Win32/Filecoder.NFY инфицировал компьютер и закодировал (заблокировал) все файлы и программы.

Здравствуйте! Сегодня случайно загрузил неизвестный файл doc45501.scr, через некоторое время заблокировались все файлы и программы (кроме антивируса), в том числе браузер. Сканировал антивирусом Nod 32, выдал такое сообщение: 06.03.2016 10:37:59 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\Игорь\AppData\Local\Temp\Rar$DI00.777\doc45501.scr модифицированный Win32/Filecoder.NFY троянская программа Ошибка при удаление 4130A4E77628415116AE21D8BF72A668DE5E12D6
Попробовал удалить вручную файл doc45501.scr, не удалился, попробовал удалить с помощью программы Unlocker. Сразу не удалил, но после перезагрузки похоже удалил, этот файл исчез и антивирус его больше не находил.
Утилиты [B][URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPTool[/URL][/B][COLOR=#555555][FONT=Arial][B] от "Лаборатория Касперского" и [/B][/FONT][/COLOR][B][URL="http://www.freedrweb.com/cureit/?lng=ru"]Dr.Web CureIt![/URL][/B][COLOR=#555555][FONT=Arial][B] от «Доктор Веб» [/B][/FONT][/COLOR]ничего не обнаруживали ни до ни после.

На рабочем столе появился документ с названием: How to decrypt your files и текстом внутри: To decrypt the email [EMAIL="[email protected]"][email protected][/EMAIL] or [EMAIL="[email protected]"][email protected][/EMAIL].

Скачал [B][URL="http://z-oleg.com/avz4.zip"]Антивирусная утилита AVZ[/URL] и [/B][B][URL="http://sourceforge.net/projects/hjt/"]Утилита HiJackThis[/URL] и сделал то, что было написано в инструкции.
[/B]
Нужна Ваша помощь! Спасибо.

Уважаемый(ая) [B]Игорь46[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[QUOTE=mike 1;1364179]
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR=Blue]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].[/QUOTE]

Сделал!

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку "[B]Очистить[/B]" ("[B]Clean[/B]") и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[QUOTE=mike 1;1364224][LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку "[B]Очистить[/B]" ("[B]Clean[/B]") и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].[/QUOTE]

При включении компьютера антивирус обнаружил угрозу Win32/Injector.CTTT. После того, как я сделал то, что было сказано, антивирус ничего не обнаружил после перезагрузки.

Документы по-прежнему не открываются.

Какие действия будут далее?

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Сделал!

Второй лог не нужен?

Я выбрал для 64-битной системы. Или я что-то не понял?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Все, понял, прикрепил 2 лога!

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list=1][*][URL="https://clck.ru/9knjD"][B]Временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
zip:C:\Windows\SysWOW64\doc45501.scr;C:\Windows\SysWOW64\123456789.scr
HKLM\...\Run: [doc45501] => C:\Windows\System32\doc45501.scr
HKLM\...\Run: [123456789] => C:\Windows\System32\123456789.scr
HKLM-x32\...\Run: [gmsd_ru_159] => [X]
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3816596655-3686205054-728276804-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR Extension: (No Name) - C:\Users\Игорь\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2016-01-23]
2016-03-06 15:46 - 2016-03-06 15:46 - 00000000 _____ C:\Windows\SysWOW64\doc45501.scr
2016-03-06 15:46 - 2016-03-06 15:46 - 00000000 _____ C:\Windows\SysWOW64\123456789.scr
Task: C:\Windows\Tasks\CYVZOFB.job => C:\Users\�����\AppData\Roaming\CYVZOFB.exe <==== ATTENTION
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[*][B][COLOR="Blue"]Внимание![/COLOR][/B] Если на рабочем столе будет создан архив [b]upload.zip[/b], то загрузите этот архив через [url=http://virusinfo.info/upload_virus.php?tid=37678]данную форму[/url][/list]

Все сделал. Прикрепил лог и архив upload.zip загрузил, как было сказано.

Жду дальнейших указаний.

Антивирус надо было выключить перед выполнением скрипта.

С расшифровкой не поможем.

Вируса в системе больше нет? Что посоветуете?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

На этом лечение окончено? Вируса в системе больше нет? Что посоветуете?

[QUOTE]Вируса в системе больше нет?[/QUOTE]
Нет.

[QUOTE]Что посоветуете?[/QUOTE]
Попробовать обратиться в техподдержку Лаборатории Касперского. Инструкцию по созданию запроса найдете здесь [url]https://forum.kaspersky.com/index.php?showtopic=337288[/url]

[QUOTE]На этом лечение окончено?[/QUOTE]
Да.

Спасибо!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Посоветуйте, пожалуйста, к кому еще можно обратиться! В техподдержке Лаборатории Касперского требуется лицензия!

[QUOTE]Посоветуйте, пожалуйста, к кому еще можно обратиться! В техподдержке Лаборатории Касперского требуется лицензия![/QUOTE]
Ну это ваша проблема собственно. В любой антивирусной лаборатории от вас потребуют лицензию.

Это изначально было моей проблемой. И, к сожалению, остается. Может быть есть специалисты, которые оказывают помощь в решении таких проблем, помимо антивирусных лабораторий?

Заархивируйте прямо на пострадавшем компьютере несколько файлов популярных форматов (документы MS Office, картинки), выложите на Яндекс диск и пришлите ссылку

[QUOTE=thyrex;1364798]Заархивируйте прямо на пострадавшем компьютере несколько файлов популярных форматов (документы MS Office, картинки), выложите на Яндекс диск и пришлите ссылку[/QUOTE]

Заархивировать на пострадавшем компьютере нет возможности! Ссылка на файлы: [url]https://yadi.sk/d/GG-UQnigpzCXA[/url]

Когда появится возможность заархивировать на пострадавшем, тогда их и выложите

Дело в том, что файлы не архивируются на пострадавшем компьютере. Только если попробовать заново установить программу для архивирования? Подскажите, пожалуйста, что делать!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А выложил в том виде, в каком они есть на пострадавшем компьютере.

Если я говорю, что архивировать нужно на пострадавшей машине, значит это важно

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
zip: C:\Users\Игорь\Desktop\ОТКРЫТЫЙ УРОК[email protected];C:\Users\Игорь\Desktop\[email protected];C:\Users\Игорь\Desktop\[email protected];:\Users\Игорь\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrе[email protected]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]Архив, который появится на Рабочем столе, выложите на Яндекс диск и пришлите

Я же не спорю, дорогой хелпер!
Все сделал!
Ссылка на архив: [url]https://yadi.sk/d/5YDdMZFmpzGvQ[/url]

Ожидайте

Жду с большой надеждой!

В общем нужно найти самые первые зашифрованные файлы (думаю с десяток будет достаточно), заархивировать их на пострадавшей машине и прислать

Подскажите, пожалуйста, как заархивировать файлы на пострадавшем компьютере, если на нем не работают программы?
Самыми первыми зашифрованными файлами оказались системные файлы на диске С.

Тогда найдите простым поиском все шифрованные файлы, отсортируйте их по времени и пришлите полный путь к ним, чтобы можно было составить скрипт для Farbar

Указал название первых 10 зашифрованных файлов и пути к ним:

[email][email protected][/email] C:\AMD\AMD-Catalyst-15.7-Without-DOTNet45-Win7-64bit\Bin64
[email][email protected][/email] C:\AMD\AMD-Catalyst-15.7-Without-DOTNet45-Win7-64bit\Bin64
[email][email protected][/email] G:\Crysis 3\Bin32\Core
[email][email protected][/email] C:\AMD\AMD-Catalyst-15.7-Without-DOTNet45-Win7-64bit\Bin64
[email][email protected][/email] G:\Crysis 3\Bin32\Core
[email][email protected][/email] G:\Crysis 3\Bin32\Core
[email][email protected][/email] G:\Crysis 3\Bin32\Core
[email][email protected][/email] G:\Crysis 3\Bin32\Core\codecs
[email][email protected][/email] G:\Crysis 3\Bin32\Core
[email][email protected][/email] G:\Crysis 3\Bin32\Core

Если верить поиску, то первыми зашифровались пару файлов на диске С, затем файлы в одной папке на диске G, после чего шифровались файлы на С изредка проскакивали на G, а потом наоборот.

Хм, интересно. А файл, который запустили, пришел по почте?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
zip: C:\AMD\AMD-Catalyst-15.7-Without-DOTNet45-Win7-64bit\Bin64\[email protected];C:\AMD\AMD-Catalyst-15.7-Without-DOTNet45-Win7-64bit\Bin64\[email protected];C:\AMD\AMD-Catalyst-15.7-Without-DOTNet45-Win7-64bit\Bin64\[email protected];G:\Crysis 3\Bin32\Core\[email protected]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]Архив, который появится на Рабочем столе, выложите на Яндекс диск и пришлите

Да, по почте. Если хотите, могу переслать сообщение или ссылку для скачивания файла-вируса!

Кстати, если нажать правой кнопкой на файл и нажать свойства, то у небольших по размеру файлов время создания и изменения совпадают, а у больших, например, видео, отличаются от нескольких секунд до минут.

Все сделал. Ссылка: [url]https://yadi.sk/d/5YDdMZFmpzGvQ[/url]

И, если нужно, могу попробовать найти одни и те же файлы до зашифровки и после.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Кстати, файлы шифровались по алфавиту!

[quote="Игорь46;1365168"]ссылку для скачивания файла-вируса![/quote]Да, это мне в ЛС

Отправил!

Получили ссылку?

Да. Пока ничего не получается

Мне остается только надеяться на Вас. Писать мошенникам не буду.