Файлы зашифрованы с помощью AES256. Помогите

Практически все файлы на обоих дисках зашифровались, и к расширению добавилось [B].f986ebf3[/B]

В каждой папке при этом создался файл [B]ВНИМАНИЕ_ОТКРОЙТЕ-МЕНЯ.txt[/B] с таким содержимым:

[QUOTE]Здравствуйте, все ваши файлы зашифрованы, свяжитесь с нами для их восстановления.


Для этого выполните следующие действия:
1) Загрузите 'Tor Browser for Windows', скачать можно тут [url]https://www.torproject.org/download/download-easy.html.en[/url]
2) Установите и запустите 'Tor Browser'
3) Перейдите по ссылке 'http://3qo5aqjlesrudfm3.onion/?id=f986ebf3&HashID=0fb1e0e349dba6c052fefe7a376a9769' в 'Tor Browser' - (ВНИМАНИЕ, САЙТ ДОСТУПЕН ТОЛЬКО ЧЕРЕЗ 'Tor Browser')
4) Следуйте инструкциям на сайте
[/QUOTE]

Помогите, пожалуйста, с поиском дешифратора. Пробовал все версии дешифраторов от Касперского - ничего не помогло :(

[url]http://rghost.ru/8vSQBw9qF[/url] - ссылка на несколько зашифрованных файлов (в том числе один оригинал файла для примера, если понадобится).

Заранее спасибо

Уважаемый(ая) [B]romandragan[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

AVZ [URL="http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804"]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelBHO('{D5FEC983-01DB-414a-9456-AF95AC9ED7B5}');
QuarantineFile('C:\Users\Лерона\appdata\roaming\flash\cgminer-nogpu.exe','');
QuarantineFileF('C:\Users\Лерона\appdata\roaming\flash', '*.exe,*.dll,*.sys', false,'', 0, 0);
QuarantineFile('C:\ProgramData\Win Viewer\rjrwzmzis.exe','');
QuarantineFileF('C:\ProgramData\Win Viewer', '*.exe,*.dll,*.sys', false,'', 0, 0);
QuarantineFile('C:\Users\9A17~1\AppData\Local\Temp\223307459aq','');
QuarantineFile('C:\Users\9A17~1\AppData\Local\Temp\49949148aq','');
DeleteFile('C:\Windows\Tasks\At1.job','32');
DeleteFile('C:\Users\9A17~1\AppData\Local\Temp\49949148aq','32');
DeleteFile('C:\Windows\Tasks\At2.job','32');
DeleteFile('C:\Users\9A17~1\AppData\Local\Temp\223307459aq','32');
DeleteFile('C:\Windows\system32\Tasks\At1','32');
DeleteFile('C:\Windows\system32\Tasks\At2','32');
DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x1045031E','32');
DeleteFile('C:\ProgramData\Win Viewer\rjrwzmzis.exe','32');
DeleteFile('C:\Users\Лерона\appdata\roaming\flash\cgminer-nogpu.exe','32');
DeleteFileMask('C:\Users\Лерона\appdata\roaming\flash', '*', true);
DeleteDirectory('C:\Users\Лерона\appdata\roaming\flash');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\TorProject','command');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR=#FF0000]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Приложите новый лог AVZ.

Карантин отослал, приняли? Новый лог прикладываю

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('C:\Users\Лерона\appdata\roaming\flash\cgminer-nogpu.exe');
QuarantineFileF('C:\Users\Лерона\appdata\roaming\flash', '*', true, '', 0 ,0);
QuarantineFile('C:\Windows\TEMP\29D81C4FF.sys', '');
QuarantineFile('C:\Users\Лерона\appdata\roaming\flash\cgminer-nogpu.exe', '');
DeleteFile('C:\Users\Лерона\appdata\roaming\flash\cgminer-nogpu.exe', '32');
DeleteFileMask('C:\Users\Лерона\appdata\roaming\flash', '*', true);
DeleteDirectory('C:\Users\Лерона\appdata\roaming\flash');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Карантин отослал. Логи прикладываю.

Вам знакома?
[CODE]
FirewallRules: [{4FBAB34E-E6BE-4A17-9CF6-84FC5773E069}] => (Allow) D:\Новая папка\Zona.exe
FirewallRules: [{F3834DEC-B025-441D-AEA8-C2F86D800540}] => (Allow) D:\Новая папка\Zona.exe
FirewallRules: [TCP Query User{2A4BDB3B-0E07-44CB-8614-D6DABF52258E}D:\новая папка\zona.exe] => (Block) D:\новая папка\zona.exe
FirewallRules: [UDP Query User{B776D3CF-7DE4-4F79-B8BF-CC745C83F7AD}D:\новая папка\zona.exe] => (Block) D:\новая папка\zona.exe
[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3406693169-648158187-2936326871-1000\...\MountPoints2: E - E:\AutoRun.exe
HKU\S-1-5-21-3406693169-648158187-2936326871-1000\...\MountPoints2: {1f9e678d-fae4-11e4-a458-6cfdb90215ce} - E:\LG_PC_Programs.exe
HKU\S-1-5-21-3406693169-648158187-2936326871-1000\...\MountPoints2: {f7deaed6-6c36-11e2-924c-6cfdb90215ce} - E:\AutoRun.exe
HKU\S-1-5-21-3406693169-648158187-2936326871-1000\...\MountPoints2: {f7deaee5-6c36-11e2-924c-6cfdb90215ce} - E:\AutoRun.exe
SearchScopes: HKLM -> DefaultScope value is missing
Folder: C:\Users\Лерона\appdata\roaming\flash
Folder: C:\ProgramData\Win Viewer
Folder: C:\Users\Лерона\AppData\Roaming\gnupg
Folder: C:\Users\Public\DRM
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin: @nvidia.com/3DVision -> C:\Program Files\NVIDIA Corporation\3D Vision\npnv3dv.dll [No File]
FF Plugin: @nvidia.com/3DVisionStreaming -> C:\Program Files\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll [No File]
FF Plugin: @tools.google.com/Google Update;version=3 -> C:\Program Files\Google\Update\1.3.22.3\npGoogleUpdate3.dll [No File]
FF Plugin: @tools.google.com/Google Update;version=9 -> C:\Program Files\Google\Update\1.3.22.3\npGoogleUpdate3.dll [No File]
Task: {2F67D705-0AC9-4AC1-9A70-DA17D0FD763E} - \Windows Update Check - 0x1045031E -> No File <==== ATTENTION
AlternateDataStreams: C:\Users\Public\DRM:احتضان
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\TorProject]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

[QUOTE=SQ;1361777]Вам знакома?
[CODE]
FirewallRules: [{4FBAB34E-E6BE-4A17-9CF6-84FC5773E069}] => (Allow) D:\Новая папка\Zona.exe
FirewallRules: [{F3834DEC-B025-441D-AEA8-C2F86D800540}] => (Allow) D:\Новая папка\Zona.exe
FirewallRules: [TCP Query User{2A4BDB3B-0E07-44CB-8614-D6DABF52258E}D:\новая папка\zona.exe] => (Block) D:\новая папка\zona.exe
FirewallRules: [UDP Query User{B776D3CF-7DE4-4F79-B8BF-CC745C83F7AD}D:\новая папка\zona.exe] => (Block) D:\новая папка\zona.exe
[/CODE]
[/QUOTE]

Не знаю даже :) Может кто-то другой, а не я запускал эту штуку.

Лог прикладываю.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [B]fixlist.txt[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
C:\Users\Лерона\appdata\roaming\flash
Folder: C:\Users\Лерона\appdata\roaming\flash
Reboot:
[/CODE] [*] Запустите FRST и нажмите один раз на кнопку [B]Fix[/B] и подождите. [*] Программа создаст лог-файл [B](Fixlog.txt)[/B]. Пожалуйста, прикрепите его в следующем сообщении! [*]Обратите внимание, что компьютер будет [B]перезагружен[/B]. [/LIST]

[QUOTE=romandragan;1361941]Не знаю даже :) Может кто-то другой, а не я запускал эту штуку.[/QUOTE]

Планируйте в дальнейшем использовать?

[QUOTE=SQ;1361997]Планируйте в дальнейшем использовать?[/QUOTE]
Та нет, это вряд ли что-то полезное.

Лог прикладываю.

приложите 2-3 зашифрованных файла.

[url]http://rghost.ru/8vSQBw9qF[/url] - ссылка на несколько зашифрованных файлов (в том числе один оригинал файла для примера, если понадобится).

по каким-то причинам не удается скачать - "File is unavailable"

[QUOTE=SQ;1362611]по каким-то причинам не удается скачать - "File is unavailable"[/QUOTE]

А так? [url]http://ifolder.su/44799558[/url]

какие-то проблемы с сайтом ifolder.ru каждые 30 сек - 502 ошибка

[QUOTE=SQ;1362652]какие-то проблемы с сайтом ifolder.ru каждые 30 сек - 502 ошибка[/QUOTE]

А так? [url]https://yadi.sk/d/s_wTXbjipnoS9[/url]

С расшифровкой не поможем.

P.S. Если у Вас есть лицензия на продукты Лаборатории Касперского, то можете попробовать создать запрос на помощь по расшифровки данных.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]