Зашифровались все файлы ворд и фото, Вирус ВАТНИК 91 Помогите

[Михаил059]

Добрый день. Поймал вирус от ВАТНИКА 91, зашифровывались все файлы ворд и фото и картинки. Файлы очень важные прошу помощи в их расшифровке. Вирус поймал по электронной почте. Могу скинуть это письмо по электронке если скажите адрес.

[Info_bot]

Уважаемый(ая) Михаил059, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/pravila.html

[Михаил059]

День добрый. Так и не получил ответа по услуге "Помощь+" как оплатить через банковскую карту. Вот ссылка на на файлы http://rghost.ru/7jtf9QPvH там указан пароль. Жду очень ответа и помощи.

[thyrex]

Логи от Вас просили, а не шифрованные файлы

[Михаил059]

Не силен в компьютерном жаргоне. Как и где от куда его взть?

[mike 1]

Вы всегда через строчку читаете? Вам дали ссылку на инструкцию, но вам похоже даже лень перейти по ссылке.

[Михаил059]

На латинском пишет программа Avz

- - - - -Добавлено - - - - -

Вот отправляю ссылку где можно скачать логи http://rghost.ru/76mWx47fy, к сожалению не разобрался как прикрепить файлы через систему. Приношу свои извинения на предоставленные не удобства.

- - - - -Добавлено - - - - -

Вот отправляю ссылку где можно скачать логи http://rghost.ru/76mWx47fy, к сожалению не разобрался как прикрепить файлы через систему. Приношу свои извинения на предоставленные не удобства.

[mike 1]

к сожалению не разобрался как прикрепить файлы через систему. Приношу свои извинения на предоставленные не удобства.

Расширенный режим => Кнопка в виде скрепки.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

1. Скачайте CheckBrowserLnk и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите checkbrowserslnk.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет CheckBrowserLnk.log
5. Прикрепите этот отчет в вашей теме.

[Михаил059]

Надеюсь сделал все правильно!

[thyrex]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Михаил059]

Хотел узнать файлы получиться расшифровать?

- - - - -Добавлено - - - - -

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

К сожалению не совсем понял. Нужно удалить из документа который "Блокнот" ? и удалять тоже ключи которые найдены.?

[mike 1]

Хотел узнать файлы получиться расшифровать?

Может быть. От вас правда потребуется не меньше 1000 зашифрованных файлов.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Михаил059]

Добрый день. Высылаю отчет. После сканирования Др. Веб Обнаружил и обезвредил . Фото прилагаю.

[mike 1]

После сканирования Др. Веб Обнаружил и обезвредил

Это ложное срабатывание. Когда исправят пока неизвестно.

2015-03-17 10:34 - 2015-03-17 10:16 - 14639750 _____ () C:\Users\Admin\Desktop\COMP_2015-03-17_10-08-59 - копия.TXT

Где еще лечитесь?

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  CHR HKU\S-1-5-21-757216105-872069416-1804980968-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hp&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hp&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  HKU\S-1-5-21-757216105-872069416-1804980968-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX&q={searchTerms}
  Toolbar: HKU\S-1-5-21-757216105-872069416-1804980968-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
  StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.istartsurf.com/?type=sc&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  CHR Extension: (Стартовая — Яндекс) - C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2014-10-01]
  CHR HKLM-x32\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - http://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - https://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - No Path Or update_url value
  CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - http://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - https://clients2.google.com/service/update2/crx
  OPR Extension: (SuperMegaBest.com) - C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2014-09-14]
  StartMenuInternet: (HKLM) Opera - C:\Program Files (x86)\Opera\Opera.exe http://www.istartsurf.com/?type=sc&ts=1410628137&from=sien&uid=HitachiXHDS721050CLA362_JP1570HJ2A5PMK2A5PMKX
  2015-02-04 20:07 - 2014-12-08 12:25 - 00023752 _____ (360安全中心) C:\Windows\SysWOW64\Drivers\efimon.sys
  2015-02-04 19:20 - 2015-02-05 11:04 - 00000000 ____D () C:\Program Files (x86)\360
  2015-02-04 19:19 - 2015-02-04 19:19 - 00000000 ____D () C:\Users\Admin\AppData\Roaming\OpenCandy
  2015-01-08 12:33 - 2015-03-17 18:06 - 00000000 ____D () C:\Users\Admin\AppData\Roaming\Browsers
  2015-01-08 12:33 - 2015-01-08 12:33 - 00000000 ____D () C:\Users\Admin\AppData\Roaming\SPI
  2015-01-08 12:28 - 2015-01-08 12:28 - 00003998 _____ () C:\Windows\System32\Tasks\chrome5_logon
  2015-01-08 12:28 - 2015-01-08 12:28 - 00003992 _____ () C:\Windows\SysWOW64\mintcastnetworks.ini
  2015-01-08 12:28 - 2015-01-08 12:28 - 00003836 _____ () C:\Windows\System32\Tasks\chrome5
  2015-01-08 12:28 - 2015-01-08 12:28 - 00002032 _____ () C:\Windows\SysWOW64\mintcastnetworksOff.ini
  2015-01-08 12:28 - 2015-01-08 12:28 - 00002032 _____ () C:\Windows\system32\mintcastnetworksOff.ini
  2015-01-08 12:28 - 2015-01-08 12:28 - 00000001 _____ () C:\Users\Admin\AppData\Roaming\smw_inst
  2015-01-08 12:28 - 2014-06-11 11:18 - 00295736 _____ (AdwareRoi) C:\Windows\SysWOW64\mintcastnetworks.dll
  2015-03-17 18:09 - 2014-09-13 23:09 - 00000000 ____D () C:\Users\Все пользователи\IePluginServices
  2015-03-17 18:09 - 2014-09-13 23:09 - 00000000 ____D () C:\ProgramData\IePluginServices
  2015-03-17 09:19 - 2014-09-13 23:09 - 00000000 ____D () C:\Users\Admin\AppData\Roaming\istartsurf
  2014-09-30 22:51 - 2014-09-30 22:51 - 0627504 _____ (ClickMeIn Limited) C:\Users\Admin\AppData\Local\nsxB7B1.tmp
  C:\Users\Admin\AppData\Local\Temp\2010D1147CCAE969.exe
  C:\Users\Admin\AppData\Local\Temp\58261DB3EDAF6484.exe
  C:\Users\Admin\AppData\Local\Temp\5A15995B905F6ECC.exe
  C:\Users\Admin\AppData\Local\Temp\8F719CDC31020451.exe
  C:\Users\Admin\AppData\Local\Temp\ABA13712CB23DF5F.exe
  C:\Users\Admin\AppData\Local\Temp\accesspoint_11732073.2.1.exe
  C:\Users\Admin\AppData\Local\Temp\AmigoDistrib.exe
  C:\Users\Admin\AppData\Local\Temp\amigo_setup.exe
  C:\Users\Admin\AppData\Local\Temp\CF81266E50CEFC2B.exe
  C:\Users\Admin\AppData\Local\Temp\D135F4DD7F404056.exe
  C:\Users\Admin\AppData\Local\Temp\dws722F.exe
  C:\Users\Admin\AppData\Local\Temp\E566DE01858B5E0A.exe
  C:\Users\Admin\AppData\Local\Temp\hdinst_x64.exe
  C:\Users\Admin\AppData\Local\Temp\jove_modpack_0.9.5.exe
  C:\Users\Admin\AppData\Local\Temp\mailruhomesearchvbm.exe
  C:\Users\Admin\AppData\Local\Temp\sender.exe
  C:\Users\Admin\AppData\Local\Temp\setup (1).exe
  C:\Users\Admin\AppData\Local\Temp\setup.exe
  C:\Users\Admin\AppData\Local\Temp\SkypeSetup.exe
  C:\Users\Admin\AppData\Local\Temp\SpOrder.dll
  C:\Users\Admin\AppData\Local\Temp\utt57CE.tmp.exe
  Task: {1AB23B52-8678-4B59-AED4-66443D44C8D9} - System32\Tasks\chrome5_logon => C:\Program Files (x86)\Microsoft Data\InstallAddons.exe
  Task: {673571A7-1686-49A3-B3A3-C17FDF490ECE} - System32\Tasks\APSnotifierPP2 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: {AA257C75-1176-43EB-8600-ECF60E7145A7} - System32\Tasks\APSnotifierPP1 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: {C1453038-8C2A-4C29-A948-53C5BD94A1F2} - System32\Tasks\APSnotifierPP3 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: {E0E6C524-981D-4A53-A498-EBE2B6D4A7D0} - System32\Tasks\chrome5 => C:\Program Files (x86)\Microsoft Data\InstallAddons.exe
  Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: C:\Windows\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: C:\Windows\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

- - - - -Добавлено - - - - -

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Это просили выполнить, но так вы это и не выполнили.

[Михаил059]

по поводу еще лечения, сначала общался на форуме Eset там что то попытались сделать но не смогли, потом сдал в специализированный сервис там установили вот др. веб и тоже сказали ни чем помочь не получиться. Потом из форума есет написали что вы можете расшифровать файлы и скинул на ваш форум ссылку.

Сообщение от mike 1 Посмотреть сообщение
Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Не понял что нужно сделать?
Эти папки нужно что то удалить? или нет? если да, то на ваш взгляд они важные?
***** [ Файлы / Папки ] *****

Папка Найдено : C:\Device
Папка Найдено : C:\Program Files (x86)\PANDORA.TV
Папка Найдено : C:\ProgramData\IePluginServices
Папка Найдено : C:\ProgramData\WindowsMangerProtect
Папка Найдено : C:\Users\Admin\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\Admin\AppData\Local\MailRu
Папка Найдено : C:\Users\Admin\AppData\Roaming\ap_logs
Папка Найдено : C:\Users\Admin\AppData\Roaming\Dorrible
Папка Найдено : C:\Users\Admin\AppData\Roaming\istartsurf
Папка Найдено : C:\Users\Admin\AppData\Roaming\OpenCandy
Папка Найдено : C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh
Файл Найдено : C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_www.istartsurf.com_0.localstorage
Файл Найдено : C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_www.istartsurf.com_0.localstorage-journal
Файл Найдено : C:\Users\Admin\AppData\Roaming\aps.uninstall.scan. results
Файл Найдено : C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Pro files\ry124u8f.default\Extensions\[email protected]
Файл Найдено : C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Pro files\ry124u8f.default\Extensions\yasearch@yandex. ru.xpi
Файл Найдено : C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.superfish.com_0.localstorage
Файл Найдено : C:\Users\Admin\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.superfish.com_0.localstorage-journal

[mike 1]

2015-03-19 17:28 - 2015-03-17 09:32 - 00025534 _____ () C:\Users\Admin\Desktop\acdfghiklmop.rtt.id-{ZABCDDEEFGHHIIIJKLLMMMNOPPQQQRSSTUVV-17.03.2015 8@47@379514858}[email protected] - копия.cbf

У вас 8 версия. Мы можем иногда помочь только с 6 или 7 версией.

[Михаил059]

Т.е. теперь ждать пока сможете взломать 8 версию? И даже на платной основе не получится? в "помогите"+

[mike 1]

Т.е. теперь ждать пока сможете взломать 8 версию?

В 8 версии автор шифровальщика исправил ошибки, которые были в предыдущих версиях. Потому расшифровка может вообще не появится, даже спустя продолжительное время.

И даже на платной основе не получится? в "помогите"+

Когда я пишу, что не можем помочь, то подразумевается что даже за деньги не сможем помочь.