FileCoder.ED

[Kolyak]

Троян зашифровал всю инфу на компьюьере.
Подхватил скачав файл "Отчетность за период 25-11-2015 @noreply -fdp .exe"


На файлообменник выложил файлы: http://www.ex.ua/696386940558

1. link virus.txt - в текстовом файле ссылка на вирус, где был скачан. (Сейчас правда там ничего нет)
2. virusinfo_autoquarantine.zip - написано было не прикладывать в теме
3. образец шифрованных файлов.zip - образцы зашифрованных файлов

Существует утилиты для расшифровки?


Спасибо

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
DeleteService('KDHacker');
 DeleteService('kisnetm');
 DeleteService('QMUdisk');
 DeleteService('TS888');
 SetServiceStart('KAVBootC', 4);
 SetServiceStart('kisknl', 4);
 DeleteService('kisknl');
 DeleteService('KAVBootC');
 DeleteService('kxescore');
 DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxescore.exe','32');
 DeleteFile('C:\Windows\system32\Drivers\KAVBootC.sys','32');
 DeleteFile('C:\Windows\system32\drivers\kisknl.sys','32');
 DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kdhacker.sys','32');
 DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksnetm\kisnetm.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMUdisk.sys','32');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x64');
 DeleteFile('C:\Program Files\Ask.com\UpdateTask.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9); 
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Kolyak]

Ссылка на карантин: [удалено]

virusinfo_autoquarantine.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглаше-ния с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запуще-на программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.