Хелп зашифровались файлы и требуют выкуп [HEUR:Trojan.Win32.Generic ]

Printable View

03.11.2014, 13:52
woy2001

Вложений: 2

Хелп зашифровались файлы и требуют выкуп [HEUR:Trojan.Win32.Generic ]

Добрый день. Случилась беда зашифровались файлы и во всех папках появился файлы "КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt" с таким текстом:
Внимание! Все Ваши файлы зашифрованы!
Чтобы восстановить свои файлы и получить к ним доступ,
свяжитесь с нами по email: [email][email protected][/email]

Стоимость расшифровки: 4500 руб.
У вас есть 5 попыток ввода кода. При превышении этого
количества, все данные необратимо испортятся. Будьте
внимательны при вводе кода!

а так же на рабочем столе появился файл file.exe

Вот ссылка на файлообменник [[B]скрыто[/B]] выложил туда файлы, там есть файл keyboard txt это оригинал до заражение, а keyboard.txt.file после заражение. Но это не так важно, самое важное это база данных 1с 8. и fail.exe тоже там
03.11.2014, 13:54
Info_bot

Уважаемый(ая) [B]woy2001[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.11.2014, 15:40
mike 1

Здравствуйте! Меняйте пароли от RDP и учетных записей на более стойкие.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\Администратoр\downloads\safesurf.exe');
QuarantineFile('C:\Users\Администратoр\Downloads\dhcp1.18.exe','');
QuarantineFile('C:\Users\Администратoр\Downloads\dhcp.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\3\JnEi0V0vNB0Mo0C.exe','');
QuarantineFile('c:\windows\syswow64\servftp.exe','');
QuarantineFile('c:\users\Администратoр\downloads\safesurf.exe','');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\3\JnEi0V0vNB0Mo0C.exe','32');
DeleteFile('C:\Users\Администратoр\Downloads\safesurf.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Alcmeter','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\jsafesurf','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','jsafesurf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

[/CODE]

Перезагрузите компьютер вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O4 - HKLM\..\Run: [jsafesurf] C:\Users\Администратoр\Downloads\safesurf.exe

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
03.11.2014, 19:29
woy2001

Вложений: 2

все сделал. Профиксить не получилось, строка отсутствовала

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=mike 1;1182646]Здравствуйте! Меняйте пароли от RDP и учетных записей на более стойкие.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\Администратoр\downloads\safesurf.exe');
QuarantineFile('C:\Users\Администратoр\Downloads\dhcp1.18.exe','');
QuarantineFile('C:\Users\Администратoр\Downloads\dhcp.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\3\JnEi0V0vNB0Mo0C.exe','');
QuarantineFile('c:\windows\syswow64\servftp.exe','');
QuarantineFile('c:\users\Администратoр\downloads\safesurf.exe','');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\3\JnEi0V0vNB0Mo0C.exe','32');
DeleteFile('C:\Users\Администратoр\Downloads\safesurf.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Alcmeter','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\jsafesurf','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','jsafesurf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

[/CODE]

Перезагрузите компьютер вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O4 - HKLM\..\Run: [jsafesurf] C:\Users\Администратoр\Downloads\safesurf.exe

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])[/QUOTE]

все сделал.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И ещё некоторые файлы поменялось расширение на .file - это lnk, txt и некотрые файлы базы данных 1с, а некоторые остались со своим расширение но не открываются, и 1с пишет файлы повреждён.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Помогите ПЛИЗ... Шеф над головой стоит, ножом машет.....
03.11.2014, 21:59
mike 1

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Пришлите еще зашифрованную картинку.
03.11.2014, 22:14
woy2001

[QUOTE=mike 1;1182821][LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Пришлите еще зашифрованную картинку.[/QUOTE]

Ок завтра с утра сделаю. А что за картинка?
03.11.2014, 23:06
mike 1

[QUOTE=woy2001;1182829]Ок завтра с утра сделаю. А что за картинка?[/QUOTE]
Зашифрованный файл небольшой нужен. Картинка, документ, pdf файл.
03.11.2014, 23:18
woy2001

Так на файлообменнике лежат файлы, я ссылку в первом сообщении писал. Не подходит? Там даже есть два файлы keyboard один зараженый второй нет.
04.11.2014, 00:05
mike 1

У меня этот файлообменник не открывается в браузере.
04.11.2014, 10:50
woy2001

[QUOTE=mike 1;1182872]У меня этот файлообменник не открывается в браузере.[/QUOTE]
Лог сделал, и файлов парочку скинул на файлообменник, вот ссылка [url]https://yadi.sk/d/vwHbd9KHcUPvk[/url]
04.11.2014, 13:09
mike 1

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\FILE.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\FILE.EXE
del %SystemDrive%\USERS\AVRORA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\MARYANA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\АДМИНИСТРАТOР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MMCEX\6D4BACFD54E8F79763945BEE5A50711D\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_64\MMCEX\B46AF15D2E2AE2782F384BFC4A4C2C03\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.
04.11.2014, 14:02
woy2001

Вложений: 1

[QUOTE=mike 1;1182994][LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\FILE.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\FILE.EXE
del %SystemDrive%\USERS\AVRORA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\MARYANA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemDrive%\USERS\АДМИНИСТРАТOР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MMCEX\6D4BACFD54E8F79763945BEE5A50711D\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_64\MMCEX\B46AF15D2E2AE2782F384BFC4A4C2C03\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.[/QUOTE]

Всё сделал.
05.11.2014, 00:28
mike 1

Лог в порядке. Ждем пока сделают расшифровку.
05.11.2014, 01:42
woy2001

[QUOTE=mike 1;1183392]Лог в порядке. Ждем пока сделают расшифровку.[/QUOTE]

Ок ждёмс и надеемся... Уж очень надо и время горит.
06.11.2014, 15:17
woy2001

ЛИчные сообщения немогу больеш отправлять. Поэтому пишу сюда. Подписку оформляю.
06.11.2014, 15:22
mike 1

[QUOTE=woy2001;1184141]ЛИчные сообщения немогу больеш отправлять. Поэтому пишу сюда. Подписку оформляю.[/QUOTE]
Если возникнут сложности по оформлению подписки отпишитесь в этой теме.
06.11.2014, 15:50
woy2001

[QUOTE=mike 1;1184149]Если возникнут сложности по оформлению подписки отпишитесь в этой теме.[/QUOTE]

При оплате пишет вот такую штуку:

Невозможно завершить выполнение последнего действия

При совершении покупки или отправке денег рекомендуется через 30 минут проверить счет PayPal и электронную почту на наличие подтверждения о проведенной операции.

Если переход на данную страницу выполнен с другого веб-сайта, перейдите обратно на данный сайт (не используйте при этом кнопку «Назад») и повторите действия.

Если переход выполнен с веб-сайта PayPal, нажмите на логотип PayPal в левом верхнем углу, чтобы снова перейти к домашней странице и повторить действия. Возможно, потребуется повторно войти в систему.

И на почту ничего не приходит. Уже прошло пол часа.
06.11.2014, 15:55
mike 1

Попробуйте тогда воспользоваться этими реквизитами: [url]http://virusinfo.info/content.php?r=113-virusinfo.info-donate[/url]

Как оплатите отпишитесь в теме вас переведут в отдельную группу.
06.11.2014, 16:24
woy2001

[QUOTE=mike 1;1184166]Попробуйте тогда воспользоваться этими реквизитами: [url]http://virusinfo.info/content.php?r=113-virusinfo.info-donate[/url]

Как оплатите отпишитесь в теме вас переведут в отдельную группу.[/QUOTE]

Сколько в долларах если через вэбмоней? 12?
06.11.2014, 16:29
mike 1

Около 11
06.11.2014, 16:34
woy2001

[QUOTE=mike 1;1184190]Около 11[/QUOTE]
Ок скину 12. чтоб наверняка.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=mike 1;1184190]Около 11[/QUOTE]
Всё перевёл. Дальше что?
06.11.2014, 16:40
mike 1

Создавайте тему в специальном разделе.
06.11.2014, 17:09
woy2001

[QUOTE=mike 1;1184197]Создавайте тему в специальном разделе.[/QUOTE]
Создал : [[B]скрыто[/B]]
06.11.2014, 17:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \file.exe._96c47561f1a2d16b9d034659a15be0a7fa119290 - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Generic.Malware.Sprn.302DA2CF )[/LIST][/LIST]
06.11.2014, 19:08
mike 1

Ответил в теме.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Тему отмечаю решенной т.к. помогли в закрытом разделе.