Зашифрованы файлы с расширением .LOCK

[KlausM]

Поймали гадость, зашифровал все файлы документов и баз 1С в общих каталогах расширением LOCK.
Похоже очень как в теме http://virusinfo.info/showthread.php?t=169018
Вымогают:
---
ВНИМАНИЕ!!!
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ, И ЭТО ФАКТ. КОЛ-ВО ПОПЫТОК ВВОДА ПАРОЛЯ -10, ПОСЛЕ ЭТОГО ВОССТАНОВЛЕНИЕ ФАЙЛОВ
БУДЕТ НЕВОЗМОЖНО.


НЕ РЕКОМЕНДУЕТСЯ:
- ПРОВЕРЯТЬ КОМП АНТИВИРУСОМ;
- ПЕРЕУСТАНАВЛИВАТЬ ВИНДОВС;
- ПЫТАТЬСЯ ВОССТАНОВИТЬ ДАННЫЕ САМОСТОЯТЕЛЬНО.


ВСЕ ЭТИ ДЕЙСТВИЯ - БЕСПОЛЕЗНАЯ ТРАТА ВАШЕГО ВРЕМЕНИ И УСИЛИЙ, А ТАКЖЕ РЕАЛЬНЫЙ РИСК ПОТЕРЯТЬ ВСЮ ИНФОРМАЦИЮ НАВСЕГДА. НЕ УСЛОЖНЯЙТЕ СВОЕ ПОЛОЖЕНИЕ, ЛУЧШЕ ПИШИТЕ НА:
[email protected]


И ВСЕ БУДЕТ ХОРОШО. ДО СКОРОГО.
---
пароли RDP уже сменили, кроме того похоже еще что-то слетело (браузер не работает на сервере).

нужна Ваша помощь!

P.S. базы 1С бэкапились по расписанию на внешний винт - последние копии живые, слава Богу. А вот общие каталоги (там тьма-тьмущая всяко разного) залочены..

[Info_bot]

Уважаемый(ая) KlausM, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[KlausM]

добавил virusinfo_syscure log

[mike 1]

Логи сделайте не через терминальную сессию. + Нужно тело шифратора.

[KlausM]

Логи сделаю в ближайшее время, пока нет доступа к консоли.
А вот тело шифровальщика .. Как его найти? Файлы вида lockdir.exe или что-то подобное? В каталогах нет ничего похожего и сторонних файлов тоже нет. Видимо его тоже удалили после шифрования. Если нет шифратора - шансов нет?

[mike 1]

Если нет шифратора - шансов нет?

Уже наверное не нужно. Вчера у другого пользователя отловили его.

[KlausM]

Уже наверное не нужно. Вчера у другого пользователя отловили его.

тогда только логи? ок

[mike 1]

тогда только логи? ок

пока да.

[KlausM]

логи из консоли

[mike 1]

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[KlausM]

увы, пришлось не дожидаясь результатов переустановить систему. соотв. лог с чистой системы. смысла особого в нем нет. вопрос - оставшиеся зашифрованные файлы на других разделах есть шанс восстановить?

[mike 1]

Пришлите зашифрованную картинку.

[KlausM]

внутри

[mike 1]

Пробовали http://support.kaspersky.ru/viruses/disinfection/2911?

[KlausM]

Пробовали http://support.kaspersky.ru/viruses/disinfection/2911?

пробовал. безуспешно

[mike 1]

Информация

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашим файлам.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Скачайте te94decrypt.exe и сохраните в корень диска С.

В командной строке введите:

C:\te94decrypt.exe -k 492

Внимание!!!
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались

[KlausM]

Добрый день!
Файлы расшифрованы! Проверил несколько типов - открываются, все не могу проверить естественно. Сейчас удаляю копии зашифрованные с расширением LOCK. В процессе будет видно все ли успешно расшифровалось.
Большое спасибо за помощь!

[mike 1]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Советы и рекомендации после лечения компьютера

[KlausM]

mike 1,
спасибо! найдена одна уязвимость - несанкционированные цифровые сертификаты.
Пофиксил. тему можно закрывать!