зашифрованные вирусом файлы *[email protected]_lot3021

[simplelex]

Добрый день!
Поймал сабж.
Провёл лечение согласно рекомендациям из темы http://virusinfo.info/content.php?r=136-pravila
В приложении логи AVZ и Hijack.
На компьютере осталось много зашифрованных файлов, переименованных а-ля *[email protected]_lot3021
Прошу помочь расшифровать файлы.

[Info_bot]

Уважаемый(ая) simplelex, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\user\AppData\Local\Temp\rad59972.tmp.exe','');
 QuarantineFile('C:\Users\user\AppData\Local\jerlobw.dll','');
 DeleteFile('C:\Users\user\AppData\Local\jerlobw.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\jerlobw','DLLName');
 DeleteFile('C:\Users\user\AppData\Local\Temp\rad59972.tmp.exe','32');
 DeleteFile('C:\Windows\Tasks\t639rpcll1.job','64');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[simplelex]

Добрый день!
Выполнил скрипт.
Карантин AVZ пуст.
Прилагаю лог MBAM.

[mike 1]

Смените все пароли.

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

Обнаруженные ключи в реестре:  2
HKCU\Software\InstallCore\1I1T1Q1S (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  2
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 0M1S1H1K2U -> Действие не было предпринято.
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings|AutoConfigURL (Hijack.Autoconfig) -> Параметры: https://elsantana.com/gif/ewq.exf -> Действие не было предпринято.

Обнаруженные папки:  5
C:\Recycle.Bin (Trojan.Spyeyes) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\C7D965394C184599ACC9AE6C4C7E041E (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\D8C2F58642084FEC8BE8AE8044C3684C (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\OpenCandy_C7D965394C184599ACC9AE6C4C7E041E (PUP.Optional.OpenCandy) -> Действие не было предпринято.

Обнаруженные файлы:  11
C:\Users\user\AppData\Roaming\OpenCandy\OpenCandy_C7D965394C184599ACC9AE6C4C7E041E\LatestDLMgr.exe (PUP.Optional.OpenCandy.A) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\OpenCandy_C7D965394C184599ACC9AE6C4C7E041E\OpenCandyU1Dlm.dll (PUP.Optional.OpenCandy.A) -> Действие не было предпринято.
C:\Users\user\Favorites\Free Porn Videos - XVIDEOS.COM.url (Rogue.Link) -> Действие не было предпринято.
C:\Users\user\Favorites\Free Porn, Sex, Tube Videos, XXX Pics, Porno Movies - XNXX.COM.url (Rogue.Link) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\C7D965394C184599ACC9AE6C4C7E041E\3211.ico (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\C7D965394C184599ACC9AE6C4C7E041E\speedupmypcRU_p1v1.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\D8C2F58642084FEC8BE8AE8044C3684C\TuneUpUtilities2013-2200268_ru-RU.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[simplelex]

Добрый день!
Удалил указанное.
В приложении новый лог.

[mike 1]

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[simplelex]

Добрый день!
Новые логи в приложении.

[mike 1]

Закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
SetAVZPMStatus(false);
 DelBHO('{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a}');
 QuarantineFile('C:\Program Files\Adobe Flash Players 10.1\IE\x86\AdobeFlash32.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи AVZ.

[simplelex]

Добрый день!
Высылаю логи и карантин.

- - - Добавлено - - -

Добрый день ещё раз.
К сожалению, форма отправки карантина не принимает файл, сообщает что он уже был загружен.

[mike 1]

Больше плохого не вижу. Смените все пароли. Дешифратором для этой версии пока никто не поделился.

[simplelex]

Здравствуйте!
Уточните, пожалуйста, что за дешифратор, где его искать?

[thyrex]

Уточните, пожалуйста, что за дешифратор, где его искать?

Тот, что сможет расшифровать Ваши файлы.
Пока он есть только у злоумшленников