Дропер шифровщик данных [Trojan-Ransom.Win32.Xorist.gf ]

Доброго всем дня! Помогите с расшифровкой данных от действий [B][COLOR=#333333][FONT=Lucida Grande CY]Trojan.Encoder.94
[/FONT][/COLOR][/B]Прислали по почте жена открыла и вот тебе на.
Есть как само тело так и файлы:
[B]Document77.lzh - [/B]был прикреплен к письму, в нем :
[U][B]Увeдoмление о взыскaние дoлга.exe[/B][/U] и [U][B]Порядок работы с просроченной задолженностью.doc
[/B][/U]При запуске exe-ка дропнулся файл [B]z.exe [/B](я так понимаю сам "гад")
В архиве приложил 2 doc шифровоных файла.
Пользовался утилитами от kaspersky не одна не помогла.
Pass на скачку [B]123 [/B]на архив[B] virus
[/B]Помогите пожалуйста кто в теме :>
Собственно вот

Уважаемый(ая) [B]zelibobo[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Если [url]http://support.kaspersky.ru/faq/?qid=208637174[/url] не помог, то и мы не в силах

To bad ? [I]Если Ваши файлы зашифрованы, выложите несколько таких файлов на файлообменник и укажите ссылку на них в своей теме[/I]
Тогда простите.
А по теме - даже если есть зловред и файлы , есть шанс ждать ? Или напицца и забыцца :)

[quote="zelibobo;905291"]есть шанс ждать[/quote]
Есть шанс ждать. Вопрос в другом: сколько ждать.

to [B]Никита Соловьев[/B]
На сколько я понимаю Вы сталкивались с подобными зловредами. Я так понимаю [B]z.exe[/B] это "шифратор и дешифратор"
Найденые строки в "теле" :

00002600 00404000 0 0p3nSOurc3 X0r157, цензура!
00002643 00404043 0 Файлы успешно расшифрованы!
00002667 00404067 0 Вы исчерпали лимит попыток - Ваши данные безвозвратно испорчены.
000026A8 004040A8 0 Пароль введ
000026B4 004040B4 0 н верно. Нажите OK для начала расшифровки файлов. После нажатия не закрывайте программу до появления сообщения об удачном завершении расшифровки файлов.
Я не силен в реверс инженерии но надеюсь что кто нибудь поможет.

Запакуйте этот файл в zip архив с паролем virus и пришлите нам. (Красная ссылка над первым сообщ. в теме).

to [B]Никита Соловьев [/B]
Закачал:
[U]Результат загрузки[/U]
Файл сохранён как [U]120730_060554_z_5016244271590.zip[/U]
Размер файла [B]476891[/B]
MD5 fba11bc335742ce323754f41c42c96b9
Файл закачан, спасибо!

[quote="zelibobo;914003"]MD5 fba11bc335742ce323754f41c42c96b9[/quote]
[COLOR="#FF0000"]Trojan-Ransom.Win32.Xorist.gf[/COLOR]

Утилиту для дешифровки Xorist от Лаборатории Касперского пробовали?

[U]XoristDecryptor[/U] ничего не находит и не восстанавливает.:(

Ваш образец отправлен автору утилиты. В ближайшее время (в ближайшие дни) дешифровка будет добавлена в утилиту. Следите за ее обновлением

[B]thyrex[/B] спасибо Вам огромное!

[B]{OFF TOP}[/B]
Вчера установил на [B]VirtualBOX XP SP3[/B] хотел посмотреть под Дебагером процесс заражения
Скопировал несколько видов документов и запустил зловреда, так он наг скрин показывает , в авто-ран ложится,а файлы ну ни-как не трогает. Ну раз в ближайшее время добавят в утилиту - прекращаю колупаться с ним.

Понятное дело - он детектит запуск на виртуальной машине

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Запустите утилиту с ключом
[CODE]-uid NDEBWWOXCAJNGBT[/CODE]

Детектить начал расшифровывать тоже но файлы "битые" на выходе

Файлы точно остались в тех же папках, что и на момент шифрования?

100% на своих местах , ничего не ставилось и не удалялось. Т.к смысла в его пригодности нет раб.файлов нет.
з.ы
кроме самого тела виря

Выложите 2-3 зашифрованных файла.

Вот несколько шифрованных
[url]http://rghost.ru/39511595[/url]

Теперь причина понятна - это семпл не того шифровальщика, который пошифровал файлы. Помочь не можем, пока семпл не поступит к нам.

Так что получается я изначально "пудрю" мозг за другого "гада"
Простите уважаемые! , но жена сказала что только письмо открыла с "этим" "злавредом".
Значит в системе уже сидел другой. Пойду дальше смотреть карантин и логи NODA.
Может найду 1-го.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\z.exe - [B]Trojan-Ransom.Win32.Xorist.gf[/B] ( DrWEB: Trojan.Encoder.94, BitDefender: Gen:Variant.Kazy.66428, AVAST4: Win32:Malware-gen )[/LIST][/LIST]