На жестком диске появился .txt файлы вот такого содержания:
Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
4E62FAFE5419FAADBB50|0
на электронный адрес [email][email protected][/email] или [email][email protected][/email] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
Уважаемый(ая) [B]Иван Наумов[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url]http://virusinfo.info/pravila.html[/url]
Лог AVZ.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
ghijackthis.log
Правила перечитайте и пришлите [B]нужные[/B] логи AVZ
Логи AVZ.
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe','');
TerminateProcessByName('c:\documents and settings\Настя\application data\cppredistx86.exe');
QuarantineFile('c:\documents and settings\Настя\application data\cppredistx86.exe','');
DeleteFile('c:\documents and settings\Настя\application data\cppredistx86.exe','32');
DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Логи готовы. Карантин отправлен.
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Лог полного сканирования MBAM.
[QUOTE]C:\Documents and Settings\Настя\Local Settings\Temp\3E.tmp
C:\Documents and Settings\Настя\Local Settings\Temp\5.tmp[/QUOTE]заархивируйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
После этого поместите в карантин МВАМ только
[CODE]Ключи реестра: 1
Backdoor.Bifrose, HKLM\SOFTWARE\System32, , [17814fa5dcadfe38be5cba86b450df21],
Файлы: 9
PUP.Optional.BitcoinMiner, C:\Documents and Settings\???°N?N?N?\Application Data\nscrypt\engine2.exe, , [5048668ea3e6c076a7426a033acbd12f],
Trojan.FakeMS.ED, C:\Documents and Settings\???°N?N?N?\Local Settings\Temp\3E.tmp, , [9cfcee069decb18525be13f19d65b749],
Trojan.MSIL.ED, C:\Documents and Settings\???°N?N?N?\Local Settings\Temp\5.tmp, , [3761c331d7b20a2ccd4115f2808222d[/CODE]
Все сделал.
С расшифровкой не поможем
В папке Temp есть подозрительные файлы без расширения, созданные в то же самое время когда появились файлы README.txt (файлы в которых был текст указанный в начале темы), может в них есть что нибудь?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Так же в папке Temp есть скрытые файлы - etilqs_teBM6vIkcwxuZQU, etilqs_JYcyWnW3rZ4TbAZ.
Без понятия
А сейчас внешние диски, флешки другие устройства можно вставлять в пк или на них тоже все зашифруется. И как в дальнейшем не попасться на это "чудо вирус", который даже антивирус не видит?
[quote="Иван Наумов;1210338"]И как в дальнейшем не попасться на это "чудо вирус", который даже антивирус не видит?[/quote]Не открывать неизвестные вложения к электронным письмам
По логам плохого не видно
Как думаете компания DrWeb поможет, они вроде создают дешифраторы? Или без тела вируса все тщетно?
Не факт, что и они помогут
Сам шифровальщик был похоже в файле C:\Documents and Settings\Настя\Local Settings\Temp\3E.tmp
Теперь похоже только ждать когда выйдет универсальный дешифратор.
Но все равно большое спасибо за помощь, узнал много нового. Впредь буду все важные файлы на диски нарезать, там их вирусы точно не убьют.
Думаю, что универсального не будет. Но я не истина в последней инстанции
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\cpldapu\produkey.exe - [B]not-a-virus:PSWTool.Win32.ProductKey.aj[/B][*] \3e.tmp - [B]Trojan.Win32.Agent.amneb[/B] ( BitDefender: Gen:Trojan.Heur.WmKfX8pFVnec, AVAST4: Win32:Malware-gen )[*] \5.tmp - [B]Backdoor.Win32.Androm.fytb[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]