Зашифровались файлы базы данных 1С и многие другие.Тип: CRYPTED! (.tego) [HEUR:Trojan.Win32.Generic ]

Printable View

29.10.2014, 13:38
Denik999

Вложений: 2

Зашифровались файлы базы данных 1С и многие другие.Тип: CRYPTED! (.tego) [HEUR:Trojan.Win32.Generic ]

Здравствуйте. Неизвестно по какой причине зашифровались файлы базы данных 1С и многие другие. Тип файла после шифрования: CRYPTED! (.tego). Также появились txt-файлы со следующим содержанием:Внимание! Все Ваши файлы зашифрованы!Чтобы восстановить свои файлы и получить к ним доступ, свяжитесь с нами по email: [email][email protected][/email]Стоимость расшифровки: 4500 руб.У вас есть 5 попыток ввода кода. При превышении этого количества, все данные необратимо испортятся. Будьте внимательны при вводе кода!Буду очень благодарен за любые советы. Спасибо!
29.10.2014, 13:39
Info_bot

Уважаемый(ая) [B]Denik999[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
29.10.2014, 15:36
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\9335~1\AppData\Local\Temp\1\j4Z0f8b30i96wSx.exe','');
QuarantineFile('C:\Users\9335~1\AppData\Local\Temp\1\Rar$EXa0.994\Activator\w7lxe.exe','');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Users\9335~1\AppData\Local\Temp\1\Rar$EXa0.994\Activator\w7lxe.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Users\Сергей.WIN-19V1M8RVIAQ.000\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Users\Сергей.WIN-19V1M8RVIAQ.000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Users\9335~1\AppData\Local\Temp\1\j4Z0f8b30i96wSx.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','W7LXE');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

[/CODE]

Перезагрузите сервер вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O4 - HKLM\..\Run: [W7LXE] "C:\Users\9335~1\AppData\Local\Temp\1\Rar$EXa0.994\Activator\w7lxe.exe" /react /days=0 /method="180+ Days" /iffailed=delete
O4 - HKLM\..\Run: [Alcmeter] C:\Users\9335~1\AppData\Local\Temp\1\j4Z0f8b30i96wSx.exe

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
29.10.2014, 16:06
Denik999

К сожалению, не одной из этих строк:O4 - HKLM\..\Run: [W7LXE] "C:\Users\9335~1\AppData\Local\Temp\1\Rar$EXa0.994\Activator\w7lxe.exe" /react /days=0 /method="180+ Days" /iffailed=deleteO4 - HKLM\..\Run: [Alcmeter] C:\Users\9335~1\AppData\Local\Temp\1\j4Z0f8b30i96wSx.exeне было
29.10.2014, 16:13
mike 1

Делайте остальное значит.
29.10.2014, 16:33
Denik999

Вложений: 1

Логи готовы.
29.10.2014, 16:55
mike 1

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v384c
zoo %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\APPDATA\LOCAL\TEMP\J4Z0F8B30I96WSX.EXE
addsgn 9252620A156AC1CCE0AB514E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 48 Trojan.Encoder.94 [DrWeb]

zoo %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\DESKTOP\TEGO.EXE
bl 66A102D7724EA350DAFDFA8273D0C3E9 7168
delall %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\APPDATA\LOCAL\TEMP\J4Z0F8B30I96WSX.EXE
delall %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\DESKTOP\TEGO.EXE
zoo %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\DESKTOP\WORM.EXE
del %SystemDrive%\USERS\АЛЕКСАНДР.WIN-19V1M8RVIAQ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\ВЯЧЕСЛАВ.WIN-19V1M8RVIAQ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\ДИМА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\ДМИТРИЙ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\ЕГОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\КУРЬЕР.WIN-19V1M8RVIAQ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\КУРЬЕР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\СЕРГЕЙ.WIN-19V1M8RVIAQ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\ASPNETMMCEXT\0BD9EDD50C12D7C1ACDD0F48DBF5B410\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\ASPNETMMCEXT\CED110079BE200244F62FFF082B99098\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MMCEX\2BA1E0DC364086BB399E6201522BED2B\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MMCEX\5E7C779F0C11983AC0B1CA3CB1DC655F\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
chklst
delvir

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Сервер перезагрузите вручную.[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Сделайте новый лог uVS.
29.10.2014, 17:06
Denik999

Сделано!
29.10.2014, 17:36
mike 1

И где же новые логи?
29.10.2014, 17:40
Denik999

Вложений: 1

Новые логи.
29.10.2014, 20:15
mike 1

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]

[code]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v384c
breg

delall %SystemDrive%\USERS\ДИМА.WIN-19V1M8RVIAQ\DESKTOP\WORM.EXE
[/code]

Сервер перезагрузите вручную. Пришлите зашифрованную картинку.
29.10.2014, 21:47
Denik999

Любую зашифрованную картинку? Или что-то не так понял...
29.10.2014, 21:48
mike 1

Любую.
29.10.2014, 22:03
Denik999

Не даёт залить картинку. Пишет: "Выбранный файл не является изображением". Что делать?
29.10.2014, 22:17
mike 1

Упакуйте в архив.
29.10.2014, 22:27
Denik999

Вложений: 1

Точно. Готово.
29.10.2014, 22:56
mike 1

Это уже убитая картинка каким-то дешифратором. Нужна картинка с расширением .tego на конце.
29.10.2014, 23:15
Denik999

Вложений: 1

Вот.
30.10.2014, 00:08
mike 1

[INFORMATION]

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашим файлам.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Скачайте [URL="http://download.geo.drweb.com/pub/drweb/tools/te94decrypt.exe"]te94decrypt.exe[/URL] и сохраните [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B].

В командной строке введите:
[code]C:\te94decrypt.exe -k 495[/code]

[B][COLOR="#FF0000"]Внимание!!![/COLOR][/B]
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION]
30.10.2014, 12:12
Denik999

Спасибо ОГРОМНОЕ за помощь! Вроде помогло. Как можно лично вас отблагодарить? Ещё раз СПАСИБО!
31.10.2014, 00:58
mike 1

[QUOTE=Denik999;1180830]Спасибо ОГРОМНОЕ за помощь! Вроде помогло. Как можно лично вас отблагодарить? Ещё раз СПАСИБО![/QUOTE]
Напишите в ЛС.
31.10.2014, 01:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \j4z0f8b30i96wsx.exe._6994216dfb514af324f7fb1c3c3479a88f10061f - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Generic.Malware.Sprn.1736F163 )[*] \tego.exe._6994216dfb514af324f7fb1c3c3479a88f10061f - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Generic.Malware.Sprn.1736F163 )[/LIST][/LIST]