пойман троян шифровальщик [EMAIL="[email protected]"][email protected][/EMAIL]-CL 1.0.0.0. зашифровал только файлы на сетевых дисках, до того как был остановлен. файл шифровальщика присутствует (exe-файл). логи прилагаю. помогите найти дешифровальщик, если это возможно.
Уважаемый(ая) [B]ximxim[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
пусто
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
зашифрованного файла
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
пустого карантина
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
откуда произошло шифрование сетевых дисков?
сделал. сам шифровальщик там удален
[quote="ximxim;1294732"]откуда произошло шифрование сетевых дисков?[/quote]С компьютера, на котором запустили шифровальщик и который имел доступ к сети
Что в папке C:\Program Files\Сжатие больших архивов?
[quote="ximxim;1294528"]файл шифровальщика присутствует (exe-файл)[/quote]
Заархивируйте с паролем virus в архив, не содержащий символов кириллицы, и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением в Вашей теме.
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-299502267-492894223-839522115-2218\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
2015-07-14 09:24 - 2015-07-14 16:00 - 22566778 _____ C:\Program Files\log1.log
2015-07-14 09:24 - 2015-07-14 09:24 - 00000064 _____ C:\Program Files\GZHPJSZWXU.FNX
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
загрузил, в С:\Program Files\Сжатие больших архивов\Архивный Пакет\ лежит файл с таким же названием, что и вирус шифровальщик 3.7 мб
fixlog прислал
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
сейчас пришлы в запрошенный карантин файл из С:\Program Files\Сжатие больших архивов\Архивный Пакет\
[quote="ximxim;1294801"]\Program Files\Сжатие больших архивов[/quote]удаляйте
Ссылка, по которой скачивали шифровальщика, сохранилась?
да
Вся сметная документация во вложении в ссылке: [удалено]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
ой может в файле надо?
Похоже, что уже невозможно по ней ничего скачать или ошиблись в ссылке
я вчера тоже пробовал, похоже она одноразовая. а еще я попробовал на изолированном компе запустить шифровальщик, он запустил 2 копии, все зашифровал, что смог, вывел на экран надпись "Твои файлы зашифрованы, если хочешь все вернуть, отправь 1 зашифрованный файл на почту [email][email protected][/email]. Внимание ,есть 1 неделя, чтобы написать мне на почту, по прошествии этого срока расшифровка станет невозможна! И тело вируса самоудалилось . Открытые файлы не зашифровались
С расшифровкой не поможем, увы
там двойное шифрование?
В какой-то степени. Плюс часть информации для расшифровки трижды зашифрована разными RSA-ключами
Спасибо всем за желание помочь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \simpleinf.exe - [B]HEUR:Packed.Win32.Black.f[/B] ( AVAST4: Win32:Malware-gen )[*] \simpleinf2.exe - [B]HEUR:Packed.Win32.Black.f[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]