Помогите найти расшифровщик файлов [Trojan-Dropper.Win32.Injector.klfh ]

[pavvlentius]

Добрый вечер! пришло письмо от приставов, ну и дамы открыли его, итог:
вордовские файлы зашифровались в набор символов плюс [email protected]
никакие программы не запускаются, в безопасный режим система не выходит.AVZ вылетает...

вот пример файлов
https://yadi.sk/d/jWicZcNhZh28q
Спасибо!

[Info_bot]

Уважаемый(ая) pavvlentius, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

В безопасном режиме с поддержкой командной строки компьютер грузится?

[pavvlentius]

нет, любой из безопасных не грузится. в ребут уходит..

- - - Добавлено - - -

Вот получилось программы запустить

[Vvvyg]

Пролечитесь как указано в этой теме: Как лечить файловый вирус?, потом сделайте новые логи. Предпочтительнее вариант с LiveCD/LiveUSB.

[pavvlentius]

Логи сделаны после CureIT и kav_rescue,выполнены через загрузочный диск. CureIT Толком ниче не нашёл, KAV в основном "родные" файлы вылечил. но, на компе установленный антивирь KIS не запускается...

[mike 1]

• Выполните обновление баз (Меню Файл - Обновление баз)
• Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
• В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 8 и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
• Закачайте полученный архив, как описано на этой странице.
• Ссылку на обсуждение результатов анализа прикрепите в вашей теме.

Лечитесь так http://support.kaspersky.ru/8093. Потом сделайте новые логи.

[pavvlentius]

после проверки Касперским

[mike 1]

• Выполните обновление баз (Меню Файл - Обновление баз)
• Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
• В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 8 и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
• Закачайте полученный архив, как описано на этой странице.
• Ссылку на обсуждение результатов анализа прикрепите в вашей теме.

Это выполнялось? Где ссылка на результаты анализа?

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('D:\Program Files\Kaspersky Lab\Kaspersky Endpoint Security 8 for Windows\avp.exe','');
 QuarantineFile('D:\Program Files\messenger\msmsgs.exe','');
 QuarantineFile('D:\Program Files\decryptfiles\svchost.exe','');
 DeleteFile('D:\WINDOWS\system32\drivers\nohnhf.sys','32');
 DeleteFile('D:\Program Files\decryptfiles\svchost.exe','32');
 DeleteFileMask('D:\Program Files\decryptfiles', '*', true, ' ');
 DeleteDirectory('D:\Program Files\decryptfiles');
 DeleteService('amsint32');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[pavvlentius]

(+)сделал

[mike 1]

• Выполните обновление баз (Меню Файл - Обновление баз)
• Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
• В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 8 и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
• Закачайте полученный архив, как описано на этой странице.
• Ссылку на обсуждение результатов анализа прикрепите в вашей теме.

Это выполнялось? Где ссылка на результаты анализа?

[pavvlentius]

Выполнялось
Ссылка на результаты анализа:
http://virusinfo.info/virusdetector/...504C0A021A7A4A
Тема для обсуждения результатов анализа:
http://virusinfo.info/showthread.php?t=165019

[mike 1]

Сделайте лог полного сканирования MBAM

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\program files\decryptfiles\svchost.exe - Trojan-Dropper.Win32.Injector.klfh ( BitDefender: Gen:Variant.Zusy.102466, AVAST4: Win32:Sality )