Файлы зашифрованы jfg8fgfgj34yhfgdfj.fgfgy43ydfidfh.uy347ffyfg [Trojan-Ransom.Win32.Xorist.ln]

[COLOR=#333333]Добрый вечер![/COLOR]
[COLOR=#333333]Поймали шифровальщик.
[/COLOR][I]name[/I].[I]ext[/I].[B]jfg8fgfgj34yhfgdfj[/B].[B]fgfgy43ydfidfh[/B].[B]uy347ffyfg
[/B]первые 46 байт файла не шифрованы
[COLOR=#333333]
[/COLOR]похож на тот, что упомянут в заявке [URL="http://virusinfo.info/showthread.php?t=193814"]193814[/URL], некоторые симптомы схожи с заявкой [URL="http://virusinfo.info/showthread.php?t=191285"]191285[/URL] (ошибка "[COLOR=#333333]неполадка помешала windows проверить лицензию компьютера. Код ошибки 0x8007002" при входе, загружается только в безопасном режиме)[/COLOR]
оставил файл "КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt"
[SPOILER=КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt]ВСЕ ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ
ДЛЯ ИХ РАСШИФРОВКИ
ПРОЧТИТЕ ИНСТРУКЦИЮ
ПО ССЫЛКЕ: [URL]https://goo.gl/kvLpNW[/URL]
[/SPOILER]
windows 2003 rus 32бит

образец зашифрованного файла
[URL]https://yadi.sk/d/7iS98u5EmMVLz[/URL]

"Kaspersky Virus Removal Tool" нашел в темпах файл, который определил как
Trojan-Ransom.Win32.Xorist.ln
Файл: C:\Documents and Settings\els\Local Settings\Temp\5\67Sc8cwi9p440ox.exe
Троянская программа
MD5: 62CA13C6026BB7D50A31EBB6745334AB
SHA256: 73813F0C2C34B55671FEFB808CB761C0595873C22D990D7E255224FBD53127A4

сейчас разберусь как пополнить счет на paypal, оплачу платную услугу.

Уважаемый(ая) [B]osterik[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

отчеты Farbar Recovery Scan Tool

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[]
предположительно шифровальщик

[quote="osterik;1343762"]C:\Documents and Settings\els\Local Settings\Temp\5\67Sc8cwi9p440ox.exe[/quote]Обождите с оплатой. Этот файл нужен. Возможно, он есть в карантине в папке С:\KVRT

вот он: [удалено]

Trojan-Ransom.Win32.Xorist.ln
Файл: C:\Documents and Settings\els\Local Settings\Temp\5\67Sc8cwi9p440ox.exe
Троянская программа
MD5: 62CA13C6026BB7D50A31EBB6745334AB
SHA256: 73813F0C2C34B55671FEFB808CB761C0595873C22D990D7E255224FBD53127A4

Ужас, это тройной Xorist. Нужна еще тушка средней части

а можете подсказать - что где как искать?
есть бэкап всего сервера, могу поднять в виртуалке

По логам сервера посмотреть можно, что запускалось?

Первым появился j88h5vPXXYSfIK7.exe в 22.35 4 декабря
Последним - 67Sc8cwi9p440ox.exe в 22.38 4 декабря

Серединку бы найти или тот файл, из которого выплыла вся эта троица

ок, понял, сейчас ручками посмотрю, что подозрительного еще есть

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url]https://yadi.sk/d/QWiZeiS2mMqGV[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

там было два файла с одинаковым размером, я ошибочно решил что это одинаковые файлы. сейчас проверил - файлы разные
закинул все три

Проверяйте ЛС

Еще раз прошу: выполняйте инструкцию в точности, как написано

спасибо большое, всё получилось!