Зашифровались все файлы после открытия письма.

Printable View

10.02.2016, 11:16
vitosoul

Вложений: 3

Зашифровались все файлы после открытия письма.

Добрый день. После открытия непонятного письма, пришедшего на почту, все файлы на компьютере зашифровались и появился файл Readme в котором говориться, что для расшифровки необходимо отправить запрос с кодом на почтовый адрес и т.д.
Ссылки на несколько зашифрованных файлов
1. [url]http://my-files.ru/p2my1w[/url]
2. [url]http://my-files.ru/7brw35[/url]
3. [url]http://my-files.ru/1xf7uh[/url]

Спасибо!
10.02.2016, 11:18
Info_bot

Уважаемый(ая) [B]vitosoul[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.02.2016, 02:45
SQ

Здравствуйте,

AVZ [URL="http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804"]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('C:\Users\Олег\AppData\Local\URmedia\81464EC0.exe');
QuarantineFile('C:\Users\Олег\AppData\Local\URmedia\81464EC0.exe','');
QuarantineFile('C:\Users\Олег\AppData\Local\URmedia\nsmmixqr.dll','');
QuarantineFileF('C:\Users\Олег\AppData\Local\URmedia', '*.exe,*.dll,*.sys', false,'', 0, 0);
DeleteFile('C:\Users\Олег\AppData\Local\URmedia\81464EC0.exe','32');
DeleteFile('C:\Users\Олег\AppData\Local\URmedia\nsmmixqr.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Unlmedia','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\URmedia','command');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR=#FF0000]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Приложите новый лог AVZ.
11.02.2016, 09:05
vitosoul

Вложений: 2

Добрый день. Благодарю. Сделал
11.02.2016, 12:14
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
11.02.2016, 13:06
vitosoul

Вложений: 2

Сделал
11.02.2016, 19:14
SQ

Вам знаком следующий файл:
[CODE]
2016-02-01 13:41 - 2016-02-01 13:41 - 00045056 _____ C:\Users\Олег\AppData\Roaming\cruor.dll
[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-21-2016483131-4029610520-1328105915-1001\...409d6c4515e9\InprocServer32: [Default-shell32] C:\Users\Олег\AppData\Local\URmedia\nsmmixqr.dll ATTENTION
CHR Plugin: (Native Client) - C:\Program Files\Google\Chrome\Application\48.0.2564.109\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Program Files\Google\Chrome\Application\48.0.2564.109\pdf.dll => No File
CHR Plugin: (McAfee SiteAdvisor) - C:\Users\Олег\AppData\Local\Google\Chrome\User Data\Default\Extensions\fheoggkfdfchfphceeifdbepaooicaho\3.31.137.7_0\McChPlg.dll => No File
CHR Plugin: (Google Update) - C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll => No File
CHR Plugin: (McAfee SecurityCenter) - c:\PROGRA~1\mcafee\msc\NPMCSN~1.DLL => No File
CHR Plugin: (Silverlight Plug-In) - c:\Program Files\Microsoft Silverlight\4.0.50401.0\npctrl.dll => No File
CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
2016-02-04 16:33 - 2016-02-05 14:51 - 00000000 ____D C:\Users\Олег\AppData\Local\URmedia
CustomCLSID: HKU\S-1-5-21-2016483131-4029610520-1328105915-1001_Classes\CLSID\{FBEB8A05-BEEE-4442-804E-409D6C4515E9}\InprocServer32 -> C:\Users\Олег\AppData\Local\URmedia\nsmmixqr.dll => No File
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Unlmedia]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\URmedia]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
11.02.2016, 21:01
vitosoul

Вложений: 1

Нет, этот файл не знаком.
Сделал
11.02.2016, 22:04
SQ

[QUOTE=vitosoul;1357733]Нет, этот файл не знаком.
Сделал[/QUOTE]
тогда можете выполнить следующий фикс:

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
2016-02-01 13:41 - 2016-02-01 13:41 - 00045056 _____ C:\Users\Олег\AppData\Roaming\cruor.dll
Folder: C:\Users\Олег\AppData\Roaming\ETHK-B5-V
Folder: C:\Users\Олег\AppData\Roaming\InfidelSchlemiel
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер возможно будет [b]перезагружен[/b].[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот эти каталоги знакомы :

[CODE]2016-02-02 13:04 - 2016-02-02 13:04 - 0051453 _____ () C:\Users\Олег\AppData\Roaming\ETHK-B5-V
2016-02-02 13:04 - 2016-02-02 13:04 - 0001524 _____ () C:\Users\Олег\AppData\Roaming\InfidelSchlemiel
[/CODE]
11.02.2016, 22:21
vitosoul

Вложений: 1

Нет, они тоже не знакомы
Сделал
12.02.2016, 00:02
SQ

[QUOTE=vitosoul;1357753]Нет, они тоже не знакомы
Сделал[/QUOTE]

тогда, получается их можно тоже фикснуть.
P.S. Ранее ошибся, согласно логу это какие-то файлы, а не каталоги.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
2016-02-02 13:04 - 2016-02-02 13:04 - 0051453 _____ () C:\Users\Олег\AppData\Roaming\ETHK-B5-V
2016-02-02 13:04 - 2016-02-02 13:04 - 0001524 _____ () C:\Users\Олег\AppData\Roaming\InfidelSchlemiel
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер возможно будет [b]перезагружен[/b].[/LIST]
12.02.2016, 07:00
vitosoul

Вложений: 1

Добрый день.
Сделал
12.02.2016, 17:04
SQ

С расшифровкой не поможем.
12.02.2016, 20:30
vitosoul

Понял. Огромное спасибо Вам за оказанную помощь. А вообще с этим можно что то сделать, или это безнадежный случай?
13.02.2016, 14:51
SQ

А вообще с этим можно что то сделать, или это безнадежный случай?

Для расшифровки нужен дешифратор(+ приватный ключ), а он есть только у злоумышлинников.
13.02.2016, 15:01
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]