Вирус зашифровал файлы расширение [email protected]_onXhmI

Printable View

02.02.2015, 21:49
Владимир Быстров

Вложений: 2

Вирус зашифровал файлы расширение [email protected]_onXhmI

[h=3]Все ваши файлы зашифрованы![/h][B][COLOR=grey]Все ваши документы, фотографии, базы данных и другие файлы были зашифрованы криптостойким алгоритмом с уникальным для вашего ПК ключом.
Расшифровать файлы можно только имея уникальный пароль для вашего ПК, другими способами расшифровать файлы невозможно![/COLOR][/B]
[COLOR=#000000][FONT=Times New Roman]Стоимость дешифратора 4000 рублей, оплата производится при помощи QIWI ваучеров.[/FONT][/COLOR]
[COLOR=#000000][FONT=Times New Roman]Как оплатить:[/FONT][/COLOR]
[B]1. Если у вас нет QIWI кошелька, необходимо зарегистрировать его по ссылке - [URL]https://qiwi.ru/register/form.action[/URL] (видео о том как зарегистрировать кошелек - [URL]http://www.youtube.com/watch?v=LFgeqTrTUL4[/URL])
[B]2. Пополнить ваш QIWI кошелек на 4000 рублей (Способы пополнения кошелька - [URL]https://qiwi.ru/replenish.action[/URL])
[B]3. Выпустить QIWI ваучер на сумму 4000 рублей по ссылке - [URL]https://qiwi.ru/transfer/eggs/buy.action[/URL] (видео о том как выпустить QIWI ваучер - [URL]http://www.youtube.com/watch?v=tEqvBK-LbTk[/URL])
[B]4. Прислать нам на email сообщение с темой "Дешифратор для ID:487629F1___oopp" и номером QIWI ваучера.
[B]5. В течение некоторого времени (до 12 часов) вы получите ответное письмо с сылкой для скачивания дешифратора и ключ для расшифровки ваших файлов. Также можете указать ваш номер мобильного телефона и мы вышлем смс сообщение о том, что дешифратор отправлен.

[B][COLOR=green]ЕСЛИ ВЫ ХОТИТЕ УБЕДИТСЯ В ТОМ, ЧТО ДЕШИФРАТОР ДЛЯ ВАШИХ ФАЙЛОВ У НАС ДЕЙСТВИТЕЛЬНО ЕСТЬ МОЖЕТЕ ПРИСЛАТЬ КАКОЙ-НИБУДЬ ЗАШИФРОВАННЫЙ ФАЙЛ НАМ НА EMAIL И МЫ ВЕРНЕМ ЕГО ОРИГИНАЛ[/COLOR]

Email для связи с нами - [EMAIL="[email protected]"][email protected][/EMAIL][/B][/B][/B][/B][/B][/B]
02.02.2015, 21:50
Info_bot

Уважаемый(ая) [B]Владимир Быстров[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
02.02.2015, 22:52
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\OOPP\AppData\Local\Microsoft\Extensions\extsetup.exe','');
QuarantineFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe','');
QuarantineFile('C:\Users\OOPP\AppData\Roaming\PRICEM~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Program Files\V-bates\PrefHelper.exe','');
QuarantineFile('C:\Users\OOPP\AppData\Local\41\a18467.exe','');
DelBHO('{7CE987D5-11B3-44FC-9C3D-03069360D462}');
DelBHO('{1FE48F08-A2AC-44AC-A21C-0556D91C50DA}');
QuarantineFile('C:\Program Files (x86)\advPlugin\Toolbar32.dll','');
QuarantineFile('C:\Users\OOPP\AppData\Roaming\eTranslator\eTranslator.exe','');
QuarantineFile('C:\Users\OOPP\AppData\Local\PriceMeter\pricemeterw.exe','');
QuarantineFile('C:\Users\OOPP\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','');
QuarantineFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32');
DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe','32');
DeleteFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','32');
DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32');
DeleteFile('C:\Users\OOPP\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
DeleteFile('C:\Users\OOPP\AppData\Local\PriceMeter\pricemeterw.exe','32');
DeleteFile('C:\Users\OOPP\AppData\Local\Temp\_uninst_57510061.bat','32');
DeleteFile('C:\Users\OOPP\AppData\Roaming\eTranslator\eTranslator.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PriceMeterW');
DeleteFile('C:\Program Files (x86)\advPlugin\Toolbar32.dll','32');
DeleteFile('C:\Users\OOPP\AppData\Local\41\a18467.exe','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Program Files\V-bates\PrefHelper.exe','32');
DeleteFile('C:\Windows\Tasks\FF Watcher {ACD79FB3-6F01-455E-AB85-A53E8E82A83A}.job','64');
DeleteFile('C:\Users\OOPP\AppData\Roaming\PRICEM~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\Tasks\Price Meter Updater.job','64');
DeleteFile('C:\Windows\Tasks\PriceMeterUpdater.job','64');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Users\OOPP\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
DeleteFile('C:\Windows\system32\Tasks\extsetup','64');
DeleteFile('C:\Windows\system32\Tasks\FF Watcher {ACD79FB3-6F01-455E-AB85-A53E8E82A83A}','64');
DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','64');
DeleteFile('C:\Windows\system32\Tasks\Price Meter Updater','64');
DeleteFile('C:\Windows\system32\Tasks\PriceMeterUpdater','64');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=599dd9533f4778ce7dd4e4df90ff282b&text={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1397719398&from=cor&uid=WDCXWD7500BPVT-22HXZT3_WD-WX41E72UH244UH244&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1397719398&from=cor&uid=WDCXWD7500BPVT-22HXZT3_WD-WX41E72UH244UH244&q={searchTerms}
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=599dd9533f4778ce7dd4e4df90ff282b&text=[/CODE]

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
03.02.2015, 10:54
Владимир Быстров

подскажите как должен называться файл? который должен прислать в карантин
03.02.2015, 19:45
thyrex

Приложение 2 правил читайте - Вы сами должны отметить файлы для карантина после скрипта
03.02.2015, 21:03
Владимир Быстров

правила не открываются

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

а вы карантин не смотрели? знать хотя бы то отослал?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

как мне с вами можно связаться?я платно хочу помощь получить)))

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

сделал все как в инструкции профиксил R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=599dd9533f4778ce7dd4e4df90ff282b&text={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1397719398&from=cor&uid=WDCXWD7500BPVT-22HXZT3_WD-WX41E72UH244UH244&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1397719398&from=cor&uid=WDCXWD7500BPVT-22HXZT3_WD-WX41E72UH244UH244&q={searchTerms}
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=599dd9533f4778ce7dd4e4df90ff282b&text=
а он ни чего мне не выдал и теперь этих строк нет и чего же делать?
03.02.2015, 21:41
thyrex

Вы прислали автокарантин. А я просил карантин после скрипта

[quote="Владимир Быстров;1224269"]а он ни чего мне не выдал и теперь этих строк нет[/quote]так и должно быть :)

Ждем новые логи
03.02.2015, 22:18
Владимир Быстров

уже легче, сканирование МВАМ делаю, но где же мне найти для карантина папку? может она как то должна называться? или может заново сделать скрипт AVZ? и где же лог или как он называется в HiJack?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

и про оплату вы мне не подсказали:)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

там вроде промо кода вашего что то надо, да?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

а вам нужны зараженные файлы? у меня еще может письмо это с вирусом сохранилось на почте если надо?
03.02.2015, 23:30
thyrex

[quote="Владимир Быстров;1224321"]где же мне найти для карантина папку?[/quote]Пойдем другим путем

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] отправьте по красной ссылке

Да и новые логи по правилам давно пора было сделать

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="Владимир Быстров;1224269"]я платно хочу помощь получить)))[/quote]По расшифровке?
04.02.2015, 00:29
Владимир Быстров

Вложений: 5

да,по расшифровке, ну и если еще где надо!!!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

сейчас буду пробовать

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

ВСЕ что нашел на компе

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

насчет карантина: я сделал скрипт, а он пишет что данный файл был загружен, и чего делать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

и вот еще какая то штука?
а может карантин переименовать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

если что то надо пишите, я правда в это теме совсем ни бум бум!!:O
04.02.2015, 16:33
thyrex

Поместите в карантин МВАМ все, [B]кроме[/B]
[CODE]Malware.Gen, C:\Program Files (x86)\proDAD\Heroglyph-2.5\keygen.exe, , [2928a65152374aec3429a2d91ce46d93],
CrackTool.Agent, C:\Users\OOPP\Desktop\??N???????\AVS-Video-Editor-6.4.1.240-key\avs4you.all.products.activator.v1.3b-MPT.exe, , [b69bf403bccdf244ea86d47119e8f907],
CrackTool.Agent, C:\Users\OOPP\Desktop\??N???????\???????╡?? N?????N???N?\avs4you.all.products.activator.v1.3b-MPT.exe, , [2829f2052c5d13233c34380d48b99967],
PUP.RiskwareTool.CK, C:\Users\OOPP\Desktop\?а?╡???░??N???N?N? ???▒N?N??╡?????╡\Adobe After Effects CS6 11.0.2.12\???╡???░N?N?N????░\amtlib.dll, , [ff5216e1197079bd3ba5880eb15133cd],
PUP.Keygen.Intro, C:\Users\OOPP\Desktop\?а?╡???░??N???N?N? ???▒N?N??╡?????╡\Adobe After Effects CS6 11.0.2.12\???╡???░N?N?N????░\Keygen\keygen-CORE\CORE10k.EXE, , [88c9e215f891f3437e491f2c36cf5ca4], [/CODE]
05.02.2015, 10:32
Владимир Быстров

Вложений: 1

как это сделать?:O:O:O

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

это на всякий пожарный, попробую в карантин отправить

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

минус в том, что у меня нет зиповского архиватора, качаю. но походу это надолго! завтра буду пробовать!!!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

есть, закинул!!!!
05.02.2015, 11:37
mike 1

Письмо через которого поймали шифратора сохранилось?
05.02.2015, 16:56
Владимир Быстров

да!!!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

его куда нибудь скинуть?
05.02.2015, 22:09
mike 1

Сохраните письмо в eml формате, упакуйте в архив и прикрепите к сообщению.
05.02.2015, 22:48
Владимир Быстров

Короче он не сохраняется в архив, и не грузится в eml, что делать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

и ни в какой форме не хочет прикрепляться(((

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[COLOR="#FF0000"][/COLOR]ВНИМАНИЕ!!! ЭТО файл который был в письме БЕЗ ИЗМЕНЕНИЙ!!!
05.02.2015, 23:25
mike 1

Через что пытаетесь сохранить письмо?
06.02.2015, 00:15
Владимир Быстров

вроде получилось!
06.02.2015, 11:36
mike 1

[QUOTE=Владимир Быстров;1224853]как это сделать?:O:O:O

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

это на всякий пожарный, попробую в карантин отправить

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

минус в том, что у меня нет зиповского архиватора, качаю. но походу это надолго! завтра буду пробовать!!!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

есть, закинул!!!![/QUOTE]
Вас просили удалить все записи кроме указанных в 11 сообщении, а вы похоже сделали все с точностью наоборот.
06.02.2015, 17:09
Владимир Быстров

загрузил в карантин mbam 2й вариант, те строки которые в 11м сообщении
а что делать с файлами в сообщении 13 и 15, которые просили прикрепить, а вы их удалили? спасибо заранее!!!
06.02.2015, 17:21
mike 1

[QUOTE]а что делать с файлами в сообщении 13 и 15, которые просили прикрепить, а вы их удалили? [/QUOTE]
Я их уже скачал. Удалил потому что на форуме вообще нельзя выкладывать вредоносное ПО.
06.02.2015, 20:59
Владимир Быстров

а, ну теперь понятно!!!:)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А что теперь дальше?
07.02.2015, 11:53
mike 1

С расшифровкой не поможем.
07.02.2015, 18:59
Владимир Быстров

спасибо за попытку!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

а в будущем будет возможность? и кому нибудь получилось помочь?
07.02.2015, 20:36
thyrex

Это относительно новая версия вируса. Возможно, с течением времени что-то появится у DrWeb
09.02.2015, 08:43
Владимир Быстров

ясненько! спасибо!
09.02.2015, 08:53
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]117[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]