Trojan шифровальщик, зашифровавший файлы с расширением Blacksnow

Уважаемое сообщество, прошу помощи в расшифровке файлов.
Все файлы получили расширение .blacksnow
Запускал лечащую утилиту от drweb cureit - вычистила 3 угрозы.
Ваш сайт нашел уже после лечения cureit'ом. Знал бы, не стал сразу лечить им и сделал ьы сразу все по инструкции.
Лог доктор веба и карантин прилагаю. Также прилагаю зашифрованные файл и их незашифрованные аналоги.Компьютер после заражения не перезагружал. MalwareBytes не дает сохранить отчёт (как это было написано в теме по аналогичному заражению [url]https://virusinfo.info/showthread.php?t=212139[/url]) - система виснет при попытке диалога "сохранить как" в любой программе, в том числе и в MB (прикрепил скриншот).
Прошу помощи, так как файлы на сервере очень важные. [B]Заранее очень благодарен![/B]

Файлы доктор веба cureit [url]https://yadi.sk/d/-kf7-AtQ3Jkn8V[/url]
Шифрованный и нешифрованные версии файлов, которые удалось отыскать [url]https://yadi.sk/d/NZ1Qvfjj3JknAj[/url]

p.s.: приложил еще текстовой файл (лежит в каждой папке) с текстом вымогательства
[url]https://yadi.sk/i/luC0hoVH3Jkobb[/url]

Уважаемый(ая) [B]Zeland[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\Fonts\libcurl.dll','');
QuarantineFile('C:\Windows\Fonts\libwinpthread-1.dll','');
QuarantineFile('C:\Users\ADMINI~1\AppData\Local\Temp\2\49483MeCJtHRRvj.exe','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
DeleteFile('C:\Users\ADMINI~1\AppData\Local\Temp\2\49483MeCJtHRRvj.exe','32');
DeleteFile('C:\Windows\Fonts\libwinpthread-1.dll','32');
DeleteFile('C:\Windows\Fonts\libcurl.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]

Спасибо за отклик на мою тему.
Выполню, к сожалению, только после выходных, уехал до понедельника.
Новые логи AutoLogger сделать после перезагрузки компьютера ?

Да, после выполнения обоих скриптов и отсылки карантина

Прошу прощения за долгое отсутствие, обстоятельства. Проблема еще актуальна. Выполнил скрипт, который Вы просили.
Карантин не загружается через форму, пишет, что файл уже был загружен.
Вложил файлы

Логи прикрепляют к сообщению на форуме, а не выкладывают на обменник

Поправил. Вложил.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

Готово

Странно, что Вы зашифрованных файлов с расширением [email protected] не увидели.

Прикрепите в архиве к следующему сообщению образцы файлов зашифрованных каждым шифратором.

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
S2 MpsSsvcc; C:\Windows\debug\winl0gon.exe [X]
S3 MSSQLFDLauncher; "C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\Binn\fdlauncher.exe" -s MSSQL10_50.MSSQLSERVER [X]
S2 SpyHunter 4 Service; C:\Program Files (x86)\SpyHunter\SH4Service.exe [X]
S3 EsgScanner; system32\DRIVERS\EsgScanner.sys [X]
2014-01-15 08:53 - 2011-02-25 09:19 - 0000673 _____ () C:\Program Files\HOW TO DECRYPT FILES.txt
2014-01-15 08:53 - 2011-02-25 09:19 - 0000673 _____ () C:\Program Files (x86)\HOW TO DECRYPT FILES.txt
2014-01-15 08:53 - 2011-02-25 09:19 - 0000673 _____ () C:\Users\Administrator\AppData\Roaming\HOW TO DECRYPT FILES.txt
2014-01-15 08:53 - 2011-02-25 09:19 - 0000673 _____ () C:\Users\Administrator\AppData\Local\HOW TO DECRYPT FILES.txt
2014-01-15 08:53 - 2011-02-25 09:19 - 0000673 _____ () C:\ProgramData\HOW TO DECRYPT FILES.txt
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]

Доброе утро!
Закрыта незавершенная тема [url]https://virusinfo.info/showthread.php?t=212668&p=1453481#post1453481[/url]
До конца не разобрались. Продолжу тут. Просьба модераторов, открыть вышеуказанную тему и объединить её с этой. Заранее большое спасибо.
[FONT=Arial][B][URL="https://virusinfo.info/member.php?u=52290"]thyrex[/URL][COLOR=#555555], [/COLOR][/B][/FONT]в продолжение диалога, [COLOR=#333333] файлы с расширением [email protected] увидел, но они появились позже (зашифровал незначительное количество оставшихся в системе файлов) файлов, зашифрованных с расширением .[/COLOR]Blacksnow . По сути важны только файлы, зашифрованные Blacksnow, а файлы, зашифрованные позже [COLOR=#333333][email protected] не представляют уже ценности.

Следующие шаги, указанные в предыдущей теме, выполняю, по выполнении отпишусь сюда.[/COLOR]

Добавил запрошенный fixlog и выложил архив с парой зашифрованных файлов шифровальщиком blacksnow

Т.е. с файлами после другого шифратора собираетесь продолжать жить?

Уже смирился с потерей системы и установил заново систему на новую виртуалку, все настроил, залил послежние апдейты, поотключал smb и другие ненужные службы, ограничил доступ к рдп и т.д..
А со старой виртуалкой и файлами, зашифрованными blacksnow, продолжаю разбираться здесь вместе с Вами.
По сути нужно вытащить только файлы, которые зашифрованы blacksnow (их второй шифровальщик поверх не тронул, да и отдельно я их все сохранил заранее в надежде на то, что удастся их расшифровать).
Оставшиеся файлы (а точнее типы файлов), которые позже зашифровал другой троян, как я уже писал, не представляют ценности.

Проверьте ЛС

Огромное спасибо за помощь. Вы мне очень помогли.