Зашифрованы все документы, фото и файлы программ 1С

[COLOR=#333333]Здравствуйте! Помогите, пожалуйста!
На почту пришло сообщение вида:[/COLOR]
[COLOR=#000000][FONT=Arial][COLOR=#333333][FONT=Arial]Re:Требование/ИФНС:
[B]Налоговая.Инспекция/ИФНС <[email protected]>[/B]
[COLOR=#999999][I]Кому: [EMAIL="[email protected]"][email protected][/EMAIL][/I][/COLOR]
[COLOR=#999999][I]9 декабря, 2:04[/I][/COLOR]
[I][COLOR=#C00100][B]![/B][/COLOR] Важное[/I]
[/FONT][/COLOR][FONT=Arial][LEFT][I][FONT=Arial][SIZE=2][LEFT][FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman][LEFT][FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman][B]Требование №49588 от 01.12.2015г. о пояснении к декларации по НДС за 3 квартал 2015г.[/B][/FONT][/COLOR][/COLOR][/FONT][/LEFT]
[/FONT][/COLOR][/COLOR][/FONT][FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman]Если прием требования не будет подтвержден в течении 6 рабочих дней с момента отправки, то ИФНС в праве заблокировать расчетный счет организации.[/FONT][/COLOR][/COLOR][/FONT]
[FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman]Приложение к письму:[/FONT][/COLOR][/COLOR][/FONT]
[FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman][URL="http://sombo.in/private.rar"]Требование №49588[/URL][/FONT][/COLOR][/COLOR][/FONT][/LEFT]
[LEFT][FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman]Заместитель начальника[/FONT][/COLOR][/COLOR][/FONT]
[FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman]советник государственной гражданской[/FONT][/COLOR][/COLOR][/FONT]
[FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman]службы Российской федерации 2 класса[/FONT][/COLOR][/COLOR][/FONT][/LEFT]
[/SIZE][/FONT][/I][/LEFT]
[/FONT][I][FONT=Arial][SIZE=2][LEFT][FONT=Arial][COLOR=#ff0000][COLOR=#000000][FONT=Times New Roman]Ю.В. Савин
[/FONT][/COLOR][/COLOR][/FONT][/LEFT]
[/SIZE][/FONT][/I]по ссылке лежит файл private.rar
После запуска файла в этом архиве, произошло шифрование всех документов, фото и базы 1С.
файлы стали иметь имя типа: [EMAIL="[email protected]"][email protected][/EMAIL]-CL 1.2.0.0.id-PZYQZXIYNDTZKQVLWCINYOUAKQZZTZFLVLRX-09.12.2015 [email]8@[email protected][/email]

На рабочем столе поменялась заставка. Прилагаю скрин рабочего стола, логи.

Заранее благодарна!
[/FONT][/COLOR]

Уважаемый(ая) [B]Светлана Ханова[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Логи прикрепила

Ну рассказывайте, какие выводы Вы сделали для себя?

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]

begin
QuarantineFile('C:\Documents and Settings\Mufasa\Local Settings\Application Data\Hostinstaller\4230765586_monster.exe','');
QuarantineFile('C:\Program Files\explore.exe','');
DeleteFile('C:\Program Files\explore.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','pr');
DeleteFile('C:\Documents and Settings\Mufasa\Local Settings\Application Data\Hostinstaller\4230765586_monster.exe','32');
DeleteFile('C:\WINDOWS\Tasks\Soft installer.job','32');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Логи

Я еще вопрос задал и хочу услышать на него ответ.

Здравствуйте!
Вывод для себя сделала - что подозрительные письма не открывать и тем более скачивать на ПК не надо,
т.к. ИФНС на email требования не высылают! Быть бдительнее!

А еще какие выводы сделали?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Здравствуйте!
Ещё много сделала выводов, но главное то, что когда появилась проблема, я обратилась в техподдержку антивируса,
никакой помощи, даже не ответили. Мне вчера рассказали про Ваш форум, отзывы отличные.
Спасибо Вам, что приходите на помощь всем!!!

Отчеты прикрепила.

[QUOTE]я обратилась в техподдержку антивируса[/QUOTE]
В DrWeb откажут в помощи, если их антивирус не стоял в момент заражения.


[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-1708537768-484061587-1417001333-1004\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C0} -> No File
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-1708537768-484061587-1417001333-1004 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.yoursearching.com/?type=sc&ts=1449679892&z=48eb500781e889f220de495gbzcz8t6q6m9tcbftbc&from=itr&uid=WDCXWD1002FAEX-00Z3A0_WD-WCATRA65191651916
CHR HomePage: Profile 1 -> hxxp://www.yoursearching.com/?type=hp&ts=1449679892&z=48eb500781e889f220de495gbzcz8t6q6m9tcbftbc&from=itr&uid=WDCXWD1002FAEX-00Z3A0_WD-WCATRA65191651916
CHR StartupUrls: Profile 1 -> "hxxp://www.yoursearching.com/?type=hp&ts=1449679892&z=48eb500781e889f220de495gbzcz8t6q6m9tcbftbc&from=itr&uid=WDCXWD1002FAEX-00Z3A0_WD-WCATRA65191651916"
CHR Extension: (coupondo) - C:\Documents and Settings\Mufasa\Local Settings\Application Data\Google\Chrome\User Data\Profile 1\Extensions\ikihdpjgbomalcdgfdbkeodegggogdfk [2015-12-09]
CHR HKLM\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fidibeiehaokohhbnkdjmkcapgnndfkc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jkagakiplhpgacmegfblcddbckenmiio] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [kjlpdpfmpoggibmjgmbaoidffidifakh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - hxxp://vkplayerpro.ru/index.xml
CHR HKLM\...\Chrome\Extension: [lhkkilnkkndgjdibjagkeelhofffcmam] - C:\Program Files\Adobe Flash Players 11.0\adobeflashplayer-sk.crx <not found>
CHR HKLM\...\Chrome\Extension: [nphbmanpfjfdngbaamhajooihmjacmfe] - hxxps://clients2.google.com/service/update2/crx?response=redirect\\&x=id%3Dnphbmanpfjfdngbaamhajooihmjacmfe%26uc%26lang%3Den-US&prod=chrome"
CHR HKLM\...\Chrome\Extension: [pganlglbhgfjfgopijbhemcpbehjnpia] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1708537768-484061587-1417001333-1004\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dmpojjilddefgnhiicjcmhbkjgbbclob] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-1708537768-484061587-1417001333-1004\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - hxxp://vkplayerpro.ru/index.xml
StartMenuInternet: chrome.exe - C:\Program Files\Google\Chrome\Application\chrome.exe hxxp://www.yoursearching.com/?type=sc&ts=1449679892&z=48eb500781e889f220de495gbzcz8t6q6m9tcbftbc&from=itr&uid=WDCXWD1002FAEX-00Z3A0_WD-WCATRA65191651916
StartMenuInternet: (HKLM) Opera - C:\Program Files\Opera\Opera.exe hxxp://www.yoursearching.com/?type=sc&ts=1449679892&z=48eb500781e889f220de495gbzcz8t6q6m9tcbftbc&from=itr&uid=WDCXWD1002FAEX-00Z3A0_WD-WCATRA65191651916
StartMenuInternet: (HKLM) Opera.exe - C:\Program Files\Opera\Opera.exe hxxp://www.yoursearching.com/?type=sc&ts=1449679892&z=48eb500781e889f220de495gbzcz8t6q6m9tcbftbc&from=itr&uid=WDCXWD1002FAEX-00Z3A0_WD-WCATRA65191651916
2015-12-09 20:53 - 2015-12-10 07:50 - 00000000 ____D C:\Program Files\00000000-1449679989-0000-0000-6CF049C7F9A8
2015-12-09 20:53 - 2015-12-09 20:54 - 00000000 ____D C:\Documents and Settings\Mufasa\Application Data\ASPackage
2015-12-09 20:53 - 2015-12-09 20:53 - 00000000 ____D C:\Documents and Settings\Mufasa\Главное меню\Программы\ASPackage
2015-12-09 20:52 - 2015-12-09 23:22 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Tmp0x0x
2015-12-09 20:51 - 2015-12-09 20:52 - 00000000 ____D C:\Documents and Settings\Mufasa\Application Data\yoursearching
2015-12-09 20:51 - 2015-12-09 20:51 - 00000212 _____ C:\Documents and Settings\Mufasa\Рабочий стол\Искать в Интернете.url
2015-12-09 20:51 - 2015-12-09 20:51 - 00000000 ____D C:\Documents and Settings\Mufasa\Главное меню\Программы\coupondo
2015-12-09 18:08 - 2015-12-09 18:08 - 00927422 _____ C:\Program Files\desk.bmp
2015-12-09 08:46 - 2015-12-09 13:17 - 00000080 _____ C:\Program Files\ROAOUCSKSI.DYH
2015-12-09 08:44 - 2015-12-09 08:44 - 00000000 ____D C:\Program Files\data archive
2015-12-09 18:08 - 2015-12-09 18:08 - 0927422 _____ () C:\Program Files\desk.bmp
2015-12-09 18:08 - 2015-12-09 18:08 - 0149120 _____ () C:\Program Files\desk.jpg
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Здравствуйте!
После перезагрузки ПК на рабочем столе поменялась заставка.
Лог-файл прикрепила.

С расшифровкой не поможем

Спасибо за уделённое время!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]