Шифровальщик [email protected]

[webchekist]

Здравствуйте. В конторе в общих папках зашифровались файлы данным вирусом, причем хаотично. У всех пользователей на локальных дисках файлы не тронуты, ни каких сообщений и баннеров не было. Файлы больше не шифруются, но все равно опасно, вдруг опять отработает. На компах антивирусы (Каспер) молчат. Проверка curitom только на одном пк нашла файл типа akt_priema....exe идентифицировала как Trojan. installMonster. 47, скачен был за день до происшествия. Подскажите как узнать он это или если нет, как можно выяснить откуда пришел?
Заранее благодарен.

[Info_bot]

Уважаемый(ая) webchekist, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/pravila.html

[webchekist]

Здравствуйте, прикрепляю фай с подозреваемого ПК.

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[webchekist]

Прикладываю файлы по инструкции

[mike 1]

C:\Users\User\Downloads\7AF4.tmp

Пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[webchekist]

Карантин отправил, файл прикрепляю

[mike 1]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
• По окончанию сканирования снимите галочки со следующих строк:
  

  ***** [ Службы ] *****
  
  Служба Найдено : KMService
  
  ***** [ Файлы / Папки ] *****
  
  Папка Найдено : C:\Program Files\Mail.Ru
  Папка Найдено : C:\ProgramData\AlawarWrapper
  Папка Найдено : C:\Users\User\AppData\Local\Mail.Ru
  Файл Найдено : C:\Windows\system32\srvany.exe

• Нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

[webchekist]

Файл во вложении

[mike 1]

Логи в порядке. С расшифровкой помочь не сможем.

[webchekist]

Спасибо. Скажите а этот ПК был заражен шифровальщиком или нет?

[mike 1]

Похоже другой компьютер был заражен шифратором.

[webchekist]

Вопрос только как его найти. 100 ПК и у всех локально файлы целы, банеров и писем не было, а в сеть как то попал. полткргейст прям какой то.

[mike 1]

Скорее всего этот шифратор распространяется через взломанные сайты, либо через софт скачанный из сомнительных источников.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены