Всё тот же Шифровальшик. [email protected] [Trojan-Ransom.Win32.Rector.mg ]

[Stejka]

Добрый день.
Не смог добавить сообщение к уже существующей теме...
Собственно, такая же ситуация, только воспользовались терминальным доступом, пароль украли с помощью трояна
Прошу помощи(

По рекомендации в этой теме
http://virusinfo.info/showthread.php?t=167123
просканировал и сохранил лог
SERVERPRAKTIKA_2014-09-25_12-32-33.7z

[Info_bot]

Уважаемый(ая) Stejka, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.83 [http://dsrt.dyndns.org]
   ;Target OS: NTv5.2
   v383c
   breg
   
   zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\TEMP\5\7SG98B6B3B7X5X0.EXE
   bl 38FF377E31A1026B18EBFDD904753B9D 33792
   delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\TEMP\5\7SG98B6B3B7X5X0.EXE
   zoo C:\WINTRP\WTRSTART.EXE
   zoo C:\ARH\ZUDV55719.EXE
   czoo

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Компьютер перезагрузите вручную.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте логи по правилам раздела.

[Stejka]

Прошу прощения за недостаточную информацию, выкладываю логи

[mike 1]

Platform: Windows 2003 SP1, v.1433 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 SP1 (6.00.3790.1433)

Проку от антивируса никакого на такой дырявой системе.

Логи нужны не через терминальную сессию.

[Stejka]

Не из терминала..

[mike 1]

Картинку зашифрованную пришлите.

[Stejka]

Картинка

[mike 1]

Тоже ищите тело шифраторе на сервере. Без тела шифратора расшифровка нашими силами невозможна.

[Stejka]

Есть подозрение, что оно

[mike 1]

Да похоже оно. Отправил файл в вирусную лабораторию.

- - - - -Добавлено - - - - -

Да это оно. В понедельник напишите.

[Stejka]

День добрый.
Пишу в понедельник)

[mike 1]

Информация

Скачайте te94decrypt.exe и сохраните в корень диска С.

В командной строке введите:

C:\te94decrypt.exe -k 476

Внимание!!!
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались

[Stejka]

Огромное спасибо.
Остались только две проблемы - не открываются файлы, которые были расположены в "зашаренных" папках и побило dbf-ы 1с базы((

[mike 1]

Возможно они были зашифрованы другой версией этого шифратора. Пришлите небольшой dbf файл.

[Stejka]

Один из них

[mike 1]

Нужна зашифрованная копия этого файла

[Stejka]

Где же её взять, снова запускать шифратор? Да и удалил я его от греха...

[mike 1]

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались

Для кого это писалось? Дешифратор от DrWeb сам не удаляет зашифрованные файлы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. \7sg98b6b3b7x5x0.exe._1c00b079c8fda98a0cff17ff693a 7459be6da4c5 - Trojan-Ransom.Win32.Rector.mg ( DrWEB: Trojan.Packed.28754, AVAST4: Win32:Malware-gen )