Вирус зашифровал файлы и изменил их формат на 869246

Printable View

19.03.2015, 09:21
darkgalaxy

Вложений: 3

Вирус зашифровал файлы и изменил их формат на 869246

Здравствуйте. У меня совершенно аналогичная проблема, как у пользователя Affine: [URL]http://virusinfo.info/showthread.php?t=179513[/URL]
Вирус шифровальщик зашифровал файлы, изменив их формат на 869246. От самого вируса я избавился, но вот зашифрованные файлы остались, среди них есть очень важные, а так же памятные фото. Очень прошу помочь.

Образцы зашифрованных файлов:
[ATTACH=CONFIG]546976[/ATTACH]
А так же, логи согласно инструкции о запросе:
[ATTACH=CONFIG]546978[/ATTACH]
[ATTACH=CONFIG]546979[/ATTACH]

Ещё, я взял на себя смелость выполнить скрипты, что были для пользователя Affine, поскольку наши вирусы полностью идентичны, однако папка карантин была пуста.
19.03.2015, 09:23
Info_bot

Уважаемый(ая) [B]darkgalaxy[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.03.2015, 09:41
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\YouTube Accelerator\YTAUninstall.exe','');
QuarantineFile('C:\Program Files (x86)\iWebar\c4604ace-4f94-4d39-916d-2b3193b93019-7.exe','');
QuarantineFile('C:\Program Files (x86)\iWebar\c4604ace-4f94-4d39-916d-2b3193b93019-6.exe','');
QuarantineFile('C:\Program Files (x86)\iWebar\c4604ace-4f94-4d39-916d-2b3193b93019-11.exe','');
QuarantineFile('C:\Users\Zarkon\AppData\Roaming\VOPackage\nsnF106.tmpfs','');
DeleteService('juzimyho');
QuarantineFile('C:\Users\Zarkon\AppData\Roaming\VOPackage\JOSrv.exe','');
DeleteService('serverjo');
DeleteFile('C:\Users\Zarkon\AppData\Roaming\VOPackage\JOSrv.exe','32');
DeleteFile('C:\Users\Zarkon\AppData\Roaming\VOPackage\nsnF106.tmpfs','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Program Files (x86)\iWebar\c4604ace-4f94-4d39-916d-2b3193b93019-11.exe','32');
DeleteFile('C:\Windows\Tasks\c4604ace-4f94-4d39-916d-2b3193b93019-11.job','64');
DeleteFile('C:\Program Files (x86)\iWebar\c4604ace-4f94-4d39-916d-2b3193b93019-6.exe','32');
DeleteFile('C:\Windows\Tasks\c4604ace-4f94-4d39-916d-2b3193b93019-6.job','64');
DeleteFile('C:\Program Files (x86)\iWebar\c4604ace-4f94-4d39-916d-2b3193b93019-7.exe','32');
DeleteFile('C:\Windows\Tasks\c4604ace-4f94-4d39-916d-2b3193b93019-7.job','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\c4604ace-4f94-4d39-916d-2b3193b93019-11','64');
DeleteFile('C:\Windows\system32\Tasks\c4604ace-4f94-4d39-916d-2b3193b93019-6','64');
DeleteFile('C:\Windows\system32\Tasks\c4604ace-4f94-4d39-916d-2b3193b93019-7','64');
DeleteFile('C:\Program Files (x86)\YouTube Accelerator\YTAUninstall.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{0C3A3E80-29A1-4E72-88EE-0C726929B9C3}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]
19.03.2015, 10:35
darkgalaxy

Вложений: 2

Спасибо за ответ. К сожалению выслать карантин не представляется возможным, трижды выполнял этот скрипт, но ничего, что бы я мог заархивировать и прислать, не появилось в разделе карантин. Появилась лишь пустая папка 2015-03-19, но файлов никаких нет.
Новые логи:
[ATTACH=CONFIG]547001[/ATTACH]
[ATTACH=CONFIG]547002[/ATTACH]

Если есть интерес, могу прислать файл с этим вирусом, я знаю где его скачал. Или могу снова у себя его установить и прислать логи, терять то уже нечего, а файлы назад очень нужны. В общем, при необходимости, готов побыть подопытным швайном, в целях улучшения борьбы с этим шифровщиком.
20.03.2015, 17:35
thyrex

[quote="darkgalaxy;1247888"]Если есть интерес, могу прислать файл с этим вирусом[/quote]Заархивируйте с паролем [B]virus[/B] и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
20.03.2015, 21:49
darkgalaxy

Сделано
21.03.2015, 09:58
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
21.03.2015, 12:26
darkgalaxy

Вложений: 2

[ATTACH=CONFIG]547736[/ATTACH]
[ATTACH=CONFIG]547737[/ATTACH]
21.03.2015, 23:19
thyrex

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
ShortcutTarget: setup.lnk -> C:\ProgramData\{185eb351-508e-dffe-185e-eb351508cd45}\setup.exe (No File)
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-2523497991-209473415-2635265425-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://websearch.coolsearches.info/?pid=23157&r=2015/03/17&hid=4402625407588659866&lg=EN&cc=PH&unqvl=85
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1417980382&from=smt&uid=PLEXTORXPX-128M5Pro_P02313109135&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1417980382&from=smt&uid=PLEXTORXPX-128M5Pro_P02313109135&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1417980382&from=smt&uid=PLEXTORXPX-128M5Pro_P02313109135&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1417980382&from=smt&uid=PLEXTORXPX-128M5Pro_P02313109135&q={searchTerms}
HKU\S-1-5-21-2523497991-209473415-2635265425-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://isearch.omiga-plus.com/web/?type=ds&ts=1417980340&from=smt&uid=PLEXTORXPX-128M5Pro_P02313109135&q={searchTerms}
HKU\S-1-5-21-2523497991-209473415-2635265425-1000\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://ru.msn.com/?ocid=iehp
HKU\S-1-5-21-2523497991-209473415-2635265425-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1417980340&from=smt&uid=PLEXTORXPX-128M5Pro_P02313109135&q={searchTerms}
HKU\S-1-5-21-2523497991-209473415-2635265425-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
SearchScopes: HKLM-x32 -> DefaultScope {BB82DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.coolsearches.info/?l=1&q={searchTerms}&pid=23157&r=2015/03/17&hid=4402625407588659866&lg=EN&cc=PH&unqvl=85
SearchScopes: HKLM-x32 -> {BB82DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.coolsearches.info/?l=1&q={searchTerms}&pid=23157&r=2015/03/17&hid=4402625407588659866&lg=EN&cc=PH&unqvl=85
SearchScopes: HKU\S-1-5-21-2523497991-209473415-2635265425-1000 -> {BB82DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.coolsearches.info/?l=1&q={searchTerms}&pid=23157&r=2015/03/17&hid=4402625407588659866&lg=EN&cc=PH&unqvl=85
BHO: No Name -> {A5A51D2A-505A-4D84-AFC6-E0FA87E47B8C} -> No File
BHO: No Name -> {AA58ED58-01DD-4d91-8333-CF10577473F7} -> No File
BHO: No Name -> {FCE3FA8B-BA81-467C-81D8-E43C00D1BC71} -> No File
BHO-x32: No Name -> {AA58ED58-01DD-4d91-8333-CF10577473F7} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {FCE3FA8B-BA81-467C-81D8-E43C00D1BC71} -> No File
Toolbar: HKU\S-1-5-21-2523497991-209473415-2635265425-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
FF DefaultSearchEngine,S: WebSearch
FF DefaultSearchUrl: hxxp://websearch.coolsearches.info/?pid=23157&r=2015/03/17&hid=4402625407588659866&lg=EN&cc=PH&unqvl=85&l=1&q=
FF SearchEngineOrder.1: WebSearch
FF SearchEngineOrder.1,S: WebSearch
FF SelectedSearchEngine: WebSearch
FF SelectedSearchEngine,S: WebSearch
CHR HKLM-x32\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - No Path Or update_url value
2015-03-17 22:46 - 2015-03-17 22:46 - 00000000 ____D () C:\Users\Все пользователи\23eb5eab00003d98
2015-03-17 22:46 - 2015-03-17 22:46 - 00000000 ____D () C:\ProgramData\23eb5eab00003d98
2015-03-17 22:40 - 2015-03-18 06:31 - 00000000 ____D () C:\Program Files (x86)\UniDeals
2015-03-17 22:40 - 2015-03-17 22:40 - 00000000 ____D () C:\Users\Все пользователи\{c318b061-7278-b480-c318-8b061727c185}
2015-03-17 22:40 - 2015-03-17 22:40 - 00000000 ____D () C:\ProgramData\{c318b061-7278-b480-c318-8b061727c185}
2015-03-17 22:39 - 2015-03-18 13:08 - 00000000 ____D () C:\Users\Все пользователи\{185eb351-508e-dffe-185e-eb351508cd45}
2015-03-17 22:39 - 2015-03-18 13:08 - 00000000 ____D () C:\ProgramData\{185eb351-508e-dffe-185e-eb351508cd45}
2015-03-17 22:39 - 2015-03-17 22:39 - 00000000 ____D () C:\Users\Все пользователи\eofigjligmnkndcanlinoajkfeohkbfd
2015-03-17 22:39 - 2015-03-17 22:39 - 00000000 ____D () C:\Users\Все пользователи\14555853780171110708
2015-03-17 22:39 - 2015-03-17 22:39 - 00000000 ____D () C:\ProgramData\eofigjligmnkndcanlinoajkfeohkbfd
2015-03-17 22:39 - 2015-03-17 22:39 - 00000000 ____D () C:\ProgramData\14555853780171110708
2015-03-17 22:39 - 2015-03-17 22:39 - 00000000 ____D () C:\Program Files (x86)\UniDealsi
2015-03-19 10:04 - 2014-12-07 22:57 - 00000000 ____D () C:\Program Files (x86)\iWebar
Reboot:
[/code][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
21.03.2015, 23:31
darkgalaxy

Вложений: 1

[ATTACH=CONFIG]547914[/ATTACH]
22.03.2015, 05:22
thyrex

На данный момент с расшифровкой не поможем
22.03.2015, 07:47
darkgalaxy

Очень печально. Но всё равно спасибо, что попытались.
Такой вопрос, а если я подписку оформлю, для темы помогите+, расшифровать реально? Или на данный момент, мои файлы вообще не расшифровать, ни при каких обстоятельствах?
22.03.2015, 10:03
thyrex

[quote="darkgalaxy;1249429"]Или на данный момент, мои файлы вообще не расшифровать, ни при каких обстоятельствах?[/quote]На данный момент дешифратора нет. В Помогите+ тоже нет смысла обращаться на данный момент
22.03.2015, 10:15
darkgalaxy

Ясно, спасибо. Что-ж буду ждать появления дешифратора, надеюсь когда ни будь таковой появится.
22.03.2015, 10:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]