Файлы и документы зашифрованы вирусом пришедшим с письмом e-mail.

Printable View

03.12.2015, 08:12
virmaker

Вложений: 3

Файлы и документы зашифрованы вирусом пришедшим с письмом e-mail.

Здравствуйте!

Запустили вложение из письма, зашифровались файлы. Расширение .BREAKING_BAD

Появились README файлы:
*** Begin ***
Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
028242525FD5F3A214CB|337|2|2
на электронный адрес [email][email protected][/email] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
028242525FD5F3A214CB|337|2|2
to e-mail address [email][email protected][/email] .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
*** EOF ***

Файлы из инструкции во вложении!

Благодарю за внимание.
03.12.2015, 08:13
Info_bot

Уважаемый(ая) [B]virmaker[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.12.2015, 23:16
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\User\Application Data\Browsers\exe.resworb.bat','');
QuarantineFile('C:\Documents and Settings\User\Application Data\Browsers\exe.arepo.bat','');
DeleteFile('C:\Documents and Settings\User\Application Data\Browsers\exe.arepo.bat','32');
DeleteFile('C:\Documents and Settings\User\Application Data\Browsers\exe.resworb.bat','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
04.12.2015, 06:40
virmaker

Вложений: 4

Здравствуйте!

Прилагаю запрошенные файлы...
04.12.2015, 21:02
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
05.12.2015, 18:50
virmaker

Вложений: 3

Запрошенные данные во вложении...
06.12.2015, 11:59
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {058C66B2-4CB7-4EFD-BC18-D2ACA9E04F73} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {95D52D85-4DFA-48C2-9C85-2CB4BB0ECB2C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {B2A025AA-2242-4E2F-8FC6-6DC64A736A80} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-796845957-1292428093-1417001333-1004 -> {FA6CC280-3AEA-4DC3-9C5B-9B729779EC31} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=148e4100543a84e3c5cfa0ca3fce0d3a&text= <==== ATTENTION
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.delta-homes.com/?type=sc&ts=1434018120&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=ient06122&uid=HitachiXHTS545025B9A300_100112PB42061SE4TMZMX
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\vq4rfhzv.HOME-6E50149A03\extensions\[email protected] => not found
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=newcustom15","hxxp://www.istartsurf.com/?type=hppp&ts=1434018204&from=xtab&uid=2BE1937973D44d99AAFCC965F121D777"
CHR NewTab: Default -> "chrome-extension://pnooffjhclkocplopffdbcdghmiffhji/visual-bookmarks.html"
StartMenuInternet: (HKLM) Opera - C:\Program Files\Opera\Opera.exe hxxp://www.delta-homes.com/?type=sc&ts=1434018120&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=ient06122&uid=HitachiXHTS545025B9A300_100112PB42061SE4TMZMX
StartMenuInternet: (HKLM) Opera.exe - C:\Program Files\Opera\Opera.exe hxxp://www.delta-homes.com/?type=sc&ts=1434018120&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=ient06122&uid=HitachiXHTS545025B9A300_100112PB42061SE4TMZMX
2015-12-02 12:43 - 2015-12-02 12:43 - 00000000 ____D C:\Device
2015-11-27 20:46 - 2015-11-27 20:46 - 02949174 _____ C:\Documents and Settings\User\Application Data\C3B58C5BC3B58C5B.bmp
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README9.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README8.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README7.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README6.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README5.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README4.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README3.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README2.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README10.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\User\Рабочий стол\README1.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2015-11-27 20:46 - 2015-11-27 20:46 - 00000851 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README9.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README8.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README7.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README6.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README5.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README4.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README3.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README2.txt
2015-11-27 16:43 - 2015-11-27 16:43 - 00000851 _____ C:\README10.txt
2015-11-27 16:32 - 2015-12-02 11:18 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Windows
ShortcutWithArgument: C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk -> C:\Program Files\Internet Explorer\IEXPLORE.EXE (Корпорация Майкрософт) -> hxxp://www.mail.ru <==== ATTENTION
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:07BF512B
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:1CE11B51
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
06.12.2015, 15:08
virmaker

Вложений: 1

Запрошенные данные во вложении...
06.12.2015, 23:00
thyrex

С расшифровкой не поможем
07.12.2015, 02:19
virmaker

Здравствуйте!

Может я что-то делал не так?

Как можно иначе оплатить платную услугу, хотел воспользоваться ею, но у меня нет возможности платить через пай-пал, нет карт своих банковских?

Если попробовать еще раз?

P.S. Все действия выполнялись с подключенным интернетом, со включенным антивирусом (кроме тех, которые описаны в первоначальной инструкции) - это могло повлиять на исход?
07.12.2015, 07:46
thyrex

[quote="virmaker;1339201"]Как можно иначе оплатить платную услугу, хотел воспользоваться ею[/quote]Не сможем помочь и в Помогите+
07.12.2015, 18:18
virmaker

Здравствуйте!

Может я настойчив очень, но если бы вы сухо так не отвечали, скажите, это связано с новой модификацией вируса и вы не можете понять как он действует или это свфзано с действиями на компьютере и изменениями данных, которое помешало возможности восстановления?
08.12.2015, 07:42
thyrex

Это связано с алгоритмом шифрования
08.12.2015, 18:41
virmaker

Все равно вам огромное спасибо за то, что вы делаете хорошее дело - помогаете нуждающимся.. БОГ вас не забудет!

Счастья ВАМ! Как разживусь средствами закину через кого-нить в пай-пал денежек для проекта! Еще раз благодарю за потраченное время!
08.12.2015, 18:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]