Добрый день! Зашифрованы файлы (xls, pdf и другие). Помогите пожалуйста.
Windows 7.
Printable View
Добрый день! Зашифрованы файлы (xls, pdf и другие). Помогите пожалуйста.
Windows 7.
Уважаемый(ая) [B]Lana55[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте! Инструкция по расшифровке файлов будет выдана в конце лечения.
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Admin\AppData\Local\Temp\ms0cfg32.exe','');
DeleteFile('C:\Users\Admin\AppData\Local\Temp\ms0cfg32.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Полученный архив [b]quarantine.zip[/b] из папки с распакованной утилитой AVZ отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis[/URL] (некоторые строки могут отсутствовать).
[CODE]
O4 - HKLM\..\Run: [mobilegeni daemon] C:\Program Files (x86)\Mobogenie\DaemonProcess.exe
[/CODE]
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Сделайте лог полного сканирования [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url]
Надеюсь, что правильно сделала файлы.
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Folder Found C:\Program Files (x86)\Mail.Ru
Folder Found C:\Program Files (x86)\Yandex
Folder Found C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru
Folder Found C:\ProgramData\Yandex
Folder Found C:\Users\Admin\AppData\Local\Mail.Ru
Folder Found C:\Users\Admin\AppData\Local\Yandex
Folder Found C:\Users\Admin\AppData\LocalLow\Mail.Ru
Folder Found C:\Users\Admin\AppData\LocalLow\Yandex
Folder Found C:\Users\Admin\AppData\Roaming\Mail.Ru
Folder Found C:\Users\Admin\AppData\Roaming\Yandex
Value Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Run [AlterGeoUpdater]
Value Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Run [MailRuUpdater]
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
В MBAM удалите все найденное.
Сначала В MBAM удалить все найденное?
Потом перезагрузить комп?
А потом запустить повторно AdwCleaner (by Xplode)?
Такая последовательность действий?
Здесь в принципе без разницы.
Михаил, подскажите.
Я просмотрела файлы, которые вы указали на удаление в предыдущем своем сообщении.
Удаление касается Яндекс и Мэйл. В них есть файлы, созданные годом раньше и изменены от даты проникновения вируса. Если по вашей рекомендации их все-таки удалить, на что это повлияет и что это даст?
[quote="Lana55;1109992"]Если по вашей рекомендации их все-таки удалить, на что это повлияет и что это даст?[/quote]Читайте внимательно - Вас просили оставить все записи, имеющие отношение к этим ресурсам
Простите, видимо плохо уже соображаю, третий день в расстроенных чувствах.
Этот вирус я получила через письмо на почту (открыла по не осторожности).
А галочки снимать на вкладках Folders и Registry?
[QUOTE]А галочки снимать на вкладках Folders и Registry?[/QUOTE]
Да.
Вот отчет
Еще новый отчет MBAM после удаления записей прикрепите. Можно сделать быстрое сканирование в MBAM.
Только отсканировалось.
Только вот, по-моему, ничего не удалилось. Может не поняла как удалять?
Да осталось. Выберите действие карантин для всех найденных объектов.
Удалила. Теперь заново сканировать и выслать новый файл МВАМ?
Да теперь новый лог сделайте только тип сканирования выберите [B]Угроза Сканирования/Threat Scan[/B]
Сканирование завершилось, подскажите, а как отчет сохранить?
Здесь [url]http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657[/url] есть инструкция.
Так получилось?
Пишет зеленым цветом: "Сканирование завершено успешно! Были обнаружены вредоносные элементы не!"
...
Объектов: 0
[INFORMATION]
Скачайте [URL="http://download.geo.drweb.com/pub/drweb/tools/te102decrypt.exe"]te102decrypt.exe[/URL] и сохраните [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B].
В командной строке введите:
[code]C:\te102decrypt.exe -k 384[/code]
[B][COLOR="#FF0000"]Внимание!!![/COLOR][/B]
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет
2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION]
Процесс идет. Посмотрела, с зараженным файлом ставит рядом расшифрованный.
Подскажите, а после расшифровки будет какой-то отчет что и где поменялось или мне придется все папки (включая системные) просматривать?
Будет уведомление о том что расшифровано такое-то количество файлов.
[QUOTE=mike 1;1110227][INFORMATION]
2. [COLOR="#FF0000"]Удаляйте зашифрованные копии[/COLOR] только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION][/QUOTE]
Чтобы удалить залезать в каждую папку самостоятельно и удалять?
Утилита не удаляет зашифрованные файлы. Получается что так. Файлы корректно все расшифровались?
Расшифровалось около 30000 файлов, вроде корректно, но проверяю пока выборочно. На проверку каждого уже сил нет:suicide2:. В каждой папке поисковиком ищу (собираю) файлы с расширением "COM_LOT4024" и по дате изменения смотрю, пока в корзину скидываю. Правда попадаются файлы с тем же расширением, а вот дата изменения равна дате создания, приписка к названию таким файлам та же (Support@casinomtgox) - что с ними делать? А то на удаляю.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Все-таки не все расшифровались. Есть папки в которых файлы с расширением "COM_LOT4024", а вот рядом нет нормального файла.
[QUOTE]Все-таки не все расшифровались. Есть папки в которых файлы с расширением "COM_LOT4024", а вот рядом нет нормального файла.[/QUOTE]
Прикрепите несколько таких файлов в архиве.
вот некоторые.
Из всех файлов только один зашифрован, у остальных просто поменялось расширение
А то, что расширение поменялось на что в дальнейшем повлияет?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Их так и оставлять?
[quote="Lana55;1110399"]А то, что расширение поменялось на что в дальнейшем повлияет?[/quote]Удалите это новое расширение и все
а как его удалить?
Переименовать эти файлы
Подскажите, в какой папке может находиться Файл "JPG", чтобы можно было просматривать в этом формате? (если правильно изъяснила), что бы можно было добавить в меню "Открыть с помощью...) Никак найти не могу.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
разобралась
Проблема решена?
По пересохранению, вроде получается. Вот как пересозранить документы XML? В меню "Открыть с помощью..." никакого подобного значка нет. Через какую программу пересохранять?
xml возможно не были обработаны дешифратором потому они скорее всего зашифрованы.
наверно, точно не были, большое количество. А как быть? Заново включить дешифратор? Сработает?
[quote="mike 1;1110522"]xml возможно не были обработаны дешифратором потому они скорее всего зашифрованы[/quote]Бред писать не нужно
[quote="Lana55;1110474"]По пересохранению, вроде получается[/quote]Я просил просто переименовать, а не открывать с помощью подходящей программы и пересохранять.
Запустите Проводник, правой кнопкой мыши кликните по файлу и выберите действие Переименовать. Удалите ненужное окончание в имени и нажмите Enter
[QUOTE=thyrex;1110539]
Я просил просто переименовать, а не открывать с помощью подходящей программы и пересохранять.
Запустите Проводник, правой кнопкой мыши кликните по файлу и выберите действие Переименовать. Удалите ненужное окончание в имени и нажмите Enter[/QUOTE]
От того, что я просто переименую, тип файла не меняется, а остается тот же "COM_LOT4024".