Шифровальщик [email protected] [Worm.Win32.Luder.aotr, , Trojan-Dropper.Win32.Dapato.dibv ]

[TERWe]

Здравствуйте,
Помогите пожалуйста, компьютер заражен шифровальщиком drunksantaru@yahoo,com, идентификатор S4. Буду рад, если можно вылечить без потери данных.
Спасибо большое за помощь.


Вложения:

• hijackthis.log

• virusinfo_syscheck.zip

• virusinfo_syscure.zip

Архив с двумя зашифрованными .docx и .jpg файлами

• зашифрованные &#10.zip

[Info_bot]

Уважаемый(ая) TERWe, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[TERWe]

Хелперы, я готов уже пожертвовать вам некую сумму, сделать аванс, только разблокируйте его пожалуйста.

Сегодня вот проверил с помощью Dr.Web CureIt.
Вот что он выдал:
Безымянный.JPG
... может как-то поможет.

- - - Добавлено - - -

Еще раз выложил самые первые логи по правилам (в первый раз не получалось)

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelCLSID('{28ABC5C0-4FCB-33CF-AAX5-35GX1C642122}');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Fixer32.exe','');
 QuarantineFile('C:\WINDOWS\yWdrive32.exe','');
 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-13259\proxzy129.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Application Data\winrar.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\ScreenSaverPro.scr','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Microsoft\Hpouob.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\zricrqdxrjdproutrja.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\ofvocamfypituqvtqh.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\bvokbcrnjdznrqyzztmiz.exe','');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\bvokbcrnjdznrqyzztmiz.exe','32');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\ofvocamfypituqvtqh.exe','32');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\zricrqdxrjdproutrja.exe','32');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Microsoft\Hpouob.exe','32');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ScreenSaverPro.scr','32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\winrar.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','winrar');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','Screen Saver Pro 3.1');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','Hpouob');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run-','tdmyfwbnzjv');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','qblygyerepch');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','ofvocamfypituqvtqh');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','proxzy0229');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','proxzy0229');
 DeleteFile('C:\WINDOWS\system32\csrcs.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run-','Microsoft Driver Setup');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Fixer32.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[TERWe]

Загрузил скрипт AVZ, начался сам процесс, позже появилось такое окно:
suCvzDM-tCs.jpg

- - - Добавлено - - -

со второго раза все прошло вроде нормально, без экрана смерти
карантин выложил, сейчас идет скан MBAM. позже скину

- - - Добавлено - - -

логи AVZ и MBAM

[TERWe]

как я понимаю на данный момент мы просто удаляем сам вирус + другие вирусы (чистим систему полностью).
а расшифровать файлы не получиться, то есть они, грубо говоря, потеряны.

я правильно ситуацию понимаю?

[thyrex]

Удалите в МВАМ все, кроме

HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 24
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\application data\microsoft\hpouob.exe - Worm.Win32.Luder.aotr ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.GenericKD.996896, AVAST4: Win32:Downloader-TIB [Trj] )
  2. c:\documents and settings\admin\application data\screensaverpro.scr - Worm.Win32.Luder.aotr ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.GenericKD.996896, AVAST4: Win32:Downloader-TIB [Trj] )
  3. c:\documents and settings\admin\local settings\application data\winrar.exe - Trojan-Dropper.Win32.Dapato.dibv ( BitDefender: Gen:Variant.Zusy.71849, AVAST4: Win32:Malware-gen )
  4. c:\recycler\s-1-5-21-0243556031-888888379-781863308-13259\proxzy129.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Gurl.2, BitDefender: Trojan.Generic.KD.914347, AVAST4: Win32:Malware-gen )