Помогите пожалуйста, вирус зашифровал файлы. [not-a-virus:RemoteAdmin.Win32.RMS.x ]

[АлександерShas]

вирус зашифровал очень значимые для меня видео и фото файлы. Помогите ребята.

[Info_bot]

Уважаемый(ая) АлександерShas, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[АлександерShas]

могу предоставить зашифрованные файлы, а так же их не зашифрованные оригиналы.

[mike 1]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\windows\system32\svshoct.exe');
 TerminateProcessByName('c:\windows\system32\explolerte.exe');
 SetServiceStart('RManService', 4);
 StopService('RManService');
 QuarantineFile('C:\Program Files\Mobogenie\DaemonProcess.exe','');
 QuarantineFile('C:\DOCUME~1\SHAS\LOCALS~1\Temp\9dKXT5hK5ivPcCX.exe','');
 QuarantineFile('c:\windows\system32\svshoct.exe','');
 QuarantineFile('c:\windows\system32\explolerte.exe','');
 DeleteFile('C:\WINDOWS\system32\svshoct.exe','32');
 DeleteFile('C:\DOCUME~1\SHAS\LOCALS~1\Temp\9dKXT5hK5ivPcCX.exe','32');
 DeleteFile('C:\Program Files\Mobogenie\DaemonProcess.exe','32');
 DeleteFile('C:\WINDOWS\system32\explolerte.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
 DeleteService('RManService');  
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

O2 - BHO: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O3 - Toolbar: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [NextLive] C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\SHAS\Application Data\newnext.me\nengine.dll",EntryPoint -m l
O4 - S-1-5-18 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'SYSTEM')
O4 - .DEFAULT Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Default user')
O4 - .DEFAULT User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Default user')
O4 - Global Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
O20 - Winlogon Notify: RWLN - RWLN.dll (file missing)

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[АлександерShas]

отчет AdwCleaner

[mike 1]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Clean" и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

Где остальные логи, которые просили сделать?

Зашифрованную картинку пришлите.

[АлександерShas]

лог HiJackThis

файл карантина avz

[mike 1]

Ждем остальные логи.

[АлександерShas]

я все правильно сделал, и могу приступить к этим указаниям?:

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Clean" и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

Где остальные логи, которые просили сделать?

Зашифрованную картинку пришлите.

[mike 1]

я все правильно сделал, и могу приступить к этим указаниям?:

Да только карантин в теме выкладывать не нужно. У нас для загрузки карантина есть специальная форма.

[АлександерShas]

Отчет AdwCleaner

[mike 1]

Еще просил сделать новые логи AVZ и прислать зашифрованную картинку.

[АлександерShas]

Здравствуйте.
Заметил, что некоторые mp3 и jpeg файлы остались в двух вариантах. Один зашифрован, а другой нет.
Зашифрованные файлы: http://www.fayloobmennik.net/4296763

[mike 1]

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[АлександерShas]

Во время выполнения пункта 3, uVS зависает на проверке цифровых подписей.
Пробовал перезагрузить компьютер, не помогло.
Так же менял разрешение файла start.exe на pif и cmd. Как быть?

Проблема решена, получилось сделать лог в безопасном режиме

[mike 1]

Попробуйте сохранить образ без проверки ЭЦП.

[АлександерShas]

Проблема решена, получилось сделать лог в безопасном режиме

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.84.1 [http://dsrt.dyndns.org]
   ;Target OS: NTv5.1
   v384c
   breg
   
   del %SystemDrive%\DOCUMENTS AND SETTINGS\DEFAULT USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
   zoo %SystemDrive%\DOCUMENTS AND SETTINGS\SHAS\LOCAL SETTINGS\TEMP\WIUPDATE.EXE
   delall %SystemDrive%\DOCUMENTS AND SETTINGS\SHAS\LOCAL SETTINGS\TEMP\WIUPDATE.EXE
   del %Sys32%\CONFIG\SYSTEMPROFILE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
   czoo

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог uVS. Попробуйте его сделать из обычного режима, но с отключенной проверкой ЭЦП.

[АлександерShas]

Выполнено.

[mike 1]

Логи в порядке. Пароли от RDP и учетных записей смените на более сложные.

Присланные файлы расшифрованы (возможно, не расшифруются только файлы совсем небольшого маленького размера). С 1 ноября расшифровка файлов идет отдельной услугой. Подробнее здесь.