Шифровальщик [email protected] [Trojan.Win32.StartPage.ccay, Trojan.Win32.Yakes.fvby ]

Запустили полученный через имэил файл с вирусом.

Картинка на рабочем столе с указанием почты [email][email protected][/email] и просьбой прислать им один шифрованный файл.

Имя одного из файлов:
[CODE][email protected] 0.0.1.0.id-LHHXFBPDPPVQXSZPDWNZHNGUVHNQCWCVKEYM-15.06.2015 9@[email protected][/CODE]

Следовал вашей инструкции начиная с пункта Диагностика.

Документы на сетевых дисках зараза похоже не тронула, то есть она не распространяется по сети самостоятельно и шифруется лишь информация на всех локальных дисках, верно?

Судя по имэйлу, гугл говорит, что это похоже на Trojan.Encoder.102, но при этом утилита DrWeb te102decrypt.exe шифрованных файлов не находит, хотя возможно она не верно запускалась.

Возможна ли какая-нибудь расшифровка файлов?

Уважаемый(ая) [B]ipto[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\WINDOWS\sport.exe','');
QuarantineFile('globalroot\systemroot\system32\ZmrhBh3|pP†.exe','');
QuarantineFile('globalroot\systemroot\system32\IsxUklh.exe','');
QuarantineFile('globalroot\systemroot\system32\BzK8IFr.exe','');
QuarantineFile('globalroot\systemroot\system32\BVEKK69.exe','');
QuarantineFile('globalroot\systemroot\system32\8XRpOjZ.exe','');
QuarantineFile('C:\WINDOWS\system32\rUEJWpggigwLoi.exe','');
DeleteFile('C:\Program Files\service.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\pr','command');
DeleteFile('C:\WINDOWS\system32\rUEJWpggigwLoi.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','hvCrbyQxXlIEgRPwhuW_PSytbU');
DeleteFile('globalroot\systemroot\system32\8XRpOjZ.exe','32');
DeleteFile('globalroot\systemroot\system32\BVEKK69.exe','32');
DeleteFile('globalroot\systemroot\system32\BzK8IFr.exe','32');
DeleteFile('globalroot\systemroot\system32\IsxUklh.exe','32');
DeleteFile('globalroot\systemroot\system32\ZmrhBh3|pP†.exe','32');
DeleteFile('C:\WINDOWS\sport.exe','32');
DeleteFile('G:\autorun.inf','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением в Вашей теме.

Обновите базы AVZ

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]

Спасибо. Базы AVZ обновлены, логи в первом сообщении заменены, карантин отослан.

Насколько я понимаю, после данных манипуляций ПК еще не вылечен от самого вируса? Подскажите пожалуйста какой утилитой это можно сделать?

[quote="ipto;1283744"]Базы AVZ обновлены, логи в первом сообщении заменены[/quote]Нужно прикреплять не в первое сообщение, а в очередное

Выполните скрипт в AVZ
[code]begin
ExecuteREpair(13);
ExecuteREpair(21);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]

Хорошо, вот новое сообщение со вчерашними логами (идентичны логам в первом сообщении).

После выполнения скрипта снова выполнить процедуру из истнтрукции и прислать логи?

Эх... Я просил уже сделать новые логи после выполнения скрипта из сообщения №5.

Ясно, писал из дома, сейчас сделаю и пришлю.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прикреплены новые логи.

Логи в порядке.

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

С расшифровкой не поможем.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\sport.exe - [B]Trojan.Win32.StartPage.ccay[/B] ( BitDefender: Trojan.Generic.8718141 )[*] c:\windows\system32\ruejwpggigwloi.exe - [B]Trojan.Win32.Yakes.fvby[/B] ( DrWEB: Trojan.PWS.Turist.144, BitDefender: Trojan.GenericKD.1836602, AVAST4: Win32:Malware-gen )[/LIST][/LIST]