базы данных и другие файлы были зашифрованы криптостойким алгоритмом с уникальным для вашего ПК ключом. [not-a-virus:Downloader.Win32.Montiera.al ]

**Алексей Zh** · 13.04.2016, 16:11

Вирус зашифровал файлы, в основном именно те файлы с которыми постоянно работаешь, а именно 1С базы, xmls файлы и т.д. Все зашифрованные файлы имеют расширение "001_0218_2.zip.id-{C4591254}_repairfiles365@gmail_com".
В каждом каталоге где есть зашифрованные файлы присутствует некое письмо "КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt" следующего содержания:

"Все ваши документы, фотографии, базы данных и другие файлы были зашифрованы криптостойким алгоритмом с уникальным для вашего ПК ключом.
Если вы хотите убедится в том, что дешифратор для ваших файлов у нас действительно есть, можете прислать нам какой-нибудь зшифрованный файл и мы вернем его оригинал
E-mail для связи с нами - [email protected]"

Эту проблему можно решить?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 13.04.2016, 16:12

Уважаемый(ая) Алексей Zh, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 13.04.2016, 18:50

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe','');
 QuarantineFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrsetup.exe','');
 QuarantineFile('C:\Program Files\Pay-By-Ads\Yahoo! Search\1.3.26.12\..\updt.js','');
 QuarantineFile('C:\Users\2E801~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','');
 DeleteFile('C:\Users\2E801~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\DSite.job','32');
 DeleteFile('C:\Windows\system32\Tasks\DSite','32');
 DeleteFile('C:\Program Files\Pay-By-Ads\Yahoo! Search\1.3.26.12\..\updt.js','32');
 DeleteFile('C:\Windows\system32\Tasks\Yahoo! Search Updater','32');
 DeleteFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrsetup.exe','32');
 DeleteFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

**Алексей Zh** · 14.04.2016, 14:30

Сообщение от thyrex

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe','');
 QuarantineFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrsetup.exe','');
 QuarantineFile('C:\Program Files\Pay-By-Ads\Yahoo! Search\1.3.26.12\..\updt.js','');
 QuarantineFile('C:\Users\2E801~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','');
 DeleteFile('C:\Users\2E801~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\DSite.job','32');
 DeleteFile('C:\Windows\system32\Tasks\DSite','32');
 DeleteFile('C:\Program Files\Pay-By-Ads\Yahoo! Search\1.3.26.12\..\updt.js','32');
 DeleteFile('C:\Windows\system32\Tasks\Yahoo! Search Updater','32');
 DeleteFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrsetup.exe','32');
 DeleteFile('C:\Program Files\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

Выполнить правила еще раз и предоставить Новые логи. это virusinfo_syscheck.zip и virusinfo_syscure.zip и hijackthis.log сформиовать и прикрепить??

**thyrex** · 14.04.2016, 14:33

Именно так

**Алексей Zh** · 14.04.2016, 19:16

помогите, не могу прикрепить файлы

- - - - -Добавлено - - - - -

файлы прикрепил

- - - - -Добавлено - - - - -

мне надо бы побыстрей, готов воспользоваться помогите+, но могу только визой оплатить. подскажите как это сделать?

- - - - -Добавлено - - - - -

прикрепил

- - - - -Добавлено - - - - -

thyrex, ДВ. Извините за настойчивость. Проинформируйте на какой стадии моя проблема. заранее благодарен за ответ.

**thyrex** · 14.04.2016, 21:03

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

**Алексей Zh** · 14.04.2016, 21:41

Сделал, лог приклепляю.

**thyrex** · 14.04.2016, 22:05

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
HKU\S-1-5-21-22183096-1750068997-4150030926-1001\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = hxxp://search.babylon.com/?affID=115849&tt=3612_8&babsrc=HP_ss&mntrId=146b6eb0000000000000f46d045aa097
BHO: No Name -> {872b5b88-9db5-4310-bdd0-ac189557e5f5} -> No File
Toolbar: HKLM - No Name - {872b5b88-9db5-4310-bdd0-ac189557e5f5} -  No File
CHR Extension: (Funmoods) - C:\Users\Алексей2\AppData\Local\Google\Chrome\User Data\Default\Extensions\fdloijijlkoblmigdofommgnheckmaki [2016-04-12] [UpdateUrl: hxxp://funmoods.com/public/download/chrome/update.xml] <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [fdloijijlkoblmigdofommgnheckmaki] - C:\Program Files\Funmoods\funmoods\1.5.11.16\funmoodsOEM.crx [2012-01-04]
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ieakfmpjhljbpbfpldjkddkjmmgjmgon] - <no Path\update_url>
CHR HKLM\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [plmlpkfpkijnlijgalnjaacllnjmoamo] - <no Path\update_url>
2016-04-12 01:27 - 2014-02-04 01:56 - 00000000 ____D C:\Users\Алексей2\AppData\Roaming\DigitalSites
2016-04-12 01:27 - 2013-09-10 09:56 - 00000000 ____D C:\Users\Алексей2\AppData\Roaming\MetaCrawler
2016-04-12 01:27 - 2013-09-10 09:56 - 00000000 ____D C:\Users\Алексей2\AppData\Roaming\DSite
2016-04-12 01:27 - 2013-09-10 09:56 - 00000000 ____D C:\Users\Алексей2\AppData\Roaming\0D0S1L2Z1P1B0T1P1B2Z
2016-04-12 01:27 - 2013-06-20 08:47 - 00000000 ____D C:\Users\Алексей2\AppData\Roaming\BabSolution
2016-04-12 01:25 - 2012-03-22 12:23 - 00000000 ____D C:\Users\Алексей2\AppData\LocalLow\searchqutoolbar
2016-04-12 01:21 - 2012-03-23 11:37 - 00000000 ____D C:\Users\Алексей2\AppData\LocalLow\DataMngr
2016-04-12 01:21 - 2012-02-13 18:24 - 00000000 ____D C:\Users\Алексей2\AppData\LocalLow\Conduit
2016-04-12 01:18 - 2014-06-27 03:23 - 00000000 ____D C:\Users\Алексей2\AppData\Local\Pay-By-Ads
2016-04-12 01:06 - 2012-02-13 18:24 - 00000000 ____D C:\Users\Алексей2\AppData\Local\Conduit
2016-04-12 01:06 - 2011-10-09 16:51 - 00000000 ____D C:\Users\Алексей2\AppData\Local\Babylon
2016-04-12 01:05 - 2012-12-25 11:05 - 00000000 ____D C:\Users\Алексей\AppData\LocalLow\BabylonToolbar
2016-04-12 01:05 - 2012-03-24 11:22 - 00000000 ____D C:\Users\Алексей\AppData\LocalLow\searchqutoolbar
2016-04-12 00:56 - 2012-01-10 14:36 - 00000000 ____D C:\Users\Centrsoft\AppData\LocalLow\BabylonToolbar
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{035FBE31-3755-450A-A775-5E6BBD43D344}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{095A2EEC-F7FE-42E8-96FB-C20E53081908}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{1423F872-3F7F-4E57-B621-8B1A9D49B448}\InprocServer32 -> C:\Users\Алексей2\AppData\Local\Google\Update\1.3.27.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{218D2740-5A50-42A8-AB9F-62FF1B168782}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{320F0FDB-BE0A-4648-9D18-4A2C3448C007}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{62A0D750-DED9-448C-B693-406B34BB0892}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{634059C0-D264-4B2C-AE80-F73E48D33E5B}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{6D7374DE-63AA-473C-8C02-60D9CDCD84C5}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Users\Алексей2\AppData\Local\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{91EFB276-CEFE-48EC-BB3A-57795A7B4008}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{A45426FB-E444-42B2-AA56-419F8FBEEC61}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{A54D478D-4F70-4F72-9A74-17C9986E35AB}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{C3BC25C0-FCD3-4F01-AFDD-41373F017C9A}\InprocServer32 -> C:\Users\Алексей2\AppData\Local\Google\Update\1.3.26.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{C5A2122B-A05B-4FD8-AE49-91990AE10998}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{CC182BE1-84CE-4A57-B85C-FD4BBDF78CB2}\InprocServer32 -> C:\Users\Алексей2\AppData\Local\Google\Update\1.3.29.1\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Users\Алексей2\AppData\Local\Google\Update\1.3.25.11\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Users\Алексей2\AppData\Local\Google\Update\1.3.28.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{EB06378B-ABB6-4B3C-9B40-D488DD8A6E93}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{FB994D36-B312-46CE-A40B-CF63980641F9}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-22183096-1750068997-4150030926-1001_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> no filepath
Task: {E93170BB-B6AA-4E63-904E-6ABCA9B437AB} - \Yahoo! Search Updater -> No File <==== ATTENTION
AlternateDataStreams: C:\Users\Алексей2\Local Settings:wa [146]
AlternateDataStreams: C:\Users\Алексей2\AppData\Local:wa [146]
AlternateDataStreams: C:\Users\Алексей2\AppData\Local\Application Data:wa [146]
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

**Алексей Zh** · 14.04.2016, 23:17

Сделал

**thyrex** · 14.04.2016, 23:27

С расшифровкой не поможем

**CyberHelper** · 14.04.2016, 23:37

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 11
В ходе лечения обнаружены вредоносные программы:
1. c:\program files\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe - not-a-virus:Downloader.Win32.Montiera.al ( DrWEB: Adware.Downware.10912, BitDefender: Gen:Variant.Application.Strictor.64185, AVAST4: Win32:PayByAds-A [Adw] )
2. c:\program files\pay-by-ads\yahoo! search\1.3.25.0\dsrsetup.exe - not-a-virus:Downloader.Win32.Montiera.al ( DrWEB: Adware.Toolbar.535, BitDefender: Gen:Variant.Application.Strictor.64185, AVAST4: Win32:PayByAds-A [Adw] )

базы данных и другие файлы были зашифрованы криптостойким алгоритмом с уникальным для вашего ПК ключом. [not-a-virus:Downloader.Win32.Montiera.al ] (заявка № 199536)

Опции темы