мы поймали шифровальщик [email protected]_XE130

[scarysidor]

Здравствуйте.
Девушкой -бухгалтером было получено письмо с вложением, якобы из налоговой. Она его, не проверяя установленным антивирусом(SEPCE ver.12),открыла в броузере. В результате получила шифрование файлов.
Посему, почитав ваш форум и не найдя решения кроме как у Вас, регистрюсь и шлю необходимы логи.
Заранее спасибо за помощь и советы.
Пример зашифрованного файла сохранил на файлобменнике http://files.mail.ru/AAAB9D1BD3D343EDAB822D7DA8E8BF87

[Info_bot]

Уважаемый(ая) scarysidor, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\~tmp2843946470497207577.tmp','');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\~tmp2843946470497207577.tmp','32');
 DeleteFile('C:\WINDOWS\Tasks\pkho7i2n.job','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[scarysidor]

спасибо за внимание к проблеме.
Присланный скрипт выполнил. Карантин отослал. Установил SP3, IE8.
Сделал новые логи, в том числе и MBAM.
Прикрепляю...
В отчёте MBAM "замазал" X ненужные названия.

[thyrex]

Удалите в МВАМ только указанные ниже записи

C:\Recycled\Dc8756.exe (PUP.Optional.InstallMonstr.A) -> Действие не было предпринято.
C:\Documents and Settings\user\Local Settings\Temp\2dsve2wefd.exe (Exploit.Drop.GS) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\user\Application Data\africa.bmp (Trojan.Cryptor) -> Действие не было предпринято.

[scarysidor]

спасибо.
Удалил указанные. Перезагрузился. Запустил повторную проверку MBAM. Всё тихо.
Остался вопрос расшифровки файлов.
Может у кого-нибудь есть мысли на этот счёт?

[thyrex]

Без оригинального дешифратора не обойтись

[scarysidor]

Без оригинального дешифратора не обойтись

Т.е., другими словами, надо обращаться к "авторам" трояна и,за деньги, либо используя правоохранительные органы, получить от них дешифратор?

[thyrex]

Именно так

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 16
• В ходе лечения вредоносные программы в карантинах не обнаружены