файлы зашифрованы ([email protected]) [Email-Worm.Win32.Agent.mf ]

[NikVo]

Сегодня на почту пришло сообщение с темой СУДЕБНЫЙ ИСК от Cyдебные приставы
в конце письма была ссылка
После чего все файлы оказались зашифрованы, на рабочем столе появилось сообщение
"Все файлы зашифрованы, если хочешь всё вернуть, отправь 1 зашифрованный файл на эту почту: [email protected]
ВНИМАНИЕ!!! у вас есть 1 неделя что-бы написать мне на почту, по прошествии этого срока расшифровка станет невозможна" !!!!!

[Info_bot]

Уважаемый(ая) NikVo, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin   
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Program Files\1\svchost.exe','');
 DeleteFile('C:\Program Files\1\svchost.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите sitlog.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
6. Прикрепите эти отчеты в вашей теме.

[NikVo]

как прекрипить файлы в теме?

- - - - -Добавлено - - - - -

можно поинтересоваться, дошел ли карантин?

[mike 1]

можно поинтересоваться, дошел ли карантин?

Дошел, но правда пустой.

как прекрипить файлы в теме?

Расширенный режим там кнопка есть в виде скрепки.

[NikVo]

пишет, что размер файла больше допустимого размера для этого типа файлов

- - - - -Добавлено - - - - -

что делать? пробую повторно отправить карантин, появилась надпись что данный файл уже был отправлен.

[mike 1]

что делать?

В карантин ничего не попало поэтому он и получился пустым.

пишет, что размер файла больше допустимого размера для этого типа файлов

Попробуйте упаковать логи в архив.

[NikVo]

логи

[mike 1]

Выполните скрипт в AVZ:

Procedure ScanDir(ADirName : string; AScanSubDir : boolean);
var FS : TFileSearch;
begin
ADirName := NormalDir(ADirName);
FS := TFileSearch.Create(nil);
FS.FindFirst(ADirName + '*');
while FS.Found do
  begin
    SetStatusBarText(ADirName + FS.FileName);
    if FS.IsDir then
     begin
       if AScanSubDir and (FS.FileName <> '.') and (FS.FileName <> '..') then
         ScanDir(ADirName + FS.FileName, AScanSubDir)
     end
    else
      AddToLog(ADirName + FS.FileName + '__MD5= ' + CalkFileMD5(ADirName + FS.FileName)+ '__Size= '+ IntToStr(GetFileSize(ADirName + FS.FileName)));

    FS.FindNext;
  end;
FS.Free;
end;

begin
ClearLog;
ScanDir('C:\Program Files\1', true);
ScanDir('C:\Program Files\ROSS INFORM', true);
ScanDir('C:\Documents and Settings\Admin\Application Data\WinRAR', true);
SaveLog(GetAVZDirectory + 'MD5&Size.txt');
end.

После выполнения скрипта AVZ будет сформирован отчет MD5&Size.txt. Выложите файл MD5&Size.txt из папки с авз.

[NikVo]

MD5&size

[mike 1]

C:\Program Files\ROSS INFORM\symly soft informer\svchost.exe
C:\Program Files\ROSS INFORM\symly soft informer\update.exe

Пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[NikVo]

карантин получен?

[mike 1]

Получен. Папки эти удаляйте. Смените все пароли. С расшифровкой помочь не сможем.

[NikVo]

вы имеете ввиду папки с логами?

- - - - -Добавлено - - - - -

как найти этот шифровальщик на компе?

- - - - -Добавлено - - - - -

и как его удалить, чтобы он впредь не мог причинить вреда?

[mike 1]

вы имеете ввиду папки с логами?

Эти папки:

C:\Program Files\1
C:\Program Files\ROSS INFORM

и как его удалить, чтобы он впредь не мог причинить вреда?

Он уже удален.

[NikVo]

спасибо за оказание помощи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\ross inform\symly soft informer\svchost.exe - Email-Worm.Win32.Agent.mf ( AVAST4: Win32:Malware-gen )
  2. c:\program files\ross inform\symly soft informer\update.exe - Email-Worm.Win32.Agent.mf ( AVAST4: Win32:Malware-gen )