Шифровальщик зашифровал с расширением .cbf

[Ser-Ga]

Вирус-шифровальщик зашифровал файлы.
Windows 7 Professional SP1 32bit.

Файлы стали примерно с таким именем:
[email protected] 0.0.1.0.id-NOPPRSSTUUUVWXYYYZAABCCDEEFGHHHIJKKL-05.05.2015 8@[email protected]

Логи прилагаю.

[Info_bot]

Уважаемый(ая) Ser-Ga, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Ser-Ga]

Готов лог от AdwCleaner.

Кстати, запускал два дешифровальщика от Касперского, они не помогли.

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Ser-Ga]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Сделал. Не понятно какой отчёт надо, поэтому вложил отчёты по лечению и сканированию после лечения.

Кстати, заражение произошло также как в этой теме:
http://virusinfo.info/showthread.php?t=183545

[mike 1]

Кстати, заражение произошло также как в этой теме:

Я знаю. К сожалению, некоторые пострадавшие не соблюдают элементарных правил компьютерной безопасности.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Ser-Ga]

Готово.
Файл отчёта FRST.txt не проходил по размеру, поэтому сжал его в архив FRST.7z.

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CloseProcesses:
  HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://api.youqian.baidu.com/v1/nav?soft=12&uid=50102138&guid=3e70b4e487bc58ff1c29068344ac6e07&vd=682252317
  S4 BaiduUpdater; C:\Program Files\baidu\BaiduUpdate\bdupdate.exe [X]
  R1 BDEnhanceBoost; C:\Windows\System32\DRIVERS\BDEnhanceBoost.sys [48328 2015-02-10] (Baidu)
  R2 BDMNetMon; C:\Windows\System32\DRIVERS\BDMNetMon.sys [182088 2015-02-10] (Baidu)
  R1 BdSandBox; C:\Windows\System32\DRIVERS\BdSandBox.sys [139784 2014-11-06] (Baidu)
  S1 BDDefense; system32\drivers\BDDefense.sys [X]
  2015-04-30 14:03 - 2015-02-10 22:38 - 00182088 _____ (Baidu) C:\Windows\system32\Drivers\BDMNetMon.sys
  2015-04-30 14:03 - 2015-02-10 22:38 - 00048328 _____ (Baidu) C:\Windows\system32\Drivers\BDEnhanceBoost.sys
  2015-04-30 13:40 - 2014-11-06 11:38 - 00139784 _____ (Baidu) C:\Windows\system32\Drivers\BdSandBox.sys
  2015-04-30 13:40 - 2014-11-06 11:38 - 00026824 _____ (Baidu) C:\Windows\system32\Drivers\BDFileDefend.sys
  Folder: C:\Program Files\Rich Document
  Folder: C:\ProgramData\TEMP
  Folder: C:\Users\Все пользователи\TEMP
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\Services\BaiduHips]
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\Services\BaiduUpdater]
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\Services\BDSGRTP]
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BaiduAnTray]
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray]
  C:\Program Files\Baidu
  FirewallRules: [{E69DF164-D05E-4385-9EE3-2C47D8B3157C}] => (Allow) C:\program files\common files\baidu\bddownload\109\bddownloader.exe
  FirewallRules: [{A8E75CDC-8E8A-4B43-A3E3-05FE07AAF515}] => (Allow) C:\program files\common files\tencent\qqdownload\130\tencentdl.exe
  FirewallRules: [{F9A8B398-E439-48D6-9243-0706EE08E4AD}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Ser-Ga]

Готово.
Файл fixlog.txt прикрепил.

Кстати, программа Baidu стояла задолго до заражения шифровальщиком, но удалялась тяжело. До сих пор хвосты остаются.

[mike 1]

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

[Ser-Ga]

Готово.

Вопрос: сможете расшифровать зашифрованные файлы?

[mike 1]

Вопрос: сможете расшифровать зашифрованные файлы?

Нет.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

KillAll::

File::

Driver::
BaiduUpdater
BDEnhanceBoost
BDMNetMon
BdSandBox
BDDefense

Folder::
c:\program files\Rich Document

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\QQPCRTP]

FileLook::

DirLook::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Ser-Ga]

Готово. Новый отчёт прикрепил.

Скажите, а какие перспективы дешифрования файлов?

[mike 1]

Я хочу кое-что посмотреть, но мне нужен удаленный доступ к вашему компьютеру. Скачайте TeamViewer, запустите и в ЛС скиньте id и пароль который сгенерировала программа.