Printable View
Здравствуйте!
Подцепили вирус. Он зашифровал все фото и музыку на компьютере, переименовав файлы в вид типа +CKaVH2BlqqnvE8xqs78uDWq6XCywxPSKLK-XRhnAf0=.E99490577B66DDC05BDD.xtbl
Просьба помочь с удалением вируса и расшифровкой файлов.
В соответствии с правилами обращения:
1. Пример зашифрованных файлов.
фото: [URL]https://yadi.sk/d/1soinmNqiB6zL[/URL]
музыка: [URL]https://yadi.sk/d/RmoMTA49iB75t[/URL]
2. Логи.
Уважаемый(ая) [B]Worlding[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]
[QUOTE=thyrex;1303512]Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/URL][/QUOTE]
Готово
Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
[list][*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[QUOTE=thyrex;1303587]...
[list][*]Отчет о работе [b]ClearLNK-<Дата>.log[/b]...[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b])...[*]...будет создан отчет ([b]Addition.txt[/b]).[/list][/QUOTE]
Готово.
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKU\S-1-5-21-30905769-3081682937-2808245352-1001\...\Run: [fjnyglhaoo] => explorer "http://tumuri.ru/?utm_source=uoua03&utm_content=bbdfa0f489359ada6100c69b6a89c332" <===== ATTENTION
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
GroupPolicyUsers\S-1-5-21-30905769-3081682937-2808245352-1003\User: Restriction detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-30905769-3081682937-2808245352-1001\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO-x32: No Name -> {d2ce3e00-f94a-4740-988e-03dc2f38c34f} -> No File
Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM-x32 - No Name - {8dcb7100-df86-4384-8842-8fa844297b3f} - No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=01864b3808e9a0f74cb60227ed7a8677&text= <==== ATTENTION
FF Extension: Screeny - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\u8qntnvp.default\Extensions\{17238372-3743-33ab-8a9f-93722af74c79}.xpi [2014-07-29]
CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vk.ijmelto.ru/index.xml
OPR Extension: (Everysale.Net) - C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\mafpbclkdiejmpjnmioihcafdnlbmkco [2015-06-03]
OPR Extension: (PhoenixGuard v2.0 - бесплатный антивирус) - C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\nkooappjeoniffjmoplbagpngedkckpl [2015-06-03]
2015-08-10 14:44 - 2015-06-22 23:32 - 00000342 _____ C:\Windows\Tasks\Recovery Tool for Video Saver2.job
Task: {4CD10232-26C8-41ED-9729-700FBB5A834D} - System32\Tasks\Recovery Tool for Video Saver2 => C:\Program Files (x86)\Video Saver\tool\recover.exe [2015-05-26] () <==== ATTENTION
C:\Program Files (x86)\Video Saver
Task: {7A438CB6-4A79-4239-92C1-536A31B7EFB3} - System32\Tasks\Recovery Tool for Video Saver => C:\Program Files (x86)\Video Saver\tool\recover.exe [2015-05-26] () <==== ATTENTION
Task: C:\Windows\Tasks\Recovery Tool for Video Saver.job => C:\Program Files (x86)\Video Saver\tool\recover.exe <==== ATTENTION
Task: C:\Windows\Tasks\Recovery Tool for Video Saver2.job => C:\Program Files (x86)\Video Saver\tool\recover.exe <==== ATTENTION
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
[QUOTE=thyrex;1303715]Программа создаст лог-файл ([B]Fixlog.txt[/B]). Пожалуйста, прикрепите его в следующем сообщении![/QUOTE]
Готово
С расшифровкой не поможем
[QUOTE=thyrex;1303750]С расшифровкой не поможем[/QUOTE]
Скажите, пожалуйста, кто может помочь с расшифровкой?
Конечно же за вознаграждение.
Только злодеи
[QUOTE=thyrex;1303888]Только злодеи[/QUOTE]
Извините, позволю себе ещё пару вопросов.
Действительно такая безвыходная ситуация и можете объяснить почему?
А как найти этих злодеев, на худой конец, чтобы решить задачу?
Может быть, купить какую-то услугу у Доктора веба или Касперского?
RSA-шифрование
Почта злодеев обычно находится в файлах Readme1.txt - Readme10.txt, разбросанных на всех логических дисках