Вирус зашифровал файлы, расширение aes256 [Trojan-Ransom.MSIL.Lortok.k, not-a-virus:AdWare.Win32.Agent.ctjs ]

**Марина Городничая** · 02.10.2014, 20:13

Здравствуйте, вирус зашифровал файлы, расширение aes256.
После обнаружение вируса в каждой папке появился текстовый файл с таким содержимым:
Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Ваш консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция: http://youtu.be/43feBLwHzn0
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: 66d33ad24629b43bbe96d8d44698cd3c
ID: 5012

Прикладываю к данному файлу логи, заранее спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 02.10.2014, 20:14

Уважаемый(ая) Марина Городничая, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 02.10.2014, 20:28

И где логи?

**Марина Городничая** · 02.10.2014, 20:44

Здравствуйте, вирус зашифровал файлы, расширение aes256.
После обнаружение вируса в каждой папке появился текстовый файл с таким содержимым:
Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Ваш консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция:http://youtu.be/43feBLwHzn0
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: 66d33ad24629b43bbe96d8d44698cd3c
ID: 5012

Прикладываю к данному файлу логи, заранее спасибо.

- - - - -Добавлено - - - - -

Извините, я приложила логи к данной теме, по какой - то причине отправка не произошла. Скажите, как мне добавить логи к данной теме? При редактировании нет функции управления вложениями.

**Марина Городничая** · 02.10.2014, 20:47

Извините, я приложила логи, к сожалению, по какой - то причине отправка не произошла. Как теперь к данному сообщению добавить логи, в режиме редактирования нет возможности управления вложениями.

**thyrex** · 02.10.2014, 20:53

Radio Canyon удалите через Установку программ

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('c:\users\Марина\appdata\local\lite file downloader\litefile.bin','');
 QuarantineFile('C:\Users\Марина\AppData\Roaming\Dorrible\Ribble\d.exe','');
 QuarantineFile('C:\Users\0D39~1\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-7.exe','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-6.exe','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-5.exe','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-4.exe','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-2.exe','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-11.exe','');
 QuarantineFile('C:\Program Files (x86)\Radio Canyon\Radio Canyon-bho.dll','');
 DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
 QuarantineFile('C:\Program Files (x86)\SupTab\SupTab.dll','');
 QuarantineFile('C:\Users\Марина\AppData\Roaming\runWIN\update.exe','');
 QuarantineFile('C:\Users\Марина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\Марина\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
 QuarantineFile('C:\Users\Марина\AppData\Local\Lite File Downloader\litefile.exe','');
 QuarantineFile('C:\Program Files (x86)\test\Bind.exe','');
QuarantineFileF('C:\Users\Марина\AppData\Roaming\Mail.RU NewGamesT', '*.*', false,'', 0, 0, '', '');
QuarantineFileF('C:\Users\Марина\AppData\Roaming\runWIN', '*.*', false,'', 0, 0, '', '');
 DeleteService('globalUpdatem');
 DeleteService('globalUpdate');
 SetServiceStart('WindowsMangerProtect', 4);
 DeleteService('WindowsMangerProtect');
 SetServiceStart('IePluginServices', 4);
 DeleteService('IePluginServices');
 TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
 QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
 TerminateProcessByName('c:\programdata\iepluginservices\pluginservice.exe');
 QuarantineFile('c:\programdata\iepluginservices\pluginservice.exe','');
 TerminateProcessByName('C:\Program Files (x86)\SupTab\Loader64.exe');
 QuarantineFile('C:\Program Files (x86)\SupTab\Loader64.exe','');
 TerminateProcessByName('c:\program files (x86)\suptab\loader32.exe');
 QuarantineFile('c:\program files (x86)\suptab\loader32.exe','');
 TerminateProcessByName('c:\program files (x86)\suptab\hpui.exe');
 QuarantineFile('c:\program files (x86)\suptab\hpui.exe','');
 DeleteFile('c:\program files (x86)\suptab\hpui.exe','32');
 DeleteFile('c:\program files (x86)\suptab\loader32.exe','32');
 DeleteFile('C:\Program Files (x86)\SupTab\Loader64.exe','32');
 DeleteFile('c:\programdata\iepluginservices\pluginservice.exe','32');
 DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
 DeleteFile('C:\Program Files (x86)\test\Bind.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','test');
 DeleteFile('C:\Users\Марина\AppData\Local\Temp\_uninst_10954093.bat','32');
 DeleteFile('C:\Users\Марина\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
 DeleteFile('C:\Users\Марина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\Марина\AppData\Roaming\runWIN\update.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewRunWIN');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
 DeleteFile('C:\Program Files (x86)\SupTab\SupTab.dll','32');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-1.job','64');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-11.job','64');
 DeleteFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-11.exe','32');
 DeleteFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-2.exe','32');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-2.job','64');
 DeleteFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-4.exe','32');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-4.job','64');
 DeleteFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-5.exe','32');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-5.job','64');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-5_user.job','64');
 DeleteFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-6.exe','32');
 DeleteFile('C:\Program Files (x86)\Radio Canyon\a753b78b-f2a2-42e8-955e-7814da63e09a-7.exe','32');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-7.job','64');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
 DeleteFile('C:\Windows\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-6.job','64');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
 DeleteFile('C:\Users\0D39~1\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\UpdaterEX.job','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-1','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-11','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-2','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-4','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-5','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-6','64');
 DeleteFile('C:\Windows\system32\Tasks\a753b78b-f2a2-42e8-955e-7814da63e09a-7','64');
 DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
 DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
 DeleteFile('C:\Users\Марина\AppData\Roaming\Dorrible\Ribble\d.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Ribble','64');
 DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','64');
DeleteFileMask('C:\Users\Марина\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\Марина\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('C:\Users\Марина\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\Марина\AppData\Roaming\runWIN');
DeleteFileMask('C:\Program Files (x86)\Radio Canyon', '*', true);
DeleteDirectory('C:\Program Files (x86)\Radio Canyon');
DeleteFileMask('c:\program files (x86)\suptab', '*', true);
DeleteDirectory('c:\program files (x86)\suptab');
DeleteFileMask('c:\programdata\iepluginservices', '*', true);
DeleteDirectory('c:\programdata\iepluginservices');
DeleteFileMask('c:\programdata\windowsmangerprotect', '*', true);
DeleteDirectory('c:\programdata\windowsmangerprotect');
DeleteFileMask('C:\Program Files (x86)\test', '*', true);
DeleteDirectory('C:\Program Files (x86)\test');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

**Марина Городничая** · 03.10.2014, 13:14

Сделала все, что вы написали, как мне прислать Вам лог МВАМ?

**mike 1** · 03.10.2014, 14:06

Также как и остальные логи через расширенный режим. Помимо лога MBAM нужно еще сделать повторные логи по правилам диагностики.

**Марина Городничая** · 03.10.2014, 14:22

Присылаю новые логи, а так же лог по МВАМ, называется text.txt.

**thyrex** · 03.10.2014, 17:12

Поместите в карантин МВАМ всё найденное

**Марина Городничая** · 03.10.2014, 22:48

Если я Вас правильно поняла: Выполнила скрипт в avz, появился архив с названием mbam_quarantine, Вы это имели ввиду? Добавляю его во вложения, так как при нажатии на Прислать запрошенный архив пишет, что данный архив уже был добавлен.

**thyrex** · 03.10.2014, 22:59

Сообщение от Марина Городничая

Если я Вас правильно поняла

Нет. Запустите повторное сканирование МВАМ, после его окончания выберите действие карантин для всего найденного и примените действие

**Марина Городничая** · 03.10.2014, 23:01

Это я тоже только что сделала.

**thyrex** · 03.10.2014, 23:11

С расшифровкой не поможем

**Марина Городничая** · 03.10.2014, 23:13

Ясно, все равно спасибо.

**mike 1** · 06.10.2014, 23:38

Пришлите несколько зашифрованных файлов.

**thyrex** · 17.10.2014, 19:52

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

**CyberHelper** · 17.10.2014, 20:02

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 15
В ходе лечения обнаружены вредоносные программы:
1. c:\program files (x86)\suptab\suptab.dll - not-a-virus:AdWare.Win32.BHO.bdyd ( DrWEB: Trojan.Click3.8536, BitDefender: Adware.Agent.OFO )
2. c:\program files (x86)\test\bind.exe - Trojan.Win32.Agent.idmn ( DrWEB: Trojan.Baidu.37, BitDefender: Trojan.GenericKD.1820942, AVAST4: Win32:Malware-gen )
3. c:\programdata\iepluginservices\pluginservice.exe - not-a-virus:AdWare.Win32.Agent.ctjs ( DrWEB: Trojan.StartPage1.3070 )
4. c:\programdata\windowsmangerprotect\protectwindows manager.exe - not-a-virus:AdWare.Win32.Agent.eqwb ( DrWEB: Trojan.Click3.9649 )
5. c:\users\марина\appdata\roaming\mail.ru newgamest\api.dll - Trojan-Ransom.MSIL.Lortok.k

Вирус зашифровал файлы, расширение aes256 [Trojan-Ransom.MSIL.Lortok.k, not-a-virus:AdWare.Win32.Agent.ctjs ] (заявка № 167716)

Опции темы

Вирус зашифровал файлы, расширение aes256 [Trojan-Ransom.MSIL.Lortok.k, not-a-virus:AdWare.Win32.Agent.ctjs ]

Антивирусная помощь

Вирус зашифровал файлы, расширение aes256

Антивирусная помощь

Новые логи

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Итог лечения

Похожие темы

Вирус шифрует файлы. Расширение AES256 [not-a-virus:HEUR:Downloader.Win32.LMN.gen, not-a-virus:AdWare.Win32.MMag.k ]

Вирус зашифровал doc, xls, dbf, jpg файлы и добавил к ним расширение .603

вирус зашифровал файлы расширение done

вирус зашифровал файлы в расширение ENC.

Метки для этой темы

Ваши права в разделе