При включение компьютера обнаружили, что файлы различных форматов зашифрованы.
Все фалы переименованы в формат вида: [email][email protected]_graf1.ver[/email]-CL 1.0.0.0.u.id-***.cbf
На рабочем столе сменились "обои":
"Твои файлы зашифровали <...> вышлите зашифрованный файл на [EMAIL="[email protected]"][email protected][/EMAIL] <...>"
Выполнили лечение компьютера и сделали логи по вашим инструкциям.
Уважаемый(ая) [B]anisimowand[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list=1][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
Готово
[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
[list=1][*][URL="https://clck.ru/9knjD"][B]Временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CloseProcesses:
2016-03-28 08:12 - 2016-03-28 08:57 - 00000094 _____ C:\Program Files\RQNSVUBSLG.XWD
2016-03-28 08:12 - 2016-03-28 08:12 - 00000000 ____D C:\Program Files\OOO.SOFTTEXNOLOGII
Task: {263479B3-4B4E-4D03-AD02-C6C6980DF33B} - System32\Tasks\ReimageUpdater => C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe <==== ATTENTION
Task: {86F3BCA5-79C4-44A4-8A70-398BD977F24D} - System32\Tasks\Reimage Reminder => C:\Program Files\Reimage\Reimage Repair\ReimageReminder.exe <==== ATTENTION
zip:C:\FRST\Quarantine
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[*][B][COLOR="Blue"]Внимание![/COLOR][/B] Если на рабочем столе будет создан архив [b]upload.zip[/b], то загрузите этот архив через [url=http://virusinfo.info/upload_virus.php?tid=37678]данную форму[/url][/list]
Готово
Я карантин просил в теме выкладывать?
Результат загрузки
Файл сохранён как 160330_160406_Upload_56fbcec61faf8.zip
Размер файла 3601
MD5 aec00e9501db1fcd9c5327eb6da76528
Письмо через которое поймали шифровальщика сохранилось?
Бухгалтер говорит не открывала и не скачивала из почты ничего.
На почте не нашли подозрительных писем с вложениями. Не знаем откуда зараза.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Бухгалтер скачивала программу BiPrint 25.03.2016 и пробовала установить.
На другом компьютере при попытке загрузить эту программу антивирус (Microsoft Security Essentials) оповестил, что архив заражен вирусом.
Программу скачивали отсюда(якобы): [URL="http://biprint.ru/index.php?area=soft&parent=39"]ссылка[/URL]
[QUOTE]Бухгалтер говорит не открывала и не скачивала из почты ничего. [/QUOTE]
Я не верю этому бухгалтеру.
[QUOTE]На почте не нашли подозрительных писем с вложениями. Не знаем откуда зараза.[/QUOTE]
А я знаю откуда. Из почты. Письмо небось уже удалила со страху.
[QUOTE]На другом компьютере при попытке загрузить эту программу антивирус (Microsoft Security Essentials) оповестил, что архив заражен вирусом.[/QUOTE]
Нет там ничего интересного.
[url]https://www.virustotal.com/ru/file/e72d8f6017ddbe2781c674c5bfab3035b9203720240a6792ad5dac64b0df225d/analysis/1459351533/[/url]
[url]https://www.virustotal.com/ru/file/dc98f745b682a58e009615704a7a822692ffe6fd614a328f70830cfa82621681/analysis/1459351696/[/url]
[url]https://www.virustotal.com/ru/file/5c6e081dda443eaf1b673338f3dbc3bb69ac761d3e36eb12c23b5d21c0ac1ca5/analysis/1459351615/[/url]
Какие дальнейшие действия?
Поднимайте информацию из резервных копий. Если резервных копий нет, то можете из зарплаты вашего бухгалтера вычитать деньги на покупку дешифратора. Обычно после этого люди начинают включать голову.