помогите с расшифровкой файлов после вирусной атаке

[ATTACH]637036[/ATTACH][ATTACH]637037[/ATTACH]Текст сообщения HOW TO DECRYPT FILES.txt

***English***
Your UID wh5843945
All files encrypted with AES algorithm!
Send to email [email][email protected][/email] or [email][email protected][/email]
your UID and country of residence.
For free decrypt you can send a 2 small encrypted files.

***Spanish***
Su UID wh5843945
Todos los archivos cifrados con el algoritmo AES!
Enviar a [email][email protected][/email] correo electronico o [email][email protected][/email]
su UID y pais de residencia.
Para Descifrar libre puede enviar un 2 pequenos archivos cifrados.

***French***
Votre UID wh5843945
Tous les fichiers cryptes avec l'algorithme AES!
Envoyer a email [email][email protected][/email] ou [email][email protected][/email]
votre UID et pays de residence.
Pour decrypter libre, vous pouvez envoyer un 2 petits fichiers cryptes.

***Русский***
Ваш UID wh5843945
Все файлы зашифрованы AES алгоритмом!
Пришлите на емейл [email][email protected][/email] или [email][email protected][/email]
ваш UID и страну проживания.
Для бесплатной расшифровки вы можете прислать 2 маленьких зашифрованных файла.


оригинальный файл [url]https://drive.google.com/file/d/0B1jUVkWrjRbac3pqdWh5UGlhR1k/view?usp=sharing[/url]
зашифрованный файл [url]https://drive.google.com/file/d/0B1jUVkWrjRbaUm00WmMyNFU1Q2M/view?usp=sharing[/url]

Уважаемый(ая) [B]langeoigen[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Не подскажите как к сообщению прикрепить логи?

Кнопка Расширенный режим и значок скрепки

благодарю, но получил только два лог файла, которые и прикрепил

Не припомните, после каких действий получили шифрование?

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\system32\ShExplzh.dll','');
DeleteService('SpyHunter 4 Service');
TerminateProcessByName('c:\program files\reimage\reimage protector\reisystem.exe');
QuarantineFile('c:\program files\reimage\reimage protector\reisystem.exe','');
TerminateProcessByName('c:\program files\reimage\reimage protector\reiguard.exe');
QuarantineFile('c:\program files\reimage\reimage protector\reiguard.exe','');
DeleteFile('c:\program files\reimage\reimage protector\reiguard.exe','32');
DeleteFile('c:\program files\reimage\reimage protector\reisystem.exe','32');
DeleteFile('C:\Program Files\SpyHunter\SH4Service.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpyHunter Security Suite','command');
DeleteFile('C:\WINDOWS\system32\ShExplzh.dll','32');
DeleteFile('C:\WINDOWS\Tasks\Reimage Reminder.job','32');
DeleteFile('C:\WINDOWS\Tasks\ReimageUpdater.job','32');
DeleteFile('c:\documents and settings\eugenliza\local settings\temp\7DF4E8D0-B087A03C-9A6017CA-331FBC\52b4f2060.sys','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

Обновите базы AVZ

[B][COLOR="Red"]Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи[/COLOR][/B]

Был интересен старый архиватор одного российского разработчика из Питера - vuZip. На каком-то сайте скачал - это был RAR-архив, распаковал в нем был инсталлятор - setup.exe, я его и запустил.
Ни одна утилита дискриптер касперского не помогла, единственное что rectordecryptor.exe только имитирует процесс дешифровки - он возвращал файлам исходное расширение, но эти файлы повреждены.
Результатом деятельности трояна также стал голубой экран с полицейсим с предупреждением, после чистки компа голубой экран остался, а коп изчез.

Сайт не припомните? Скрипт из сообщения №7 выполнили?
Когда закончим чистку мусора, получите расшифровку

Скрипт выполнил, карантин загружаю, но так как я на краю цивилизации и пользуюсь модемным интернетом, это займет некоторое время - его вес 50метров.
Нет не помню - он невыразительный, не файлообменник. Но если нужно через историю браузера могу посмотреть.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

карантин загружен

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Подскажите насколько реально расшифровать файлы, потомучто в сети много информации о случаях невозможности этого

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

и на форуме есть похожее на мое обращение [url]http://virusinfo.info/showthread.php?t=201240[/url], пользователю помочь удалось?

[quote="langeoigen;1395543"]Но если нужно через историю браузера могу посмотреть.[/quote]сделайте это

[quote="langeoigen;1395543"]Подскажите насколько реально расшифровать файлы[/quote]
Я же написал
[quote="thyrex;1395540"]Когда закончим чистку мусора, получите расшифровку[/quote]Тем более в последнем сообщении темы, на которую Вы сослались, все написано предельно ясно.

Новые логи по правилам давно нужно было сделать и прикрепить

я заменил старые логи на новые в теме

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

прикрепить их в сообщении?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

могу выложить ссылку загрузки файла из истории браузера. я не знаю позволительно ли это здесь?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

или личным сообщением?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Но сайт недоступен уже, Мозилла и Гугл его блокирует

[quote="langeoigen;1395572"]могу выложить ссылку загрузки файла из истории браузера[/quote]В личные сообщения

На будущее: новые логи прикрепляют к очередному сообщению в теме, а не убивают первоначальные логи.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
6. Логи, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

Извините, не знал - подумал, что сделал что-то не так и Вы попросили сделать новые логи.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

ссылку на загрузку предположительного вредоноса указал в личном сообщении

RegHunter, SpyHunter удалите через Установку программ

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKLM\...\Chrome\Extension: [ccpokhmgacfkdaelielfljggjbbmmdpi] - hxxps://clients2.google.com/service/update2/crx
2016-07-31 12:01 - 2016-07-31 12:01 - 00000000 ____D C:\Program Files\Enigma Software Group
2016-07-31 12:01 - 2016-07-31 12:01 - 00000000 ____D C:\Documents and Settings\EUGENLIZA\Application Data\Enigma Software Group
2016-07-31 12:01 - 2016-07-31 12:01 - 00000000 ____D C:\Documents and Settings\All Users\Start Menu\Programs\SpyHunter4
C:\Documents and Settings\EUGENLIZA\Local Settings\Temp\EsgInstallerResumeAction_1f7c3496d57205882af57e4000770add.exe
C:\Documents and Settings\EUGENLIZA\Local Settings\Temp\ReimagePackage.exe
AlternateDataStreams: C:\WINDOWS:{4B9A1497-0817-47C4-9612-D6A1C53ACF57} [26]
AlternateDataStreams: C:\Documents and Settings\All Users\DRM:احتضان [48]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]

RegHunter удалитть стандартными средствами Виндоуз не удалось, удалил посредством стороннего деинсталлятора - Рево. Надеюсь ничего страшного. Лог файл прикрепил.

Проверьте ЛС

Благодарю все работает

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]46[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]