Пожалуйста, помогите с шифровальщиком! (AES256) [Trojan-Ransom.MSIL.Lortok.p ]

[Vseslav]

После обычной загрузки, обнаружил, чт овсе файлы пдф, ворд и архивы имеют приписку AES256
Так же везде появились "памятки" такого содержания:
Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция: http://youtu.be/43feBLwHzn0
url_1: http://y6kpyefykdvswxps.onion:4567/pay.html
url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html
HashKey: c9cd28dd873a573684a897c217e93039
ID: 16382
Win7 x64
Логи прикрепляю. Заранее благодарен!

[Info_bot]

Уважаемый(ая) Vseslav, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\Всеслав\appdata\roaming\mail.ru newgamest\api.dll','');
 QuarantineFile('C:\Users\Всеслав\AppData\Roaming\runWIN\Update.exe','');
 QuarantineFile('C:\Users\Всеслав\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 DeleteFile('C:\Users\Всеслав\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\Всеслав\AppData\Roaming\runWIN\Update.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 DeleteFile('C:\Users\Всеслав\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFileMask('C:\Users\Всеслав\appdata\roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\Всеслав\appdata\roaming\runWIN');
DeleteFileMask('C:\Users\Всеслав\appdata\roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\Всеслав\appdata\roaming\Mail.RU NewGamesT');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Vseslav]

Карантин выслал как сказано.
Логи прилагаю)

- - - - -Добавлено - - - - -

не влезло 5тое)

[thyrex]

Удалите папки

C:\Users\Всеслав\AppData\Roaming\GemWare
C:\Users\Всеслав\AppData\Roaming\ICL

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

[Vseslav]

Удалите папки


http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

Папки удалил, прога написала "невозможно подобрать пароль"... (

[thyrex]

Увы, больше помочь нечем

[Vseslav]

((( а зашифрованные файлы если выслать вам - не выйдет подобрать пароль?( На всякий случай выложил и ссылка вот: http://rghost.ru/58410642

[thyrex]

В утилите итак на данный момент около 10000 ключей. Других нет

[mike 1]

Попробуйте эту http://download.geo.drweb.com/pub/dr...225decrypt.exe утилиту. Если она тоже не поможет, то увы.

[Vseslav]

К несчастью и второе не взялось дешифровать((( грусть-пичалька(

[mike 1]

Информация

Внимание! Данный дешифратор предназначен только для пользователя Vseslav
Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

Дешифратор

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\всеслав\appdata\roaming\mail.ru newgamest\api.dll - Trojan-Ransom.MSIL.Lortok.p ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )