Важные документы стали зашифрованы.

Printable View

17.02.2015, 07:32
LORDMNK

Важные документы стали зашифрованы.

Здравствуйте, помогите пожалуйста, спасите. Очень важные рабочие документы в один миг стали шифрованы.
Подскажите что делать, есть ли шанс восстановить. Я прочитал что надо несколько файлов на файлообменник и сюда ссылку прикрепить. Вот взгляните. [url]https://cloud.mail.ru/public/997801a40234/Documents.rar[/url]
Очень ждём ответа.
17.02.2015, 07:33
Info_bot

Уважаемый(ая) [B]LORDMNK[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
17.02.2015, 08:03
LORDMNK

Вложений: 1

Вот логи. Надеюсь всё правильно.
17.02.2015, 17:55
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
SetServiceStart('BDArKit', 4);
SetServiceStart('BDMWrench', 4);
DeleteService('BDMWrench_x64');
DeleteService('bd0002');
DeleteService('BDMWrench');
DeleteService('BDArKit');
QuarantineFile('C:\Users\Пользователь\AppData\Local\Google\chrome.bat','');
QuarantineFile('C:\Users\Пользователь\AppData\Local\WinnerDM\wdm.exe','');
QuarantineFile('C:\Users\Пользователь\AppData\Local\screentk\screentkup.exe','');
QuarantineFile('C:\Users\Пользователь\AppData\Local\storegid\storegid.exe','');
QuarantineFile('C:\Users\Пользователь\AppData\Local\storegid\storegidup.exe','');
QuarantineFile('C:\PROGRA~3\Mozilla\aviyktm.exe','');
TerminateProcessByName('c:\program files (x86)\common files\baidu\bddownload\108\bddownloader.exe');
TerminateProcessByName('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.619\baiduprotect.exe');
DeleteFile('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.619\baiduprotect.exe','32');
DeleteFile('c:\program files (x86)\common files\baidu\bddownload\108\bddownloader.exe','32');
DeleteFile('C:\PROGRA~3\Mozilla\aviyktm.exe','32');
DeleteFile('C:\Windows\system32\Tasks\xvewvfi','64');
DeleteFile('C:\Users\Пользователь\AppData\Local\storegid\storegidup.exe','32');
DeleteFile('C:\Users\Пользователь\AppData\Local\storegid\storegid.exe','32');
DeleteFile('C:\Users\Пользователь\AppData\Local\screentk\screentkup.exe','32');
DeleteFile('C:\Users\Пользователь\AppData\Local\WinnerDM\wdm.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WinnerDM','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentkUpdater','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\storegid','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\storegidUpdater','command');
DeleteFile('C:\Users\Пользователь\AppData\Local\Google\chrome.bat','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray','command');
DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdTray.exe','32');
DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\ad.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDKitUtils.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDLogicUtils.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDMDownload.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDMNet.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BDMReport.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\DriverManager.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\ArKit.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\AssistReportPlugin.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\FileUpdatePlugin.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\FixSePlugin.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\dynplugins\HostPlugin.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\plugins\BaiduRepair.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\plugins\HIPS.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\SafeBrowserDll.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BDDownload\108\bdcomproxy.dll','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BDDownload\108\dl.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
18.02.2015, 13:32
LORDMNK

Вложений: 3

Проверку avz делать не надо я так понимаю? там в карантине только 1 файл сейчас лежит, пришлю чуть позже. а вот дополнительные логи

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Карантин вроде загрузился
18.02.2015, 19:19
thyrex

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

File::
c:\windows\system32\drivers\BDArKit.sys
c:\windows\SysWow64\drivers\bd0002.sys
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\drivers\bd0001.sys

Driver::
BDMWrench_x64
BDSafeBrowser
bd0004
BDMWrench
BDArKit
BDSGRTP

Folder::
c:\users\Пользователь\AppData\Local\EmieUserList
c:\users\Пользователь\AppData\Local\EmieSiteList
c:\users\Пользователь\AppData\Local\EmieBrowserModeList
c:\program files (x86)\Adobe Flash Player
c:\program files (x86)\Письмо
c:\program files (x86)\Common Files\Baidu

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
25.02.2015, 10:52
LORDMNK

Вложений: 2

Простите за задержку, вот пожалуйста логи.
25.02.2015, 22:55
thyrex

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

С расшифровкой не поможем
26.02.2015, 13:13
LORDMNK

Может какой то файл должен быть в котором как некоторые пишут просят деньги за расшифровку? потому что у нас не было такого сообщения.
Где лежал этот вирус, как их найти на других компьютерах?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я прочитал что услуга по расшифровке у вас платная, фраза "С расшифровкой не поможем" связанна именно с этим? Если да то это не проблема, только скажите что делать.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Писать в помощь+?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Там смогут помочь?
26.02.2015, 22:57
thyrex

[quote="LORDMNK;1236025"]Там смогут помочь?[/quote]Нет
27.02.2015, 08:10
LORDMNK

???

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

что не так то с этими зашифрованными файлами?
27.02.2015, 13:22
thyrex

Зашифрованные файлы ничем не помогут для поиска ключа шифрования
02.03.2015, 13:21
LORDMNK

А файлы из карантина антивируса могут помочь? После того как файлы зашифровались, антивирус много чего нашёл.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

систему можно заново переустанавливать? или ещё куда то можно обратиться? Файлы в карантине остались если что.
02.03.2015, 19:36
thyrex

Помогут только злодеи
02.03.2015, 19:46
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]