Шифровальщик [email protected]

[kavi333]

Всем доброго времени суток!
Бухгалтеру пришло письмо

Здравствуйте.

Высылаю карточку предприятия для выставления счета.

Ну она и открыла. В итоге 1С, все документы оказались зашифрованы. Все заканчиваются на [email protected]

Прилагаю результаты сканирования, сам вирус тоже в наличии(при необходимости).

[Info_bot]

Уважаемый(ая) kavi333, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Логи собирали на его компьютере или он его на сервере прямо запустил?

[kavi333]

Логи собирали на его компьютере или он его на сервере прямо запустил?

В локалке 3 ПК - сервер и 2 рабочих машины менеджеров с Win XP. Вирус запустили на сервере, оттуда он по сети полез на машины менеджеров и тоже делов натворил.

Логи собраны с сервера.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[kavi333]

Готово

[thyrex]

Образцы шифрованных файлов пришлите, но вероятность расшифровки весьма низкая

[kavi333]

Прикрепил.
Подскажите, каково поведение этих вирусов? Они после выполнения работы самоудаляются или сидят и шифруют потом новые документы?

Я Dr.Web Cure it прошелся - он ничего не нашел. Kaspersky Virus Removal Tool нашел пару этих "реквизитов" и удалил. Причем только на машине, с которой все началось.
И чем еще лучше просканить для верности?

[thyrex]

Они после выполнения работы самоудаляются

В большинстве своем - да.

Активного шифратора в логах нет.

[kavi333]

Образцы шифрованных файлов пришлите, но вероятность расшифровки весьма низкая

Ничего сделать с этой заразой не получилось, я так понимаю?

[thyrex]

Увы