Зашифрованы файлы [email protected]_IQ84 [not-a-virus:Server-Proxy.Win32.CCProxy.x ]

[wwint]

Добрый день! Подхватил вирус: вышлите денег на счет МТС. Загрузился с флешки, ERD-шкой почистил реестр, удалил файлик с вирусом и еще сразу все tmp файлы. Загружаюсь: на рабочем столе заставка с пиратами, все документы переименованы и зашифрованы. Логи прилагаю, не нашел только virusinfo_syscheck.

[Info_bot]

Уважаемый(ая) wwint, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/showthread.php?t=143554 - это про дешифровку

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files\shellguard\shellguard.exe','');
 QuarantineFile('C:\PROGRA~2\Mozilla\sxsczwc.exe','');
 QuarantineFile('C:\Users\Виталий\AppData\Local\Temp\3fdd7.exe','');
 QuarantineFile('C:\Windows\ssdal_nc.exe','');
 QuarantineFile('C:\PROGRA~2\Mozilla\nnrtzoj.dll','');
 QuarantineFile('C:\Users\Виталий\AppData\Roaming\Microsoft\Windows\Templates\winsecyr.exe','');
 DeleteFile('C:\Users\Виталий\AppData\Roaming\Microsoft\Windows\Templates\winsecyr.exe','32');
 DeleteFile('C:\PROGRA~2\Mozilla\nnrtzoj.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DisplaySwitch');
 DeleteFile('C:\Users\Виталий\AppData\Local\Temp\3fdd7.exe','32');
 DeleteFile('C:\Windows\Tasks\7uhm.job','32');
 DeleteFile('C:\Windows\system32\Tasks\7uhm','32');
 DeleteFile('C:\PROGRA~2\Mozilla\sxsczwc.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\napifob','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[wwint]

hijackthis.logvirusinfo_syscure.zip

[thyrex]

C:\Program Files\shellguard\shellguard.exe - эту программу прокси-сервер сами установили?

[wwint]

Да, раньше стоял сервер на юниксе, этой программой на него ходил.

[thyrex]

Тогда лечение на этом закончено

[wwint]

По расшифровке файлов - есть какие-нибудь варианты?

[thyrex]

Все написано по ссылке в сообщении №3. Расшифровать поможет только оригинальный дешифратор, купленный у злоумышленников

[wwint]

Круть..... Есть счастливчики, которые оплатили и получили дешифратор? По-моему чистейший развод...

За помощь ОГРОМНОЕ спасибо!

[thyrex]

Есть счастливчики, которые оплатили и получили дешифратор? По-моему чистейший развод...

Есть, но не для Вашей модификации

[wwint]

Заплатил и получил дешифратор, слишком много невосстановимой инфы оказалось.

- - - Добавлено - - -

Thyrex....
Как злодеи определили версию дешифратора? я им не отсылал образца файла и не писал модификацию вируса? Получается только по их е-мейлу ???

P.S. Поделиться как-то страшно...

[thyrex]

Поделиться как-то страшно...

Не бойтесь

Как злодеи определили версию дешифратора?

Про IQ84 вы им писали?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\shellguard\\shellguard.exe - not-a-virus:Server-Proxy.Win32.CCProxy.x