Зашифрованы файлы, расширение .breaking_bad; [email protected] [HEUR:Trojan.Win32.Generic, not-a-virus:Downloader.MSIL.Agent.aapt ]

Здравствуйте, получил письмо типа "Не оплачен счет за декабрь-КП22450", с прикрепленным файлом расширения .scr, по глупости открыл. Через некоторое время зашифровались файлы (excel, word, изображения). Изменилась заставка рабочего стола, а также появились 6 README файлов:

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
C9C57894095BAB621165|0
на электронный адрес [EMAIL="[email protected]"][email protected][/EMAIL] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
C9C57894095BAB621165|0
to e-mail address [EMAIL="[email protected]"][email protected][/EMAIL] .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

Прикрепляю логи, надеюсь на вашу помощь

Уважаемый(ая) [B]OverFlame[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\vitya\AppData\Roaming\Samsung\Java\jusched.exe','');
QuarantineFile('C:\Users\vitya\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Users\vitya\AppData\Local\Hostinstaller\773886992_installcube.exe','');
QuarantineFile('c:\task.vbs','');
QuarantineFile('C:\Users\vitya\AppData\Local\Temp\Updater.exe','');
QuarantineFile('C:\Users\vitya\AppData\Local\YVPack\cdfgispw.dll','');
QuarantineFile('C:\Users\vitya\AppData\Local\YVPack\A06FB73E.exe','');
DeleteFile('C:\Users\vitya\AppData\Local\YVPack\A06FB73E.exe','32');
DeleteFile('C:\Users\vitya\AppData\Local\YVPack\cdfgispw.dll','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Enttion');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','YVPack');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
DeleteFile('C:\windows\system32\Tasks\MS','64');
DeleteFile('C:\Users\vitya\AppData\Local\Temp\Updater.exe','32');
DeleteFile('C:\windows\system32\Tasks\runTask','64');
DeleteFile('C:\windows\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\windows\system32\Tasks\Soft installer','64');
DeleteFile('C:\windows\system32\Tasks\updateTask','64');
DeleteFile('c:\task.vbs','32');
DeleteFile('C:\Users\vitya\AppData\Local\Hostinstaller\773886992_installcube.exe','32');
DeleteFile('C:\Users\vitya\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
DeleteFile('C:\Users\vitya\AppData\Roaming\Samsung\Java\jusched.exe','32');
DeleteFile('C:\windows\system32\Tasks\Java Update Schedule','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]

Карантин отправил
Логи приложил

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

лог

Удалите в МВАМ все, [B]кроме[/B]
[CODE]RiskWare.IStealer, C:\ProgramData\KMSAutoS\bin\KMSSS.exe, , [158b9ea032674ceaaec42f1406fc5da3],
[/CODE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\vitya\appdata\local\hostinstaller\773886992_installcube.exe - [B]not-a-virus:Downloader.MSIL.Agent.aapt[/B] ( DrWEB: Program.Unwanted.1025 )[*] c:\users\vitya\appdata\local\yvpack\cdfgispw.dll - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.38296 )[/LIST][/LIST]