Вирус зашифровал файлы

[oblspec]

Здравствуйте,помогите расшифровать файлы с расширением chifrator@gmail_com!!. Получилось загрузить только два лога. Посмотрите, пожалуйста

[Info_bot]

Уважаемый(ая) oblspec, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Что открывали перед тем как получили шифратора?

[oblspec]

Ничего не открывали...Комп на выходные остался включенным. Мы 12-го там были, работали с 1С, инфо-бухгалтер, открывали банк клиент. Ничего особенного. На момент ухода все работало. По точкам восстановления видно, что 15-го произошло автоматическое обновление. Эти ярлыки датированы как раз 15-м, 15:40 где то... Обновление часом раньше. Загружали пару драйверов, но с оф сайтом

- - - Добавлено - - -

В папке 1С есть файл Прочтите МЕНЯ! В нем написано

Дорогие друзья!
Все ваши файлы зашифрованы!
По вопросу расшифровки писать на почту: [email protected]
Стоимость расшифровки 40000 руб.
Мы бесплатно расшифруем несколько ваших файлов, что бы вы убедились что дешифратор у нас есть возможно, будет и у вас.

[mike 1]

Похоже тогда через RDP зашли.

+

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[oblspec]

Ловите!

- - - Добавлено - - -

Ловите!

[mike 1]

C:\$RECYCLE.BIN\S-1-5-21-513701041-864218220-3757519223-1001\$I6MY67J.EXE

Пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[oblspec]

Результат загрузки

Файл сохранён как 140616_125433_DEN_2014-06-16_16-26-19_539ee9097ab2d.zip
Размер файла 1232645
MD5 5778a308d3b524646bce932725c4d030

Файл закачан, спасибо!

[mike 1]

Не то прислали.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
QuarantineFile('C:\$RECYCLE.BIN\S-1-5-21-513701041-864218220-3757519223-1001\$I6MY67J.EXE','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[thyrex]

+ пример зашифрованного файла пришлите

[oblspec]

подскажите как сделать. при выполнении код выдает ошибку Ошибка [2, QUARANTINEFILE]
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

- - - Добавлено - - -

подскажите как сделать. при выполнении код выдает ошибку Ошибка [2, QUARANTINEFILE]
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

- - - Добавлено - - -

при попытки прикрепить половина отправляется файлов, половина не отправляется

[thyrex]

Это Вы о зашифрованных файлах? Заархивировать не пробовали?

[oblspec]

пример зашифрованного файла, в архиве =)

[thyrex]

Увы, без тела шифровальщика даже трудно понять, что это

[oblspec]

где взять тело?
выполнение скрипта выдает ошибку:
Ошибка карантина файла, попытка прямого чтения (C:\$RECYCLE.BIN\S-1-5-21-513701041-864218220-3757519223-1001\$I6MY67J.EXE)
Карантин с использованием прямого чтения - ошибка
Ошибка [2, QUARANTINEFILE]
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

авз запущен от имени администратора (через контекстное меню)

[mike 1]

C:\$RECYCLE.BIN\S-1-5-21-513701041-864218220-3757519223-1001\$I6MY67J.EXE

Через Total Commander или Far пройдите по этому пути и постарайтесь найти этот файл.

[oblspec]

к сожалению, нет этого файла...
спасибо за уделенное время.

[mike 1]

Если корзину очистили, то уже не найдете этого файла. Попробуйте при помощи Recuva восстановить этот файл

--- Добавлено ---

Файл судя по образу uVS все таки есть в наличии. Выполните еще скрипт uVS:

;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\$RECYCLE.BIN\S-1-5-21-513701041-864218220-3757519223-1001\$I6MY67J.EXE
czoo

После выполнения скрипта упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата .ZIP с паролем virus и отправьте этот файл по ссылке "Прислать запрошенный карантин" над первым сообщением в теме.

[oblspec]

recuva ничего не нашла. этот скрипт выполнить в авз?...

[mike 1]

Скрипт выполняйте в uVS. Как выполнить его описано здесь http://virusinfo.info/showthread.php?t=121769