И у меня вирус зашифровал все файлы AES256 . [Trojan-Ransom.MSIL.Lortok.p ]

[Domoded]

Здравствуйте , помогите помогите пожалуйста расшифровать ! практически все файлы на компе зашифрованы и в каждой папке появился файл следующего содержания -


"Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция: http://youtu.be/43feBLwHzn0
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: 0d55d92f63ce8ddef0ac5e4a60743f7a
ID: 9256"

"консультант онлайн" просит от 20 до 50 баксов за ключ ((


примеры файлов-
https://drive.google.com/folderview?...GM&usp=sharing

[Info_bot]

Уважаемый(ая) Domoded, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Windows\Adobe Flash\Adobe.exe','');
 QuarantineFile('C:\Users\home\AppData\Roaming\runWIN\update.exe','');
 QuarantineFile('C:\Users\home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 TerminateProcessByName('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT\tiket.exe');
 QuarantineFile('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT\tiket.exe','');
QuarantineFileF('C:\Users\home\AppData\Roaming\runWIN', '*.*', false,'', 0, 0, '', '');
QuarantineFileF('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT', '*.*', false,'', 0, 0, '', '');
 DeleteFile('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT\tiket.exe','32');
 DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','32');
 DeleteFile('C:\Users\home\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat','32');
 DeleteFile('C:\Users\home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\home\AppData\Roaming\runWIN\update.exe','32');
 DeleteFile('C:\Windows\Adobe Flash\Adobe.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Flash Player SU','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewRunWIN');
DeleteFileMask('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\home\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('C:\Users\home\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\home\AppData\Roaming\runWIN');
DeleteFileMask('C:\Windows\Adobe Flash', '*', true);
DeleteDirectory('C:\Windows\Adobe Flash');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте логи RSIT
Сделайте такой лог

[Domoded]

Готово!

[thyrex]

Я просил прислать карантин, а не автокарантин

Пересоздайте ярлыки

C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
C:\Users\home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
C:\Users\home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk
C:\Users\home\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\home\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Internet Explorer (64-bit).lnk
C:\Users\home\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Internet Explorer.lnk
C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk

Удалите папки

C:\Users\home\AppData\Roaming\Microsoft DB
C:\Users\home\AppData\Roaming\GemWare
C:\Users\home\AppData\Roaming\Browsers
C:\Users\home\AppData\Roaming\ICL
C:\Program Files (x86)\RegCleaner

[Domoded]

Все сделал , карантин перевыгрузил

- - - - -Добавлено - - - - -

На рабочем столе с файлов исчезли иконки с замком !, и заметил что диспетчер задач выглядит как обрезанное со всех сторон окно без кнопок и показывает только службы.

[Domoded]

Спасибо большое за помощь ! а можно теперь все назад вернуть ? а то теперь не могу с этими му****ми связаться .. я так понял других вариантов как заплатить на данный момент нет ?
отправлял им файл на пробу - вернули разлоченый

[thyrex]

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

[mike 1]

Информация

Внимание! Данный дешифратор предназначен только для пользователя Domoded
Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

Дешифратор

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\home\appdata\roaming\mail.ru newgamest\api.dll - Trojan-Ransom.MSIL.Lortok.p ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )