Помогите. Офисные файлы - *.doc *.docx *.xls и другие стали - приложением ENIGMA

Стоял антивирус Касперского, кончилась лицензия. Спустя какое-то время решил поставить бесплатный годовой Касперский. В момент его установки - установка застопорилась. Ушел на обед. После обеда на рабочем столе обнаружились файлы Enigma и allfilefinds.dat (высылаю вам), а также исполняемый файл в загрузках, и установленный плагин от Yandex. Плагин, Enigma и из Загрузок файлы я удалил. Заметил, что не открываются офисные файлы, подумал, что слетели ассоциации, скачал реестровый файлик возврата ассоциаций, он не помог. И потом только заметил - что офисные файлы стали типом ENIGMA. Все офисные файлы к своим расширениям прибавили *.enigma - удаление этого расширения к возврату своих свойств файла не приводит. Можно ли что-нибудь сделать? Высылаю вам несколько примеров файлов с добавочным расширением *.Enigma - и allfilefinds.dat, а также скриншоты. Все файлы поменяли расширение в минуту скачивания файла из Загрузки (который я удалил). Хотел запостить это в Помогите + - но я не нашел где там карточкой платить, PayPal у меня нет. Если получится расшифровать этот Enigma, подписку на Помогите+ в 499 рублей гарантирую, при более понятной ссылке на оплату карточкой, или любым другим способом.

[url]https://cloud.mail.ru/public/K5LK/a7bjWp7ko[/url]

Уважаемый(ая) [B]Олег Гриценко[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

[quote="Олег Гриценко;1379179"]также исполняемый файл в загрузках[/quote]восстанавливайте, если бездумно удалили.

[url]https://cloud.mail.ru/public/Hw8b/CuDDUZrDS[/url] - лог AVZ

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url]https://cloud.mail.ru/public/56mp/3TGnFofUK[/url] - Лог HiJackThis

Логи прикрепляют к сообщению, а не выкладывают на обменник

[QUOTE=thyrex;1379182][URL]http://virusinfo.info/pravila.html[/URL]

восстанавливайте, если бездумно удалили.[/QUOTE]



То есть, если ENIGMA не восстановить - файлы не отремонтировать?

Если не восстановить, то нереально вообще узнать, что за алгоритм шифрования

[QUOTE=thyrex;1379189]Логи прикрепляют к сообщению, а не выкладывают на обменник[/QUOTE]

Высылаю логи, попробую восстановить Enigma с рабочего стола. А исполняемый файл из Загрузок тоже восстановить?

Конечно, восстанавливать.

Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','lymfwiwfyhwdgj');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyProgram');
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]

[QUOTE=thyrex;1379269]Конечно, восстанавливать.

Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','lymfwiwfyhwdgj');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyProgram');
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

[B][COLOR=Red]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B][/QUOTE]

Восстановление на рабочем столе и в загрузках файлов не нашло (((
Вот эти две указанные вами строчки я (до прочтения вашего ответа) сейчас только увидел в автозагрузке и удалил их в реестре вручную. Сейчас не имею возможности пока новые логи выложить. Но я запустил еще проверку AVPTools - и он нашел мне в Загрузках
два трояна под сценарием JS - с тем же временем - когда все файлы поменяли расширение (и с именем документа главное, "Свидетельство о регистрации частного предприятия". Я его заархивировал и высылаю Вам. Это не он, зараза, всё мне сделал?

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Поищите файл ENIGMA_ID.RSA (должен быть на Рабочем столе) и пришлите

[QUOTE=thyrex;1379277]Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]

[COLOR=silver]- - - - -Добавлено - - - - -[/COLOR]

Поищите файл ENIGMA_ID.RSA (должен быть на Рабочем столе) и пришлите[/QUOTE]

MBAM я посканировал, а ENIGMA_ID.RSA с рабочего стола тремя утилитами не нашел...

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

[QUOTE=thyrex;1379354]Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"][B]Farbar Recovery Scan Tool[/B][/URL] [IMG]http://i.imgur.com/NAAC5Ba.png[/IMG] и сохраните на Рабочем столе.
[LIST][*][B]Примечание[/B]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе. [/LIST]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [B]Yes[/B] для соглашения с предупреждением.
2. Убедитесь, что в окне [B]Optional Scan[/B] отмечены [I]List BCD[/I], [I]Driver MD5[/I] и [I]90 Days Files[/I].
[IMG]http://i.imgur.com/3munStB.png[/IMG]
3. Нажмите кнопку [B]Scan[/B].
4. После окончания сканирования будет создан отчет ([B]FRST.txt[/B]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([B]Addition.txt[/B]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [B]один архив[/B]) и прикрепите к сообщению.[/QUOTE]

Сделал

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/pdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

[QUOTE=thyrex;1379361]1. Откройте [B]Блокнот[/B] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/pdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
Reboot:
[/code]
2. Нажмите [B]Файл[/B] – [B]Сохранить как[/B]
3. Выберите папку, откуда была запущена утилита [B]Farbar Recovery Scan Tool[/B]
4. Укажите [B]Тип файла[/B] – [B]Все файлы (*.*)[/B]
5. Введите имя файла [B]fixlist.txt[/B] и нажмите кнопку [B]Сохранить[/B]
6. Запустите FRST, нажмите один раз на кнопку [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Пожалуйста, прикрепите его в следующем сообщении!
[LIST][*]Обратите внимание, что компьютер будет [B]перезагружен[/B]. [/LIST]
[/QUOTE]


Сделал

На данный момент больше помочь нечем (а возможно и никогда не получится)

[QUOTE=thyrex;1379461]На данный момент больше помочь нечем (а возможно и никогда не получится)[/QUOTE]

Спасибо большое за уделенное внимание. А скажите - если-бы Enigma с рабочего стола была - можно было-бы восстановить? И откуда эта зараза попала на компьютер? Это был этот ява сценарий из загрузок?

[quote="Олег Гриценко;1379582"]А скажите - если-бы Enigma с рабочего стола была - можно было-бы восстановить?[/quote]Скорее нет, чем да.

[quote="Олег Гриценко;1379582"]Это был этот ява сценарий из загрузок?[/quote]Да, exe-файл извлекался из самого скрипта

А скажите, этот файл появился в загрузках в 13:07 и имел имя документа типа "Свидетельство о регистрации предприятия" - но пользователь говорит что ничего не качал вообще, как этот файл мог оказаться в Загрузках? (браузер Мозилла?) - он мог сам закачаться?