Printable View
Добрый день!
[COLOR=#333333]Нужна помощь в расшифровке файлов.[/COLOR]
[COLOR=#333333]На почту пришло письмо с вложением. Вложение было скачено, запущенно.[/COLOR]
[COLOR=#333333]После чего все файлы на компьютере зашифровались, и к ним прибавилось расширение [/COLOR].vault
Если необходимо, есть ключи данного вируса.
Спасибо!
Уважаемый(ая) [B]kooping[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\system32\ntkrnlpa.exe','');
QuarantineFile('C:\PROGRA~2\Mozilla\gldcral.exe','');
QuarantineFileF('C:\PROGRA~2\Mozilla', '*.exe,*.dll,*.sys', false,'', 0, 0);
DeleteFile('C:\Windows\system32\Tasks\qmmtaxj','32');
DeleteFile('C:\PROGRA~2\Mozilla\gldcral.exe','32');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте новый лог AVZ
[QUOTE=kooping;1366370]
Если необходимо, есть ключи данного вируса.
[/QUOTE]
О каких ключах идет речь?
Добрый день!
Выполнил данные требования, отправил файл quarantine.zip через карантин.
Подготовил новые логи AVZ
[QUOTE=SQ;1366668]О каких ключах идет речь?[/QUOTE]
Этот ключ, по словам злоумышленников, нужен для того, что бы они мне смогли расшифровать за n-ую суму денег.
Спасибо!
Сами прописывали?
[QUOTE]IE задан прокси-сервер Internet\ManualProxies = "0http://erinope.com/recfor/today2.ruy"[/QUOTE]
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ExecuteRepair(10);
RebootWindows(false);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Добрый день!
[QUOTE=SQ;1372262]Сами прописывали?
| IE задан прокси-сервер Internet\ManualProxies
[/QUOTE]
Не помню. Спасибо что заметили, удалил из прокси IE.
Выполнил сканирование через программу Farbar Recovery Scan Tool. Прикрепляю логи.
Спасибо!
Сами ставили?
[QUOTE]FF Extension: Desktopy - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\p1q6zy50.default\Extensions\{71238372-3743-33ab-8a9f-93722af74c97}.xpi [2014-12-03] [not signed][/QUOTE]
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
AutoConfigURL: [HKLM] => hxxp://erinope.com/recfor/today2.ruy
ManualProxies: 0hxxp://erinope.com/recfor/today2.ruy
Toolbar: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000 -> No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No File
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
CHR Plugin: (Native Client) - C:\Users\User\AppData\Local\Google\Chrome\Application\49.0.2623.110\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Users\User\AppData\Local\Google\Chrome\Application\49.0.2623.110\pdf.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Users\User\AppData\Local\Google\Chrome\Application\49.0.2623.110\gcswf32.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32.dll => No File
CHR Plugin: (Skype Toolbars) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\lifbcibllhkdhoafpjfnlhfpfgnpldfl\5.6.0.8442_0\npSkypeChromePlugin.dll => No File
CHR Plugin: (Silverlight Plug-In) - C:\Program Files\Microsoft Silverlight\4.0.60831.0\npctrl.dll => No File
CHR Plugin: (Google Update) - C:\Users\User\AppData\Local\Google\Update\1.3.21.111\npGoogleUpdate3.dll => No File
2016-03-14 09:39 - 2016-03-14 09:47 - 06758092 _____ C:\Users\User\AppData\Roaming\CONFIRMATION.KEY
2016-03-14 09:39 - 2016-03-14 09:39 - 00001623 _____ C:\Users\User\AppData\Roaming\VAULT.KEY
2016-03-14 09:39 - 2016-03-14 09:47 - 6758092 _____ () C:\Users\User\AppData\Roaming\CONFIRMATION.KEY
2016-03-14 09:39 - 2016-03-14 09:39 - 0001623 _____ () C:\Users\User\AppData\Roaming\VAULT.KEY
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{00BB2763-6A77-11D0-A535-00C04FD7D062}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{03C036F1-A186-11D0-824A-00AA005B4383}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{047DDC7E-F9C2-11DD-A093-79D855D89593}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{08244EE6-92F0-47F2-9FC9-929BAA2E7235}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{0AF10CEC-2ECD-4B92-9581-34F6AE0637F3}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{0AFACED1-E828-11D1-9187-B532F1E9575D}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{0E5AAE11-A475-4C5B-AB00-C66DE400274E}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{11DBB47C-A525-400B-9E80-A54615A090C0}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{1F486A52-3CB1-48FD-8F50-B8DC300D9F9D}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{23170F69-40C1-278A-1000-000100020000}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{32e34c63-2013-4ee9-b4fb-3bf4aa33aa25}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{35786D3C-B075-49B9-88DD-029876E11C01}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{61a955b5-06dc-4371-bae4-c228777d6d87}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{640167B4-59B0-47A6-B335-A6B3C0695AEA}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{76765B11-3F95-4AF2-AC9D-EA55D8994F1A}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{76D0CB12-7604-4048-B83C-1005C7DDC503}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{82C588E7-E54B-408C-9F8C-6AF9ADF6F1E9}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{9113A02D-00A3-46B9-BC5F-9C04DADDD5D7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{A4A1A128-768F-41E0-BF75-E4FDDD701CBA}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{AE054212-3535-4430-83ED-D501AA6680E6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{B155BDF8-02F0-451E-9A26-AE317CFD7779}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{b524799f-1122-4978-ad75-514c406b08b5}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{B8967F85-58AE-4F46-9FB2-5D7904798F4B}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{C90250F3-4D7D-4991-9B69-A5C5BC1C2AE6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{cfe33012-70f5-428e-bedc-b26bf237e21c}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{DFFACDC5-679F-4156-8947-C5C76BC0B67F}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{E88DCCE0-B7B3-11D1-A9F0-00AA0060FA31}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{EDB5F444-CB8D-445A-A523-EC5AB6EA33C7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{F02C1A0D-BE21-4350-88B0-7367FC96EF3C}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{F562A2C8-E850-4F05-8E7A-E7192E4E6C23}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{fb668c1b-efe4-457c-9923-e0144150e9e1}\InprocServer32 -> C:\Users\User\AppData\Local\Temp\v8_4384_87.tmp => No File
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{FE841493-835C-4FA3-B6CC-B4B2D4719848}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3233939577-1117756114-1159661431-1000_Classes\CLSID\{FFE2A43C-56B9-4BF5-9A79-CC6D4285608A}\InprocServer32 -> no filepath
Task: {EE45B2E0-13B9-4975-B4A5-FA03FB6255AC} - \qmmtaxj -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:A1364FD1 [130]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A1364FD1 [130]
HKU\S-1-5-21-3233939577-1117756114-1159661431-1000\Software\Classes\.exe: => <===== ATTENTION
HKU\S-1-5-21-3233939577-1117756114-1159661431-1000\Control Panel\Desktop\\Wallpaper -> C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Internet Explorer Wallpaper.bmp
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, сервер будет [b]перезагружен[/b].[/LIST]
Добрый день!
[QUOTE=SQ;1373572]Сами ставили?
FF Extension: Desktopy - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Prof iles\p1q6zy50.default\Extensions\{71238372-3743-33ab-8a9f-93722af74c97}.xpi [2014-12-03] [not signed]
[/QUOTE]
Нет. Избавился.
Выполнил инструкцию с утилитой Farbar Recovery Scan Tool. Лог прилагаю.
Спасибо!
К сожалению, с расшифровкой не поможем.
P.S. Важно: До тех пор пока не решите вопрос с расшифровкой [B]не удаляйте[/B] каталог [B]C:\FRST\Quarantine.[/B]
[QUOTE=SQ;1373642]К сожалению, с расшифровкой не поможем.[/QUOTE]
А если оформить подписку на раздел "Помощь в расшифровке файлов, пострадавших от шифровальщиков".
Там есть возможность что расшифруют файлы?
Спасибо!
К сожалению нет, в случае появления такой возможности Вам бы сообщили.
А есть такие умельцы, которые могут написать своими силами дешифратор?
Или может есть сервисы, которые могу взяться за расшифровку?
Любая информация будет полезна.
Большое спасибо за оказанную помощь!
[B]kooping[/B] без приватного ключа, который есть только у злоумышленников расшифровать невозможно.
P.S. Если у Вас есть лицензия на продукты Лаборатории Касперского, то можете попробовать создать запрос на помощь по расшифровки данных. Но опять же гарантий не каких нет.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]