Вирус зашифровал файлы и добавил расширение [email protected]_TA5 [HEUR:Trojan.Win32.Generic ]

Добрый день! Очень прошу ВАС о помощи!!!
Поймала какую-то бяку, увы не могу сказать точно когда. Вчера обнаружила, что 41 244 файла зашифрованы( в основном .jpg, .doc, так же много .xml, .rar, .zip, .pdf.), вирус добавил ко всем этим файлам расширение [email][email protected][/email]_TA5 . Не уверена, что вирус был в письме.
-Никаких подозрительных архивов, документов НЕ ОТКРЫВАЛА.
-Предупреждений об угрозе от пиратов НЕТ. (никаких файлов типа "ПРОЧТИ МЕНЯ", или jpg-ов на рабочем столе с требованиями оплаты -НИЧЕГО нет)
-Прогнала несколькими антивирусниками(когда комп стал тормозить)-они поудаляли угрозы которые нашли.
Проблема в том, что я не знаю где ИСХОДНИК, то есть с каким файлом был вирус. Возможно антивирусы его уже убили. Вся моя работа в этих фото, да и вся жизнь вообще..сами понимаете, файлов не 100, и даже не 1000...
Мне очень нужна Ваша помощь! Это реально катастрофа. Лишь бы спасти эти файлы!
С Уважением, Полина.

[ATTACH]432740[/ATTACH]
[ATTACH]432741[/ATTACH]
[ATTACH]432742[/ATTACH]

Уважаемый(ая) [B]PolinaZ[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Поставила утилиту AnVir Task Manager. Он нашел любопытный процесс в автозагрузках, называется сие чудо
1349265742.exe (путь C:\ProgramData\System\1349265742.exe)
Возможно это он?

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\sadrive32.exe','');
QuarantineFile('L:\jhpm.exe','');
QuarantineFile('C:\Program Files (x86)\DealPly\DealPlyUpdate.exe','');
QuarantineFile('C:\Windows\winlogon.exe','');
QuarantineFile('C:\Users\Компутер\AppData\Local\NVIDIA Corporation\Update\daemonupd.exe','');
QuarantineFile('C:\Users\Компутер\AppData\Local\Google\Update\gupdate.exe','');
QuarantineFile('C:\Users\F3D8~1\AppData\Local\Temp\1416615976.exe','');
QuarantineFile('C:\ProgramData\System\1349265742.exe','');
TerminateProcessByName('c:\windows\wnmasnr.exe');
QuarantineFile('C:\Windows\Wnmasnr.exe','');
SetServiceStart('Windanr', 4);
DeleteService('Windanr');
SetServiceStart('Windows Security Service', 4);
DeleteService('Windows Security Service');
TerminateProcessByName('c:\programdata\system32\sysdll32.exe');
QuarantineFile('c:\programdata\system32\sysdll32.exe','');
QuarantineFile('c:\windows\wnmasnr.exe','');
DeleteFile('C:\Windows\Wnmasnr.exe','32');
DeleteFile('C:\ProgramData\System\1349265742.exe','32');
DeleteFile('C:\Users\F3D8~1\AppData\Local\Temp\1416615976.exe','32');
DeleteFile('C:\Users\Компутер\AppData\Local\Google\Update\gupdate.exe','32');
DeleteFile('C:\Users\Компутер\AppData\Local\NVIDIA Corporation\Update\daemonupd.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NvUpdService');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','DP');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DP');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1349265742');
DeleteFile('C:\Windows\winlogon.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ConnectionUpdater');
DeleteFile('C:\Program Files (x86)\DealPly\DealPlyUpdate.exe','32');
DeleteFile('C:\Windows\system32\Tasks\DealPlyUpdate','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Всё выполнила. Вы получили карантин?
Вот новые логи:
[ATTACH]432919[/ATTACH]
[ATTACH]432920[/ATTACH]
[ATTACH]432921[/ATTACH]

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
F2 - REG:system.ini: Shell=
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - (no file)
O2 - BHO: Ask Toolbar BHO - {4D594333-0076-A76A-76A7-7A786E7484D7} - "C:\Program Files (x86)\AskPartnerNetwork\Toolbar\MYC3\Passport.dll" (file missing)
O2 - BHO: Update Timer - {963B125B-8B21-49A2-A3A8-E37092276531} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O4 - HKLM\..\Run: [NetworkSaver] C:\Windows\Temp\temp70.exe
O4 - HKLM\..\Run: [ConnectionUpdater] C:\Windows\winlogon.exe
O4 - HKLM\..\Run: [DP] C:\Users\F3D8~1\AppData\Local\Temp\1416615976.exe
O4 - HKCU\..\Run: [NvUpdService] C:\Users\Компутер\AppData\Local\NVIDIA Corporation\Update\daemonupd.exe /app A50BBE12ACD5DC757F6718B2A7BC3284
O4 - HKCU\..\Run: [Google Update] C:\Users\Компутер\AppData\Local\Google\Update\gupdate.exe /app A50BBE12ACD5DC757F6718B2A7BC3284
O4 - HKCU\..\Run: [1349265742] C:\ProgramData\System\1349265742.exe
O4 - HKCU\..\Run: [DP] C:\Users\F3D8~1\AppData\Local\Temp\1416615976.exe[/CODE]Сделайте новый лог

Пофиксила. Вот новый лог:
[ATTACH]432931[/ATTACH]

HiJack при выполнении фикса запускали от имени Администратора по правой кнопке мыши? Если нет, переделывайте

Да, от имени администратора, конечно!
[ATTACH]432932[/ATTACH]

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Вот он:
[ATTACH]432938[/ATTACH]

c:\windows\kb693923.exe проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите

Вот ссылка:
[url]https://www.virustotal.com/ru/file/50767d54434dcfdfe6ae5ac84a7d638c8f31822194622156c4a20fb9ac996dff/analysis/1377367274/[/url]

Удаляйте и смените все пароли

Еще раз лог HiJack сделайте

Простите, уточню: удалить этот файл? c:\windows\kb693923.exe ?
Пароли поменять везде где только можно? с этого компьютера, или с другого?
Лог сразу сделаю)

[quote="PolinaZ;1032077"]удалить этот файл? c:\windows\kb693923.exe ?[/quote]Именно его

Пароли сменить везде. Можно даже и с другого компьютера

Вот новый лог. смена паролей в процессе(их оказалось тааак много))
[ATTACH]432961[/ATTACH]

Лог в порядке

Так что же делать дальше? Файлы по-прежнему в зашифрованном состоянии...есть ли какая-то возможность из расшифровать?

Ждать, что кто-то купит дешифратор. Или сделать это самой. Увы

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\wnmasnr.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Barys.547, AVAST4: Win32:Malware-gen )[/LIST][/LIST]