Зашифровал файлы с заменой расширения на .just [not-a-virus:AdWare.Win32.DealPly.y ]

Printable View

20.08.2014, 08:55
DoctorStas

Вложений: 3

Зашифровал файлы с заменой расширения на .just [not-a-virus:AdWare.Win32.DealPly.y ]

Доброго времени суток!

Помогите, пожалуйста расшифровать файлы документов за 6 лет работы.
Файлы документов с расширением .doc, .xls, .pdf получили новое расширение .just и не открываются. При удалении расширения .just и просмотре в редакторе открывается нечитаемый набор букв или вообще не открывается. В папках с документами оставлен тестовый файл MESSAGE.txt со следующим текстом:
"Покупка декриптора:[email protected]
Ключ хранится до 17.08.2014
Обращения после 17.08.2014 будут игнорироваться.
При обращении укажите в теме письма ваш ID:2277182380

Письма обрабатываются автоматической системой.
Возможны задержки ответов"
На компьютере стоит антивирус Касперского... Не помог...

Помогите, пожалуйста!!!!
20.08.2014, 08:56
Info_bot

Уважаемый(ая) [B]DoctorStas[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
20.08.2014, 11:57
DoctorStas

Дополнительно прилагаю несколько зашифрованных файлов, находящихся на Яндекс-диске
[url]https://yadi.sk/d/PlZs25_Ya6Gg6[/url]
20.08.2014, 13:39
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\e.suhova\appdata\roaming\digita~1\update~1\update~1.exe','');
QuarantineFile('C:\Users\e.suhova\adobesystem.exe','');
QuarantineFile('C:\Users\E50BB~1.SUH\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\MESSAGE.txt','32');
DeleteFile('C:\Users\e.suhova\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\MESSAGE.txt','32');
DeleteFile('C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\MESSAGE.txt','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
DeleteFile('C:\Users\e.suhova\adobesystem.exe','32');
DeleteFile('C:\Users\e.suhova\appdata\roaming\digita~1\update~1\update~1.exe','32');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - Startup: MESSAGE.txt
O4 - Global Startup: MESSAGE.txt

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
21.08.2014, 07:14
DoctorStas

Вложений: 3

Спасибо за помощь!!!
Выполнил все действия согласно вашему сообщению и прилагаю отчет.

Еще раз спасибо!
21.08.2014, 13:40
mike 1

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Папка Найдено : C:\Program Files\Mail.Ru
Папка Найдено : C:\Users\e.suhova\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\e.suhova\AppData\LocalLow\Mail.Ru
Файл Найдено : C:\Users\e.suhova\AppData\Roaming\Microsoft\Internet Explorer\qipsearchbar.dll
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
21.08.2014, 13:53
DoctorStas

Вложений: 1

Выполнил все по инструкции. Файл прилагаю.
21.08.2014, 17:50
mike 1

Логи в порядке. Больше помочь особо нечем.
22.08.2014, 06:16
DoctorStas

Я правильно понимаю, что расшифровать файлы не получится и документы за 6 лет работы потеряны безвозвратно? :(
22.08.2014, 12:17
mike 1

Без оригинального дешифратора не получится. Оригинальный дешифратор есть только у автора этого шифратора.
26.08.2014, 07:26
DoctorStas

Спасибо большое за помощь!

Помогите, пожалуйста, с почтой разобраться.
Как я понимаю, вирус мы удалили.
Открываю почту в MS Outlook, захожу в письмо, где есть вложение, открываю вложение, и в результате открывается ДВА окна. В одном сообщение о покупке декриптора у автора вируса, а во втором окне нормально открывается приаттаченный файл.
Как убрать первое окно с сообщением о покупке декриптора? Чтобы уже ничего не напоминало о вирусе...

Спасибо!
26.08.2014, 13:32
mike 1

Зачем второй раз запустили вложение с шифратором?
26.08.2014, 14:01
DoctorStas

Я его не запускал. Зашел в Outlook и открыл вложения из письма ДО даты получения вируса.
Потом открыл сегодняшнее вложение. Картина одинаковая!
Сделал поиск файлов по расширению .just. Все файлы датируются 14.08.2014.
Специально для проверки активности вируса сохранил из почты на рабочий стол несколько документов. Запускал их с рабочего стола. Через час расширение осталось неизменным.

Что делать с Outlook? Как обнаружить письмо с вирусом?
27.08.2014, 00:20
mike 1

[QUOTE]Что делать с Outlook? Как обнаружить письмо с вирусом?[/QUOTE]
Если письмо уже удалили, то уже не найдете его. Вирус по окончанию шифрования сам удаляется из системы.
27.08.2014, 14:19
DoctorStas

Письмо я не удалял. Оно могло само удалиться?

Тогда что заставляет при открытии приаттаченного файла в почте открывать второе окно с информацией о вирусе? Сегодня попробовал на новых сообщениях, в .xls файлах открывает два окна. В .doc и .pdf одно.
28.08.2014, 01:06
mike 1

[QUOTE]Письмо я не удалял. Оно могло само удалиться?[/QUOTE]
Нет. Либо кто-то другой мог его удалить.

[QUOTE]Тогда что заставляет при открытии приаттаченного файла в почте открывать второе окно с информацией о вирусе? Сегодня попробовал на новых сообщениях, в .xls файлах открывает два окна. В .doc и .pdf одно.[/QUOTE]
Вот эту часть вопроса я не понял.
29.08.2014, 07:11
DoctorStas

Попробую сформулировать по другому.

Что имеем:
1. Вылеченную машину (вирусов нет);
2. Рабочую почту, где все приаттаченные файлы, как до вируса, так и после не изменили своего расширения и открываются в соответствующих программах;
3. Отсутствие в почте письма с вирусом.

Что получаем:
Заходим в письмо у которого есть вложение в формате .xls. Без разницы в какое, до даты запуска вируса или совсем свежее. Дважды щелкаем на вложении и открываем в MS Exel. Открываются ДВА окна. В одном открывается MESSAGE.txt, а в другом нормально открывается вложенный в почту файл. При открытии вложения в формате .pdf, .jpg и .doc открывается одно окно с читаемым текстом из приаттаченного файла.
Откуда берется в MS Exel окно с текстом про вирус если все удалено?
29.08.2014, 23:57
mike 1

[QUOTE]Откуда берется в MS Exel окно с текстом про вирус если все удалено?[/QUOTE]
При запущенном Excel с открытым блокнотом сделайте такой лог

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
01.09.2014, 12:08
DoctorStas

Вложений: 2

Спасибо за Вашу помощь!!!

Прилагаю запрашиваемые файлы.

Спасибо!
01.09.2014, 12:30
mike 1

Вот эти файлы все файлы можно в принципе удалить, оставив только одно из этих.

[CODE]
14.08.2014 11:23:17 ----A---- C:\Windows\System32\drivers\MESSAGE.txt
14.08.2014 11:23:15 ----A---- C:\Windows\System32\MESSAGE.txt
14.08.2014 11:23:02 ----A---- C:\Windows\Fonts\MESSAGE.txt
14.08.2014 11:22:53 ----A---- C:\Windows\MESSAGE.txt
14.08.2014 11:21:33 ----A---- C:\Users\e.suhova\Favorites\MESSAGE.txt
14.08.2014 10:51:10 ----A---- C:\Users\e.suhova\Documents\MESSAGE.txt
14.08.2014 10:49:32 ----A---- C:\Users\e.suhova\Desktop\MESSAGE.txt
14.08.2014 10:49:24 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
14.08.2014 10:49:24 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
14.08.2014 10:49:16 ----A---- C:\Users\e.suhova\AppData\Roaming\MESSAGE.txt
14.08.2014 10:37:01 ----A---- C:\Users\e.suhova\MESSAGE.txt
14.08.2014 10:36:34 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
14.08.2014 10:36:34 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
14.08.2014 10:36:13 ----A---- C:\Users\Public\Documents\MESSAGE.txt
14.08.2014 10:36:13 ----A---- C:\Users\Public\Desktop\MESSAGE.txt
14.08.2014 10:36:02 ----A---- C:\ProgramData\MESSAGE.txt
14.08.2014 10:25:18 ----A---- C:\Program Files\Common Files\MESSAGE.txt
14.08.2014 10:22:15 ----A---- C:\Program Files\MESSAGE.txt
14.08.2014 11:23:15 ----A---- C:\Windows\System32\MESSAGE.txt
14.08.2014 11:22:53 ----A---- C:\Users\Public\Documents\MESSAGE.txt
14.08.2014 11:22:53 ----A---- C:\Users\Public\Desktop\MESSAGE.txt
14.08.2014 11:22:53 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
14.08.2014 11:22:53 ----A---- C:\Windows\MESSAGE.txt
14.08.2014 11:22:52 ----A---- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
14.08.2014 11:22:45 ----A---- C:\ProgramData\MESSAGE.txt
14.08.2014 11:22:09 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
14.08.2014 11:22:09 ----A---- C:\Users\e.suhova\Documents\MESSAGE.txt
14.08.2014 11:21:33 ----A---- C:\Users\e.suhova\Favorites\MESSAGE.txt
14.08.2014 10:49:32 ----A---- C:\Users\e.suhova\AppData\Roaming\MESSAGE.txt
14.08.2014 10:49:32 ----A---- C:\Users\e.suhova\Desktop\MESSAGE.txt
14.08.2014 10:49:24 ----A---- C:\Users\e.suhova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
14.08.2014 10:25:18 ----A---- C:\Program Files\Common Files\MESSAGE.txt
14.08.2014 10:22:15 ----A---- C:\Program Files\MESSAGE.txt
[/CODE]
01.09.2014, 12:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\e.suhova\appdata\roaming\digita~1\update~1\update~1.exe - [B]not-a-virus:AdWare.Win32.DealPly.y[/B] ( DrWEB: Adware.Shopper.391, AVAST4: Win32:Rotbrow-B [Trj] )[*] c:\users\e50bb~1.suh\appdata\roaming\digita~1\update~1\update~1.exe - [B]not-a-virus:AdWare.Win32.DealPly.y[/B] ( DrWEB: Adware.Shopper.391, AVAST4: Win32:Rotbrow-B [Trj] )[/LIST][/LIST]