BAT/Filecoder.B троянская программа/шифровальщик

Здравствуйте.
Кто-то из менеджеров словил BAT/Filecoder.B трояна. Зараза просочилась на файлообмен и зашифровала файлы. Возможно ли что-то с этим сделать?
Пример зашифрованного файла: [URL]https://www.dropbox.com/s/830ho928cmwyonj/%D0%91%D1%80%D0%B5%D0%BD%D0%B4%D0%B1%D1%83%D0%BA%20desiderio_identityguideline_final2015.pdf%21_______GLOK9200%40GMAIL.COM_____.tar?dl=0[/URL]

Этот же файл но до вируса: [URL]https://www.dropbox.com/s/h0coelthj5dfucp/%D0%91%D1%80%D0%B5%D0%BD%D0%B4%D0%B1%D1%83%D0%BA%20desiderio_identityguideline_final2015.pdf?dl=0[/URL]

Вот что выдал антивирус после сканирования: [ATTACH=CONFIG]641994[/ATTACH] ([URL="http://puu.sh/rgpwC/9e5145f54b.png"]ссылка на картинку[/URL])

Файл Hijackit и virusinfo_syscheck во вложении.
Заранее спасибо.

Уважаемый(ая) [B]AngryBB[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Несколько зашифрованных docx файлов пришлите в архиве.

Сам шифровальщик восстановите из карантина, упакуйте в zip архив с паролем [B]virus[/B] и пришлите по красной ссылке вверху темы.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"][B]Farbar Recovery Scan Tool[/B][/URL] [IMG]http://i.imgur.com/NAAC5Ba.png[/IMG] и сохраните на Рабочем столе.

[B]Примечание[/B]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[LIST=1][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [B]Yes[/B] для соглашения с предупреждением.[*]Убедитесь, что под окном [B]Optional Scan[/B] отмечены [I]"List BCD"[/I], [I]"Driver MD5"[/I] и [I]"90 Days Files"[/I].[*]Нажмите кнопку [B]Scan[/B].[*]После окончания сканирования будет создан отчет ([B]FRST.txt[/B]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([B]Addition.txt[/B]). Пожалуйста, прикрепите его в следующем сообщении.[/LIST]
[IMG]http://i.imgur.com/3munStB.png[/IMG]

Отправил файлы из карантина найденные антивирусом.

Во вложении архив с шифроваными docx и логи от Farbar Recovery Scan Tool.

Шансы на восстановление есть или совсем безнадежно?

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list=1][*][URL="https://clck.ru/9knjD"][B]Временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TsVSPYNa.lnk [2016-09-18]
ShortcutTarget: TsVSPYNa.lnk -> (No File)
2016-09-18 12:01 - 2016-09-18 12:47 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwp
2016-09-18 12:00 - 2016-09-19 11:37 - 00000000 ____D C:\{674D2309-309E-09EF-D230-AB81674D2309}
2016-09-18 12:00 - 2016-09-19 11:20 - 00000000 ____D C:\{D2309EFC-AB81-74D2-4D23-1674D2309EFC}
2016-09-18 12:00 - 2016-09-19 08:03 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfw
2016-09-18 12:00 - 2016-09-19 05:17 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpcfk
2016-09-18 12:00 - 2016-09-18 20:35 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpcfkf
2016-09-18 12:00 - 2016-09-18 20:35 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpcf
2016-09-18 12:00 - 2016-09-18 12:53 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpcfkfgn
2016-09-18 12:00 - 2016-09-18 12:47 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpc
2016-09-18 12:00 - 2016-09-18 12:33 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpcfkfgne
2016-09-18 12:00 - 2016-09-18 12:33 - 00000000 ____D C:\Users\office\AppData\Local\roxqnkfwpcfkfg
C:\Users\office\AppData\Local\Temp\GbMxybQN.exe
folder: C:\Users\office\AppData\Local\Temp
StartBatch:
@echo off
set a7z=%ProgramFiles%\7-Zip\7z.exe
set otkuda=%systemdrive%\frst\Quarantine
set kuda=%USERPROFILE%\Desktop
"%a7z%" a "%kuda%\quarantine.7z" -pvirus -mhe "%otkuda%\*"
Etc.
EndBatch:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[*]После окончания работы FRST будет создан архив [b]quarantine.7z[/b] на рабочем столе. [*]Полученный архив отправьте на этот почтовый ящик: [B][email protected][/B]. В заголовке письма напишите "[B]Карантин[/B]" и укажите ссылку на вашу тему.[/list]

Письмо с quarantine.7z отправлено
fixlog.txt в приложении к этому сообщению.

[QUOTE]Шансы на восстановление есть или совсем безнадежно?[/QUOTE]
Думаю что не безнадежно, но нужен сам шифровальщик.

А где и как его можно найти?

Опрашивайте своих менеджеров кто что запускал.

Сомневаюсь что сознаются кто что запускал. Сейчас запущу сканы на всех компах попробую найти.

[QUOTE=AngryBB;1404505]Сомневаюсь что сознаются кто что запускал. Сейчас запущу сканы на всех компах попробую найти.[/QUOTE]
Локер нашелся в карантине.

Да. Там было 2 .tmp файла со зловредом которые я отправил.

[QUOTE=AngryBB;1404534]Да. Там было 2 .tmp файла со зловредом которые я отправил.[/QUOTE]
Не. Это мусор можно сказать. К этому шифровальщику эти файлы не имеют никакого отношения. Эти файлы скорее всего остались после первого заражения шифровальщиком.

Ясно. Вам еще какие-нибудь данные нужны?

Пока нет, ждите

Пока нет информации, но про вас я помню.

Спасибо. Если что понадобится пишите.

Здравствуйте.
Есть какой-нибудь прогресс?

Сказали, что не получится расшифровать такие файлы, увы.

[QUOTE][COLOR=#000000][FONT=Arial]Файлы зашифрованы Trojan-Ransom.Win32.Rotor.[/FONT][/COLOR]
[COLOR=#000000][FONT=Arial]К сожалению, мы не можем расшифровать файлы, зашифрованные данной модификацией трояна.[/FONT][/COLOR][/QUOTE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]