У меня зашифрованны все файлы трояном!

У меня беда.. Я пытался открыть небольшую программу скаченную с инета. Программа не открылась, а на следующий день все файлы, Word, zip архивы, jpg фото, все оказалось не доступно. Рядом с каждым испорченым файлом находится неизвестный однаименный файл с добавлением vscrypt.. Например:
300.jpg
300.jpg.vscrypt
И еще нашел папку vsworkdir на диске С с файлом CSCA1.DLL
Сканер от Доктора веба удалил и этот файл и некоторые в другие в system volume information с названием Trojan-Ransom.Win32.Encore.a
Пожалуйста скажите что мне делать!! :(

Почитайте этот топик: [url]http://virusinfo.info/showthread.php?t=36429[/url]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\DOCUME~1\27BB~1\LOCALS~1\Temp\svchost.exe','');
QuarantineFile('D:\autorun.inf','');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\DOCUME~1\27BB~1\LOCALS~1\Temp\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Файл dll был стерт доктором вэбом но он у меня есть на почте.. Его тоже прикрепить?!

[QUOTE=Zef77;420148]Файл dll был стерт доктором вэбом но он у меня есть на почте.. Его тоже прикрепить?![/QUOTE]Куда прикрепить? :O Читайте правила [I]Приложение 3. Как прислать запрошенные файлы[/I]..

[QUOTE=Rene-gad;420187]Куда прикрепить? :O Читайте правила [I]Приложение 3. Как прислать запрошенные файлы[/I]..[/QUOTE]
Простите я просто не понял... :) надо прикрепить только лог файлы??

[QUOTE=Zef77;420188]надо прикрепить только лог файлы??[/QUOTE]Читайте Правила, раздел Диагностика ... 8)

[QUOTE=Rene-gad;420191]Читайте Правила, раздел Диагностика ... 8)[/QUOTE]
Сделал что вы просили, нажал вверху темы "Прислать запрошенный карантин" , сделал обзор, прикрепил один файл, потом повторно повторил операцию со всеми остальными лог файлами.. Я все сделал правильно? :(

Логи сюда надо. Как вначале.

[QUOTE=pig;421375]Логи сюда надо. Как вначале.[/QUOTE]
Простите а как это сделать, надо же наверное старые логи удалить из темы??

[QUOTE=Zef77;421404]надо же наверное старые логи удалить из темы??[/QUOTE]В принципе нужно сохранять все прикрепленные логи как минимум до окончания лечения. Удалять старые приходится в случае достижения предела загрузки. Но у Вас еще есть место. [I]Новые[/I] логи нужно прикрепить к [I]новому[/I] сообщению.

[COLOR="Red"]moderated:::повторное описание проблемы удалено, т.к. является точной копией сообщения #1.[/COLOR]

[QUOTE=Rene-gad;421409]В принципе нужно сохранять все прикрепленные логи как минимум до окончания лечения. Удалять старые приходится в случае достижения предела загрузки. Но у Вас еще есть место. [I]Новые[/I] логи нужно прикрепить к [I]новому[/I] сообщению.[/QUOTE]
Простите, я перепутал "новое сообщение" с новой темой.. :( Чес слово я не нарочно...

[QUOTE=Rene-gad;420130]Почитайте этот топик: [url]http://virusinfo.info/showthread.php?t=36429[/url][/QUOTE]Где тут написано: [I]Пожалуйтесь на Ваш вирус еще в этом топике[/I]? Вы по ссылке в сообщении pig сходили? Тулзу хоть одну от Др. Веб попробовали?
[QUOTE=Rene-gad;420130]- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL][/QUOTE] - Пальцем не пошевелили, чтобы это сделать.

Сорри, но
[QUOTE]Если Вы не понимаете, что Вас просят сделать, то в этом случае Вам лучше обратиться к специалистам ближайшей компьютерной фирмы. Если Вы отказываетесь выполнять указания хелперов, или делаете все по-своему, не удивляйтесь тому, что Ваша тема может быть закрыта.[/QUOTE]

[FONT=Verdana]Нет, я все сделал как было описано.. Удалил этот бонжур, выполнил скрипт, посификал в [/FONT][COLOR=black][FONT=&quot][FONT=Verdana]HijackThis, все все что было написанно вами все делал! [/FONT]
[/FONT][/COLOR]

Пробовал
te19decrypt он у меня не запускается.
te34decrypt
te37decrypt
te38decrypt
Эти работают но ни чего не дешефровали..
te39decrypt так же не помог..

[QUOTE=Zef77;422485]
Эти работают но ни чего не дешефровали..
te39decrypt так же не помог..[/QUOTE]Пошлите пару Ваших криптованных файлов к Др. Веб: [url]http://vms.drweb.com/sendvirus/[/url] . Может они чего-то придумают.

Bonjour присутствует в логах как служба. Ладно, сейчас оставьте его в покое. Важнее вылечить файлы.

[QUOTE=Rene-gad;422627]Пошлите пару Ваших криптованных файлов к Др. Веб: [URL]http://vms.drweb.com/sendvirus/[/URL] . Может они чего-то придумают.

Bonjour присутствует в логах как служба. Ладно, сейчас оставьте его в покое. Важнее вылечить файлы.[/QUOTE]

Странно но службу Bonjourя остоновил в командной строке, там же удалил ее, скачал утилиту и удалил нужный файл в ней а после перезагрузки и саму папку.. В програмс файл этой папки уже нет.. :unknw:
Доктору Вэбу я файлы отправил, спасибо большое за помощь!
:thank_you2:

[QUOTE=Zef77;422678]Странно но службу Bonjour я остоновил в командной строке
[/QUOTE]Там скрипт есть, его нужно было бы выполнить... 8)

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\DOCUME~1\27BB~1\LOCALS~1\Temp\svchost.exe','');
QuarantineFile('D:\autorun.inf','');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\DOCUME~1\27BB~1\LOCALS~1\Temp\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.

Этот скрипт??

[QUOTE=Zef77;422752]begin
SearchRootkit(true, true);
........
BC_Activate;
RebootWindows(true);
end.

Этот скрипт??[/QUOTE]Нет, в статье про Bonjour есть скрипт, удаляющий эту никчемную службу.

С службы Доктор Вэб получил два письма, в одном благодарность за сотрудничество в другом рекомендация использования te38decrypt.. У меня такая утилита была, но та что мне рекомендовали большего размера.. Она заработала, но файлы не расшифровала а только рядом с зашифрованными файлами появились дубликаты с таким же именем и не опознанные, и такого же размера.. Файлы не открываются а комп засорен... Что делать с этими файлами которые образовались после утилиты, можно их стереть, или их надо как то открыть???

[QUOTE=Zef77;422846]Файлы не открываются а комп засорен... [/QUOTE]Сообщите об этом Др.Веб, используйте последнюю переписку для ответа. Мы Вам уже тут не помощники. Если хотите - можете нас проинформировать о результатах - позитивных или негативных - по окончании процесса.

[QUOTE=Rene-gad;422849]Сообщите об этом Др.Веб, используйте последнюю переписку для ответа. Мы Вам уже тут не помощники. Если хотите - можете нас проинформировать о результатах - позитивных или негативных - по окончании процесса.[/QUOTE]
Ок... Спасибо большое, так и сделаю.. :thank_you2:

Значиться так... Я написал в службу Доктора Вэба, и мне пришло письмо.. Я на него ответил вопросом, на что мне прислали еще одно письмо.. Вот наша переписка:

Уважаемый г-н Мартынов, я получил от службы вирусного мониторинга ООО "Доктор Веб" письмо с рекомендацией использования для дешефровки моих поврежденных вирусом Trojan-Ransom.Win32.Encore.a файлов, утилиту te38decrypt. Утилита обработала зашифрованные файлы но они не открываются все равно.. А рядом с зашифрованными файлами появились новые файлы от работы утилиты te38decrypt.. Подскажите что мне делать с ними, так как они заполнили часть памяти моего компа, можно ли их стереть или нужно проделать какие то иные операции??

[I]Утилита не изменяет существующие файлы. Это сделано на тот случай, если
злоумышленник изменит алгоритм шифрования. Утилита пытается записать
расшифрованный файл с оригинальным именем, а если он уже есть - создать
файл с именем original.jpg(0). Если вы говорите, что у вас остались
файлы с оригинальными именами, то утилита будет сохранять расшифрованные
файлы с именами, имеющими номер в конце. Именно там и нужно искать
расшифрованные данные.[/I]

Простите великодушно, но что мне дальше делать с этими файлами?? И с теми что создала утилита, и с теми что с окончанием vscrypt, ну и конечно с моими то?!

[I]У файлов с числом в расширении вы можете восстановить нормальное расширение и проверить как файлы расшифровались.[/I]

Простите еще раз, а как это сделать.. Буду, очень, очень благодарен если поможет!!

[I]Каким-нибудь файловым менеджером типа FAR. А лучше обратитесь к вашему
системному администратору.[/I]


Теперь вопрос от меня всем, он явно глупый конечно.. А что такое FAR менеджер, и как им обработать мои файлы??!!

[URL="http://lmgtfy.ru/?q=%D1%87%D1%82%D0%BE+%D1%82%D0%B0%D0%BA%D0%BE%D0%B5+FAR+%D0%BC%D0%B5%D0%BD%D0%B5%D0%B4%D0%B6%D0%B5%D1%80"]что такое FAR менеджер[/URL]
Тяжкое наследие МС-ДОС - расширение файла.
Файл [I]picture.jpg[/I] - д.б. картинка, файл [I]picture.exe[/I] - программа.
Т.е. если у Вас чистилка Веба создала файл [I]picture.любоерасширение[/I], а Вы знаете, что оригинальный файл носил имя [I]picture.jpg[/I], то Вы должны переименовать файл [I]picture.любоерасширение[/I] в [I]picture.jpg[/I]. Если тулза его вылечила, то он должен после лечения открыться напр. Paint ом.
Почему ФАР? По умолчанию в Проводнике не включен показ расширений известных типов файлов, если у Вас так и осталось, то при переименовании возможны ошибки.
В ФАР все расширения видны по умолчанию.

[QUOTE=Rene-gad;423275][URL="http://lmgtfy.ru/?q=%D1%87%D1%82%D0%BE+%D1%82%D0%B0%D0%BA%D0%BE%D0%B5+FAR+%D0%BC%D0%B5%D0%BD%D0%B5%D0%B4%D0%B6%D0%B5%D1%80"]что такое FAR менеджер[/URL][/QUOTE]

:D Спасибо

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 44 минуты[/I][/B][/color][/size]

Ураааааааааааааааааааааааааааааааааааааааааааааааааа!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
пробовал сейчас с фото и все получилось!!!!! Всем, Всем, Всем Огромное спасибо!!!! Ваш должник Навеки!!!!

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

:clapping::beer::clapping::beer::clapping::094::094::094::kiss3::kiss3::yess::yess::yess::yess: