Помогите расшифровать файлы

**yaneg66** · 15.07.2014, 13:24

Менеджер открыл письмо с темой "Резюме". И скопировал файл оежавший в нем. По ходу вирус переделал большинство файлов на компьютере в формат .crypt
теперь они выглядят так xxx.doc.crypt, xxx.jpg.crypt.
Так же были подключены сетевые диски, на них файлы стали уже с раширением xxx.jpg.gpg
При попытке поменять формат файлы нечитаемы.

В корневом каталоге на диске С файл "КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT" с текстом указанном ниже:

"Ваш компьютер был атакован опаснейшим вирусом.
Вся Ваша информация на этом компьютере была зашифрована
с помощью самого криптостойкого алгоритма в мире RSA-1024.
Восстановить файлы можно только при помощи программы обратной дешифрации, которая есть только у нас. Чтобы её получить, Вам необходимо
написать нам письмо на адрес:
[email protected]
При попытке расшифровки без нашей программы файлы могут повредиться!
Письма с угрозами будут угрожать только Вам и Вашим файлам! НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!
При поступлении угроз в наш адрес, Ваши данные не будут расшифрованы.
Обращаем внимание, что файлы можно расшифровать только с использованием специалного программного обеспечения, которое есть только у нас."

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 15.07.2014, 13:25

Уважаемый(ая) yaneg66, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 15.07.2014, 13:50

Сообщение от yaneg66

Менеджер открыл письмо

Открывал не на сервере?

Рекомендации написаны по логам с обычного компьютера

Пофиксите в HiJack

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена. А с 8 апреля 2014 года прекращена и поддержка Windows XP SP3

Установите хотя бы SP3 (может потребоваться активация) + все доступные обновления для Windows

Сделайте лог полного сканирования МВАМ

**yaneg66** · 16.07.2014, 06:34

Вот лог проверки. И еще. Не могу отправить Вам личное сообщение, поэтому прошу Вас как нибудь со мной связаться. Это имеет отношение непосредственно к этой теме.

**mike 1** · 16.07.2014, 11:04

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Quarantine" ("Карантин" - смотрите, что удаляете).

Код:

Registry Keys: 3
PUP.Optional.ToolBar.WA, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633}, , [458bf6a90e6d6ec8da3c2069b64c7f81], 
PUP.Optional.DigitalSites.A, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\DSite, , [686848573249d5615db672c720e1b54b], 
PUP.Optional.ToolBar.WA, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\Webalta Toolbar, , [359be5ba9cdfa1957f71cffde51eab55], 

Registry Data:
Hijack.SearchPage, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN|Search Page, http://webalta.ru/search, Good: (http://www.Google.com/), Bad: (http://webalta.ru/search),,[428e960993e8ca6c30184c5335cf669a]
Hijack.Homepage, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN|Default_Search_URL, http://webalta.ru/search, Good: (http://www.Google.com), Bad: (http://webalta.ru/search),,[7957811e1764033368940792ef1508f8]
Hijack.Search, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN|Search Bar, http://webalta.ru/search, Good: (http://www.google.com/), Bad: (http://webalta.ru/search),,[4d83ffa01b602e08c8351386db299967]
Hijack.SearchPage, HKU\S-1-5-21-1708537768-746137067-725345543-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCH|SearchAssistant, http://webalta.ru/search, Good: (http://www.Google.com/), Bad: (http://webalta.ru/search),,[be122b746813f046bc4285149f6501ff]

Folders: 7
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Application Data\cload, , [f2debce3b4c768ce2923f1d970928c74], 
PUP.Optional.Updater, C:\Documents and Settings\NetworkService\Application Data\DigitalSites\UpdateProc, , [6769e3bcb2c9bd7954f2ca19847eeb15], 
PUP.Optional.ToolBar.WA, C:\Documents and Settings\??\Local Settings\Application Data\Webalta Toolbar, , [1bb5b0efb5c689ad7ee4415da959be42], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js, , [963a2976ccaf6ccabb08bbf3ba487090], 

Files: 35
PUP.Optional.DigitalSites.A, C:\Documents and Settings\??\Application Data\DSite\UpdateProc\UpdateTask.exe, , [686848573249d5615db672c720e1b54b], 
PUP.Optional.Webalta, C:\Documents and Settings\??\Local Settings\Temp\obrazec__.exe, , [517f3c63e79454e2aaa54161b34e8a76], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Temp\obrazec___1.exe, , [6769049b57243df9593eff84a1609070], 
PUP.Optional.Bundle, C:\Documents and Settings\??\Local Settings\Temp\ICReinstall_PDFCreatorSetup.exe, , [8050b1eed8a32d09b2282ffdf50c8a76], 
PUP.Optional.Babylon.A, C:\Documents and Settings\??\Local Settings\Temp\is1590112554\DeltaTB.exe, , [b21e425dcbb06bcb26289875a45d6799], 
PUP.Optional.Babylon.A, C:\Documents and Settings\??\Local Settings\Temp\E7C6DB93-BAB0-7891-9690-3EB5DA3593B6\Latest\BExternal.dll, , [8a46c9d675062e082fcede4457a9629e], 
PUP.Optional.Bundle, C:\Documents and Settings\??\?*?°?±??N????? N?N????»\???°N????°?µ???° ??.??\PDFCreatorSetup.exe, , [0ec2a3fc9cdf5ed835a55fcd4bb6f20e], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Application Data\Mozilla\Firefox\Profiles\1tjl92bu.default\cinemaload_ls.sqlite, , [5b751b84fc7fa98d912ba5227e84dc24], 
PUP.Optional.WebAlta.A, C:\Documents and Settings\??\Application Data\Mozilla\Firefox\Profiles\1tjl92bu.default\extensions\{4933189D-C7F7-4C6E-834B-A29F087BFD24}.xpi, , [78586b3475063df98ba5e6e479893ec2], 
PUP.Optional.WebAlta.A, C:\Documents and Settings\??\Application Data\Mozilla\Firefox\Profiles\1tjl92bu.default\searchplugins\webalta-search.xml, , [dbf5e7b8e794c96de54c4387e9196b95], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Application Data\cload\chrome.dat, , [f2debce3b4c768ce2923f1d970928c74], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Application Data\cload\firefox.dat, , [f2debce3b4c768ce2923f1d970928c74], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Application Data\Mozilla\Firefox\Profiles\1tjl92bu.default\extensions\{deb24184-8668-490a-af07-b4fd27016097}.xpi, , [755bb4eb2655bb7b4ffe0cbef9096c94], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\chrome-extension_ecijengmojcngjjgghkfkgbjoogmlngb_0.localstorage, , [468a435c453639fd83cba9217e8459a7], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\chrome-extension_ecijengmojcngjjgghkfkgbjoogmlngb_0.localstorage-journal, , [f5db6e317cffda5c0846ccfe20e2da26], 
PUP.Optional.Updater, C:\Documents and Settings\NetworkService\Application Data\DigitalSites\UpdateProc\UpdateTask.exe, , [6769e3bcb2c9bd7954f2ca19847eeb15], 
PUP.Optional.Updater, C:\Documents and Settings\NetworkService\Application Data\DigitalSites\UpdateProc\config.dat, , [6769e3bcb2c9bd7954f2ca19847eeb15], 
PUP.Optional.Updater, C:\Documents and Settings\NetworkService\Application Data\DigitalSites\UpdateProc\info.dat, , [6769e3bcb2c9bd7954f2ca19847eeb15], 
PUP.Optional.Updater, C:\Documents and Settings\NetworkService\Application Data\DigitalSites\UpdateProc\STTL.DAT, , [6769e3bcb2c9bd7954f2ca19847eeb15], 
PUP.Optional.Updater, C:\Documents and Settings\NetworkService\Application Data\DigitalSites\UpdateProc\TTL.DAT, , [6769e3bcb2c9bd7954f2ca19847eeb15], 
PUP.Optional.ToolBar.WA, C:\Documents and Settings\??\Local Settings\Application Data\Webalta Toolbar\chrome.crx, , [1bb5b0efb5c689ad7ee4415da959be42], 
PUP.Optional.ToolBar.WA, C:\Documents and Settings\??\Local Settings\Application Data\Webalta Toolbar\main.ico, , [1bb5b0efb5c689ad7ee4415da959be42], 
PUP.Optional.ToolBar.WA, C:\Documents and Settings\??\Local Settings\Application Data\Webalta Toolbar\uninstall.exe, , [1bb5b0efb5c689ad7ee4415da959be42], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\manifest.json, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-128.png, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-16.png, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-48.png, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\background.js, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\config.js, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\content.js, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\library.js, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.CinemaLoad.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\utils.js, , [963a2976ccaf6ccabb08bbf3ba487090], 
PUP.Optional.WebAlta.A, C:\Documents and Settings\??\Application Data\Mozilla\Firefox\Profiles\1tjl92bu.default\prefs.js, Good: (), Bad: (user_pref("browser.startup.homepage", "http://home.webalta.ru");), ,[6b65950a334861d5dc28eee3c143a45c]
PUP.Optional.WebAlta.A, C:\Documents and Settings\??\Application Data\Mozilla\Firefox\Profiles\1tjl92bu.default\prefs.js, Good: (), Bad: (user_pref("keyword.URL", "http://webalta.ru/search?from=FF&q=");), ,[3b953d62fd7e64d2fc0a5180b64e11ef]
PUP.Optional.WebAlta.A, C:\Documents and Settings\??\Local Settings\Application Data\Google\Chrome\User Data\Default\Preferences, Good: (), Bad: (   "homepage": "http://home.webalta.ru/?link",), ,[14bcc0df3d3e79bd6b9db71a1ce86d93]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

**thyrex** · 16.07.2014, 12:27

Сообщение от yaneg66

Не могу отправить Вам личное сообщение, поэтому прошу Вас как нибудь со мной связаться

Пробуйте написать мне на почту через мой профиль. ЛС у меня закрыта для незнакомцев

**yaneg66** · 16.07.2014, 12:40

Сообщение от thyrex

Пробуйте написать мне на почту через мой профиль. ЛС у меня закрыта для незнакомцев

Написал, большая просьба — не обойти вниманием.

**thyrex** · 16.07.2014, 13:13

Ответил

Помогите расшифровать файлы (заявка № 163170)

Опции темы