Помогите с расшифровкой файлов. [HEUR:Trojan.MSIL.Agent.gen ]

Вложений: 1

Добрый день.
Вирус попал в комп в почтовом сообщении в архиве, из которого пользователь запустил исполняемый exe-шник.
Файлы зашифровались с именем: [email][email protected][/email]-CL 1.5.1.0.id-3096012216-9245038618643685002362.fname-юбиляры 2017 год.docx.doubleoffset
Логи анализа AVZ прикрепляю, Вирус в архиве отправлен по инструкции.
В папках с зашифрованными файлами был Reedme c текстом:
Your files was encrypted! Write us:
[email][email protected][/email]

Уважаемый(ая) [B]lavcraft[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Вложений: 2

Файлы утилитой FRST

С расшифровкой помочь не сможем. Будет только чистка мусора.

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\...\Run: [] => [X]
HKLM\...\Run: [Timestasks] => C:\ProgramData\TimeTasks\timetasks.exe"
HKLM\...\Run: [ZaxarGameBrowser] => "C:\Program Files\Zaxar\ZaxarGameBrowser.exe" -s
HKLM\...\Run: [ZaxarLoader] => "C:\Program Files\Zaxar\ZaxarLoader.exe" /verysilent
CHR HKLM\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
2018-07-13 15:06 - 2018-07-13 15:06 - 000000127 _____ C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\Roaming\README.txt
2018-07-13 15:06 - 2018-07-13 15:06 - 000000127 _____ C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\README.txt
2018-07-13 15:05 - 2018-07-13 15:05 - 000000127 _____ C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\LocalLow\README.txt
2018-07-13 14:41 - 2018-07-13 14:41 - 000000127 _____ C:\Users\ZimirevaEU\README.txt
2018-07-13 14:41 - 2018-07-13 14:41 - 000000127 _____ C:\Users\ZimirevaEU\Downloads\README.txt
2018-07-13 14:41 - 2018-07-13 14:41 - 000000127 _____ C:\Users\ZimirevaEU\Documents\README.txt
2018-07-13 14:41 - 2018-07-13 14:41 - 000000127 _____ C:\Users\ZimirevaEU\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-13 14:41 - 2018-07-13 14:41 - 000000127 _____ C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\Local\README.txt
2018-07-13 14:41 - 2018-07-13 14:41 - 000000127 _____ C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\Local\Apps\README.txt
2018-07-13 14:40 - 2018-07-13 14:40 - 000000127 _____ C:\Users\ZimirevaEU\Desktop\README.txt
2018-07-13 14:09 - 2018-07-13 14:09 - 000000127 _____ C:\Users\ZimirevaEU\AppData\Roaming\README.txt
2018-07-13 14:09 - 2018-07-13 14:09 - 000000127 _____ C:\Users\ZimirevaEU\AppData\README.txt
2018-07-13 14:08 - 2018-07-13 14:08 - 000000127 _____ C:\Users\ZimirevaEU\AppData\LocalLow\README.txt
2018-07-13 14:05 - 2018-07-13 14:05 - 000000127 _____ C:\Users\ZimirevaEU\AppData\Local\README.txt
2018-07-13 14:05 - 2018-07-13 14:05 - 000000127 _____ C:\Users\ZimirevaEU\AppData\Local\Apps\README.txt
2018-07-13 14:05 - 2018-07-13 14:05 - 000000127 _____ C:\Users\UpdatusUser\README.txt
2018-07-13 14:05 - 2018-07-13 14:05 - 000000127 _____ C:\Users\UpdatusUser\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\Downloads\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\Documents\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\Desktop\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\AppData\Roaming\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\AppData\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\AppData\LocalLow\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\UpdatusUser\AppData\Local\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\Downloads\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\Documents\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\Desktop\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\AppData\Roaming\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\AppData\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\TEMP\AppData\Local\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Public\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Public\Downloads\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\Downloads\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\Documents\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\Desktop\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\AppData\Roaming\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\AppData\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default\AppData\Local\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\Downloads\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\Documents\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\Desktop\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\AppData\Roaming\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\AppData\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Default User\AppData\Local\README.txt
2018-07-13 14:04 - 2018-07-13 14:04 - 000000127 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2018-07-13 14:01 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Public\Documents\README.txt
2018-07-13 14:01 - 2018-07-13 14:04 - 000000127 _____ C:\Users\Public\Desktop\README.txt
2018-07-13 14:01 - 2018-07-13 14:01 - 000000127 _____ C:\Users\Все пользователи\README.txt
2018-07-13 14:01 - 2018-07-13 14:01 - 000000127 _____ C:\ProgramData\README.txt
2016-03-21 11:50 - 2016-03-21 11:50 - 000125439 _____ () C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\Local\Temp\TimeTasksSetup.exe
2016-03-21 11:54 - 2016-03-21 11:54 - 000000000 _____ () C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\Local\Temp\zhXtZKsjdPtmBXitbdgO.dll
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Вложений: 1

готово

Больше помочь нечем. Перевод за расшифровку Вам вернут

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

C:\Users\ZimirevaEU.MSK-NOVGOROD\AppData\Local\Temp\SSTTVWWXXY.exe удалите вручную

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \новая папка\резюме волков генадий борисович.zip - [B]HEUR:Trojan.MSIL.Agent.gen[/B][/LIST][/LIST]