Вирус шифратор. Тип зашифрованных файлов: CRYPTED!

Здравствуйте! Случайно заразился данным вирусом... Почти все файлы на компьютере зашифрованы, аваст удалил вирус, но не спас файлы... (Архив в котором находится вирус у меня есть, оставил ссылку ниже)
[ATTACH=CONFIG]503563[/ATTACH][ATTACH=CONFIG]503564[/ATTACH]

[url]http://rghost.ru/58590408[/url] - virusinfo_syscure.zip
[url]http://rghost.ru/58590424[/url] - virusinfo_syscheck.zip
[url]http://rghost.ru/58590436[/url] - hijackthis.log
[url]http://rghost.ru/58590480[/url] - пример заражённого файла
[[B]удалено[/B]] - сам вирус

Написал на почту [COLOR=#333333][email protected], просят отправить 600 рублей...
[/COLOR]
Помогите что мне делать?

Уважаемый(ая) [B]Артур Ниггер[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Dielles Smone\AppData\Roaming\newnext.me\nengine.dll','');
QuarantineFile('C:\Users\DIELLE~1\AppData\Local\Temp\O2n1H08YCsp260R.exe','');
DeleteFile('C:\Users\DIELLE~1\AppData\Local\Temp\O2n1H08YCsp260R.exe','32');
DeleteFile('C:\Users\Dielles Smone\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Users\Dielles Smone\AppData\Roaming\newnext.me\nengine.dll','32');
DeleteFile('C:\Windows\Tasks\UpdaterEX.job','32');
DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Alcmeter','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive','command');
DeleteService('Update BrowseSmart');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.wonderfulsearches.info/?pid=512&r=2014/08/06&hid=2998533463680061784&lg=EN&cc=BY&unqvl=60
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.wonderfulsearches.info/?pid=512&r=2014/08/06&hid=2998533463680061784&lg=EN&cc=BY&unqvl=60
O2 - BHO: MySearch - {1485D2B1-D892-2019-13AA-96B08006CAA0} - (no file)
O2 - BHO: NexTCoup - {2689D6E1-A016-0157-40D7-1687E88BDE1E} - (no file)
O2 - BHO: NextCoup - {A98750E9-95F3-971C-B59A-5959114AE495} - (no file)
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

+ присланный, как вирус, файл чист :)
Но это недолго, я думаю

Скачивает [B]Trojan.Win32.Llac.jmim[/B]

[QUOTE=thyrex;1175359]+ присланный, как вирус, файл чист :)[/QUOTE]
[QUOTE]В присланном Вами файле обнаружено новое вредоносное программное обеспечение.
Его детектирование будет включено в очередное обновление антивирусных баз.
Благодарим за оказанную помощь.

Trojan-Downloader.Win32.Agent.hfbm[/QUOTE]
Троянский загрузчик, который подгружает сам Xorist. Короче в понедельник наверное будет расшифровка :)

Карантин [B]прислал[/B], логи [B]прикрепил[/B], [B]жду[/B] ответа. :)

[QUOTE][ProxyServer] - 46.181.135.215:3128[/QUOTE]
Прокси ваш?

[QUOTE=mike 1;1175496]Прокси ваш?[/QUOTE]

[B][U]Адрес прокси-сервера: 46.165.205.92[/U][/B]
Получается, что нет... :hmm:

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[QUOTE=mike 1;1175521][url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.[/QUOTE]
Я так и сделал в [B]первый[/B] раз :>

Нет в первый раз вы только выполнили сканирование в AdwCleaner. Очистка не выполнялась.

[QUOTE=mike 1;1175528]Нет в первый раз вы только выполнили сканирование в AdwCleaner. Очистка не выполнялась.[/QUOTE]
Доказываю, что выполнялась :>

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]

[CENTER]Вот.[/CENTER]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[CENTER]Ну что? Как там успехи? :([/CENTER]

Папку эту удалите:

[QUOTE]
20.08.2014 15:53:08 ----D---- C:\Users\Dielles Smone\AppData\Roaming\extensions
[/QUOTE]

Расшифровка будет не раньше понедельника.

[CENTER]Удалил ту папку!
С нетерпением жду расшифровку :)[/CENTER]

[CENTER]Ну как там дела? :)[/CENTER]

Еще не готова.

Ждём ;)

Есть какие нибудь продвижения?

[QUOTE=Артур Ниггер;1177536]Есть какие нибудь продвижения?[/QUOTE]
Завтра или в крайнем случае в пятницу обновят утилиту.

Жду ссылки на обновлённую утилиту. :>

В общем без официального запроса в техподдержку DrWeb расшифровку они пока делать не будут.

[QUOTE=mike 1;1178306]В общем без официального запроса в техподдержку DrWeb расшифровку они пока делать не будут.[/QUOTE]

И что теперь делать?
Как я знаю, у них надо покупать лицензию что-бы получить помощь... :(

[QUOTE=Артур Ниггер;1178334]Как я знаю, у них надо покупать лицензию что-бы получить помощь... :([/QUOTE]
Да. Либо ждать пока кто-то из пострадавших от 94 шифратора обратится в их техподдержку.

[QUOTE=mike 1;1178339]Да. Либо ждать пока кто-то из пострадавших от 94 шифратора обратится в их техподдержку.[/QUOTE]
Даже не знаю что делать... :sad2: :scratch_one-s_head:

Утилита обновилась наконец-то. Пришлите зашифрованный файл.

[QUOTE=mike 1;1179682]Утилита обновилась наконец-то. Пришлите зашифрованный файл.[/QUOTE]
[CENTER][url]http://rghost.ru/58744236[/url] - Зашифрованный файл, изначальное расширение было .png.
Жду ответа. [/CENTER]

[INFORMATION]

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашим файлам.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Скачайте [URL="http://download.geo.drweb.com/pub/drweb/tools/te94decrypt.exe"]te94decrypt.exe[/URL] и сохраните [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B].

В командной строке введите:
[code]C:\te94decrypt.exe -k 490[/code]

[B][COLOR="#FF0000"]Внимание!!![/COLOR][/B]
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION]

[CENTER]ОГРОМНОЕ СПАСИБО, ВСЁ БЫЛО РАСШИФРОВАНО! :):):)[/CENTER]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]