмо вставьте текст из файла 'ПРОЧТИ_МЕНЯ.txt' или напишите номер - 075876
В первом письме не прикрепляйте файлы для дешифровки. Все инструкции вы получите в ответном письме."

Прикрепляю логи сканирования системы.

Уважаемый(ая) [B]wolf-200[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#49295)
[/QUOTE]
Логи сделайте не через терминальную сессию.

загрузил новые логи в первое сообщение

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
F2 - REG:system.ini: Shell=explorer.exe, C:\Temp\SendTo\Temp\Adobe\Acrobat\10.0\acc32\ctfmon.exe


[/CODE]

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

сделал всё по инструкции вот лог

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.85 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v385c
breg

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\1C\APPLICATION DATA\CTFMON.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\1C\APPLICATION DATA\CTFMON.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALENA\APPLICATION DATA\CTFMON.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALENA\APPLICATION DATA\CTFMON.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\3.11.6.0_FULL\WASPPACER.EXE
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\3.11.6.0_FULL
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\REC2\APPLICATION DATA\CTFMON.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\REC2\APPLICATION DATA\CTFMON.EXE
zoo %SystemDrive%\RECYCLE\RDPCLIP.EXE
zoo %SystemDrive%\RECYCLE\S.BAT
zoo %SystemDrive%\RECYCLE\WASPPACER.EXE
zoo %SystemDrive%\RECYCLE\WASUB.EXE
zoo %SystemDrive%\RECYCLER\WASPPACER.EXE
zoo %SystemDrive%\RECYCLER\WINLOGON.EXE
delall %SystemDrive%\RECYCLE\S.BAT
delall %SystemDrive%\RECYCLE\WASPPACER.EXE
delall %SystemDrive%\RECYCLE\WASUB.EXE
delall %SystemDrive%\RECYCLER\WASPPACER.EXE
delall %SystemDrive%\RECYCLE\RDPCLIP.EXE
delall %SystemDrive%\RECYCLER\WINLOGON.EXE
delall %SystemDrive%\TEMP\SENDTO\TEMP\ADOBE\ACROBAT\10.0\ACC32\CTFMON.EXE
zoo %SystemRoot%\BIN\RESET\UDDISRW.EXE
delall %SystemRoot%\BIN\RESET\UDDISRW.EXE
zoo %SystemRoot%\PREINSTALL\UDDISRW.EXE
delall %SystemRoot%\PREINSTALL\UDDISRW.EXE
czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Компьютер перезагрузите вручную.[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.

Файл карантина отправил вот новый лог

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]

Произвёл сканирование прикладываю лог сканирования

MPK - Keylogger сами ставили себе?

нет, ничего такого не ставил

В MBAM удалите все, [B][COLOR="#0000FF"]кроме[/COLOR][/B]:

[CODE]
Обнаруженные файлы: 373
C:\Documents and Settings\1c\Мои документы\Downloads\CorelDRAW Graphics Suite X6 16.1.0.843\x32_16.1.0.843_ru\Keymaker-CORE\keygen.exe (RiskWare.Tool.HCK) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery 1.2.7\Portable Multi Password Recovery.exe (Riskware.MPR) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery 1.2.7\Original\crack\MPR.exe (Riskware.MPR) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery 1.2.7\Original\install\MPRSetup.exe (PUP.SpyTool) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery v1.2.9 Final Ml_Rus\MPRSetup.exe (Riskware.MPR) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery v1.2.9 Final Ml_Rus\mpr_portable_original.exe (Riskware.MPR) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery v1.2.9 Final Ml_Rus\Fix\MPR.exe (Riskware.MPR) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Multi Password Recovery v1.2.9 Final Ml_Rus\Multi Password Recovery 1.2.9 RePack by KpoJIuK\Multi.Password.Recovery.v1.2.9.exe (Spyware.Password.HL) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\VMware Workstation v10.0.1 Build 1379776 Final Eng_Rus\VMware.Workstation.v10.0.0.1295980.Keymaker-ZWT\keygen.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
C:\Documents and Settings\1c\Мои документы\Downloads\Zero Assumption Recovery 9.32 Silent install\Zero_Assumption_Recovery_moRaLIst.exe (Trojan.Dropped) -> Действие не было предпринято.
C:\Documents and Settings\irina\Рабочий стол\TeamViewer RePack by SPecialiST [Unattended & Portable]\TeamViewer_RePack_Ru-En.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files (x86)\Acronis\RecoveryMSSQLServerConsole\acronis_multi_keygen.exe (Trojan.Downloader) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Portable Multi Password Recovery.exe (Riskware.MPR) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Acronis_Recovery_for_MS_SQL_Server_v1.0.150\acronis_multi_keygen.exe (Trojan.Downloader) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Multi Password Recovery v1.2.9 Final Ml_Rus\MPRSetup.exe (Riskware.MPR) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Multi Password Recovery v1.2.9 Final Ml_Rus\mpr_portable_original.exe (Riskware.MPR) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Multi Password Recovery v1.2.9 Final Ml_Rus\Fix\MPR.exe (Riskware.MPR) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Multi Password Recovery v1.2.9 Final Ml_Rus\Multi Password Recovery 1.2.9 RePack by KpoJIuK\Multi.Password.Recovery.v1.2.9.exe (Spyware.Password.HL) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\Original\install\MPRSetup.exe (PUP.SpyTool) -> Действие не было предпринято.
D:\1csetup\Drive(D)\shariy\install\TeamViewer RePack by SPecialiST [Unattended & Portable]\TeamViewer_RePack_Ru-En.exe (Trojan.Agent) -> Действие не было предпринято.
[/CODE]

Смените все пароли.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

вот новый лог

Логи в порядке. С расшифровкой не поможем.

это печально :(

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \ctfmon.exe._ead7d3131ad8a7db04cfa2c48b907a7fea4ee992 - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Generic.Malware.SFdld.83B9BC93, AVAST4: Win32:Delf-AGT [Trj] )[*] \wasppacer.exe._7610d64a21ef562b998f4298fd7219ef11eafcdd - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( DrWEB: Tool.Wasppacer.2 )[*] \wasppacer.exe._9d9e3f01542fab3accc9a64d893782d3286d5f3a - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( AVAST4: Win32:Malware-gen )[*] \wasub.exe._616f9dc26d5023b128b420996523574f25aee2b7 - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( DrWEB: Tool.Click.22 )[/LIST][/LIST]