Рашифровка файлов [Trojan.Win32.Agent.anqpx ]

[Vlad-td]

лог сканеров
программа для ввода пароля к файлу.
Связка_2003_1с зашифрованный и оригинальный файл .

[Info_bot]

Уважаемый(ая) Vlad-td, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\syslog\sscvhost.exe');
 QuarantineFile('c:\syslog\sscvhost.exe','');
 DeleteFile('c:\syslog\sscvhost.exe','32');  
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Компьютер перезагрузите вручную. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

O4 - S-1-5-21-4272245877-4093441717-1141076178-1120 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term5')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1124 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term7')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1124 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term7')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1135 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term15')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1135 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term15')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1138 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term11')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1138 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term11')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1142 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term1')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1142 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term1')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1147 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term4')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1147 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term4')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1149 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term9')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1149 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term9')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1151 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term18')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1151 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term18')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1159 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term8')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1159 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term8')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1166 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term27')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1166 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term27')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1173 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Арбузов')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1173 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Арбузов')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1178 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term19')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1178 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term19')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1181 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term21')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1181 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term21')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1183 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term23')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1183 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term23')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1184 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term25')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1184 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term25')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1188 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'сплав-касса')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1188 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'сплав-касса')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1189 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'сплав-1этаж')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1189 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'сплав-1этаж')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1193 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term30')
O4 - S-1-5-21-4272245877-4093441717-1141076178-1193 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'term30')
O4 - S-1-5-21-4272245877-4093441717-1141076178-500 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Администратор')
O4 - S-1-5-21-4272245877-4093441717-1141076178-500 User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Администратор')
O4 - S-1-5-18 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'SYSTEM')
O4 - .DEFAULT Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Default user')
O4 - .DEFAULT User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Default user')
O4 - Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
O4 - Global Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt

Новые логи сделайте не через терминальную сессию. Смените пароли от RDP и всех учетных записей.

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

В следующем вашем ответе мне требуются следующие отчеты:

1. virusinfo_syscheck.zip

2. hijackthis.log

[Vlad-td]

файл карантина залил .
после выключения сервера не удалось попасть на него в безопасном режиме.
не так важно реанимировать сервер (переставить проблемно, но не кретично)
куда критичнее расшифровать файлы и базы 1с

[mike 1]

Прикрепленный файл расшифровался, но у нас расшифровка файлов с 1 ноября 2014 года идет отдельной услугой. Подробней здесь http://virusinfo.info/content.php?r=639-decoding. С файлами размер которых превышает 4 ГБ будут проблемы с расшифровкой.

[Vlad-td]

В общем вопрос решили. Платно. Через другую контору, те же 500 рублей только с нормальной оплатой с помощью карты.
Вы делаете правильное дело молодцы.
Только если решили делать их за небольшие деньги то не надо устраивать клиенту проблем с возможностью оплатой услуги. Ведь несложно подключить прямую оплаты с карты прямо на сайте. Палка в России не так распространена, как обычная карта сбербанка. И как следствие проще оплатить больше довольных клиентов.

[mike 1]

Раз проблема решена, то тогда отмечаю тему решенной.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. \sscvhost.exe - Trojan.Win32.Agent.anqpx ( BitDefender: Gen:Trojan.Heur.DP.dGW@aC20MYd, AVAST4: Win32:Malware-gen )