Шифровщик win.rar под паролем [Trojan-Ransom.Win32.Mor.bn ]

Здравствуйте, помогите, пожалуйста! Пришел файл по почте от "истца" (есть сохраненная версия вируса). на следующий день заметил появление запароленых архивов и файлов "!!!восстановлениеИмя_пользователя" без расширения, при открытии в блокноте представляется следующий текст:

-----BEGIN PGP MESSAGE-----
Version: 2.6.3i


hIwDwhS6S7R6WskBBAC/WuHQ2eiNOakldyRJ5Qhju5qOPQEbTG7zzdFgpMwmkY9W
vYPUmMeyuwElcezlo9PFC2LHRpGEFZShyFiLBHWNa7UXSFqmpfh7C6GoJSWP2Jbw
hAg70qsqAK+nmLLNsfNwpQckaQYTR29hkhMhGF/1XVYaZdAOyqs/3SovRxo466YA
AABPq/NdTjfBvFQm6Wc46kEIVMJr1gcmdW4NdiUekOqXg1G5RJIXMClUutMTe8wg
tTJJmGmCAw6A8RssRmjzZV/UBJBZ0TmZ4NylaE7rOjWE7w==
=7ahz
-----END PGP MESSAGE-----
Файлы заархивированы и на архивы установлен пароль. Стоимость пароля - десять тысяч рублей.
Отправьте один заархивированный файл небольшого размера и файл который сейчас читаете.
В течение 1-24 часов в ответном письме придет оригинальный файл (доказательство, что у нас есть пароль)
и инструкция оплаты. После оплаты придет пароль на архивы и программа (по желанию), которая разаархивирует
все данные. qopperry @ gmail . com

______
а в архиве папка Users/Имя_пользователя/Desktop и мой файл с еще одним созданным "fake.777" размером 0 байт

Судя по всему архивы созданы только на рабочем столе, а вот в других разделах висят только файлы "!!!восстановлениеИмя_пользователя" и "fake.777", запароленых архивов при этом нет.

Уважаемый(ая) [B]Фёдр Молчанов[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]Check Browsers' LNK[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]Check Browsers LNK.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы в папке [b]Log[/b] будет сохранен отчет [b]Check_Browsers_LNK.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

Не могу найти как прикрепить файлы к письму(

[url]https://cloud.mail.ru/public/7vVx/cgs5ZE3jz[/url] - на маил диск положил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

могу выслать сам вирус и то, что он натворил, может это хоть как-нибудь поможет расшифровать, что-то в сети пишут, что это не реально... Если эта услуга у Вас платная - я готов обсудить. Сейчас мне необходимо отойти мой viber, whatsapp для скорейшего решения вопроса (

[url]http://virusinfo.info/showthread.php?t=121951[/url]

не понял Вас

По ссылке перейти уже не можем? Лень матушка?

АААА, не увидел))) сорри, прикрепляю.

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку "[B]Очистить[/B]" ("[B]Clean[/B]") и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Вот. прикладываю, оба скан лог и лог после очистки. А есть возможность вскрыть пароли от архивов. Ведь сам вирус есть, нельзя понять что он прописывает в пассе?

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Прикрепляю

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [baidusdTray] => "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe" -stmd=3
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => No File
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => No File
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => No File
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => No File
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-3974399242-2614164931-1217500211-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\2.1.0.3086\explugin\npBaiduSDDetectPlug.dll [No File]
CHR Extension: (Стартовая — Яндекс) - C:\Users\Бобер\AppData\Local\Google\Chrome\User Data\Default\Extensions\gehngeifmelphpllncobkmimphfkckne [2015-11-04]
CHR Extension: (Стартовая — Яндекс) - C:\Users\Бобер\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2015-10-06]
S1 bd0001; system32\DRIVERS\bd0001.sys [X]
S1 bd0002; system32\DRIVERS\bd0002.sys [X]
S1 BDEnhanceBoost; system32\DRIVERS\BDEnhanceBoost.sys [X]
Folder: C:\temp
Folder: C:\1C
Folder: C:\123
Task: {4CD8D966-C679-4E84-BB43-500A50CB40C1} - \Обновление Браузера Яндекс -> No File <==== ATTENTION
FirewallRules: [{8DA73C86-E860-4ACE-80CD-BCB73DC75CDF}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{B2784073-B03B-4A9F-A2CB-EE8C8045BABC}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{77FC6F17-0050-4EF5-B996-E77A09FDDD8C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{7D9C0B88-0069-410E-A421-D6E14DE0A60A}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{4D027A54-B9E3-49C0-9A36-4F1F3C22DE01}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{DB19C51D-7866-455A-AB28-833C0CBC23A3}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{19847B32-56DB-4D05-A0DF-5A3CE4C30FBB}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{03E099EA-CC65-4DF7-91C9-269FCB5B6F3B}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{C4257CEA-BF28-4FF0-9A5F-8C7F233737CF}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{B4C2A7A0-A43F-4A13-8712-509CA9C6C5A9}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{476CBC91-98A4-419F-8DB6-E882387337F3}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{44DA893C-1FA7-46C4-BE58-C19117B5DB48}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{1046192F-063D-4129-B77F-361CF35898ED}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{F0A6FABB-7709-413D-B254-5FC87DEF65A8}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{03996B63-35EE-440F-94FF-E0CFC52F734B}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{A8834FE2-3AC2-4D63-A2FF-A71C4254B754}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{692D5AF2-BC3A-47F3-94FA-51D443DB0F11}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{3A370FAB-3EAB-4503-BE74-F8813E0BC410}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{7924C5C3-A008-4805-B0DB-B4FB21AE9598}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{AF2782E2-FECA-47B2-B5E0-EBC3B8178EA5}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{59755F60-9116-4204-9B0B-B709BB4BCA56}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{A2C47F17-8398-47EC-A5A4-B0466B277578}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{4EDB4E22-2557-4FE8-BD27-6BBC42B0C7B9}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{5DAD7991-24CB-4CA1-8772-92B4D6F27BC0}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{DC761B72-40AF-4B07-94F1-AEC48788B881}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Вот, пожалуйста.

Отправил вирус в dr.web/ вот что ответили

Ваш запрос был проанализирован. Соответствующая запись добавлена в вирусную базу Dr.Web и будет доступна при следующем обновлении.
Угроза: Trojan.Encoder.2877

[QUOTE]C:\123[/QUOTE]
Пришлите всю папку согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

вчера было отправлено.

1. не обратил сразу внимание, при открытии win.rar начало появляться вот такое окно, это может быть совпадение, а может и нет. (безымянный1)

и Антивирус касперского начал определять вирус название в приложенном файле. (безымянный)

Папку с:/123 никто не помнит создавал ли ее кто-нибудь.

Спасибо Вам огромное. Жду ответа.

С разархивированием не поможем

с папкой с:/123 что-то делать?

[COLOR=silver]- - - - -Добавлено - - - - -[/COLOR]

[COLOR=#4A89BB][FONT=Arial][COLOR=blue][B][URL="http://virusinfo.info/member.php?u=52290"]thyrex[/URL], [/B][/COLOR][/FONT][/COLOR]не представляете насколько жалко((

Значит, покупайте какую-нибудь программу для перебора паролей, например, Elcomsoft Advanced Password Recovery, и приступайте к их перебору

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \123\moar.exe - [B]Trojan-Ransom.Win32.Mor.bn[/B] ( BitDefender: Gen:Variant.Kazy.75378 )[*] \123\p.bat - [B]Trojan-Ransom.Win32.Mor.bn[/B][/LIST][/LIST]