Система заражена MSIL\Filecoder.AO зашифрованы все jpg файлы.

[Александр 1212]

Доброго времени суток!
Товарищ подхватил вирус шифровальщик который зашифровал все фото.
Систему после вируса уже успели переустановить, после была выполнена проверка антивирусом eset nod32 8, который нашел и удалил кучу текстовых документов с инструкцией от писателей вируса "ВНИМАНИЕ откройте меня" где описано как и куда обращаться за расшифровкой. Заранее cпасибо за помощь!

[Info_bot]

Уважаемый(ая) Александр 1212, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Хорошо засрали себе систему, качественно, на совесть.

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('c:\pcfiXtraynjynm.lnk','');
 QuarantineFile('C:\Users\Светлана\AppData\Roaming\UPUpdata\cessrs.exe','');
 QuarantineFile('D:\Documents\systemfile.exe','');
 DeleteFile('D:\Documents\systemfile.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SystemClose');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','cessrs.exe -start');
 DeleteFile('C:\Users\Светлана\AppData\Roaming\UPUpdata\cessrs.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','LightGate');
 DeleteFile('C:\ProgramData\LightGate.exe','32');
 DeleteFile('c:\programdata\homepage.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','HomePageHelper');
 DeleteFile('c:\pcfiXtraynjynm.lnk','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','PCFIXTRAYUHQPJ');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','360safeuninst_1f0fb7c2d13cc0c07ff2ca40747bc03e');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','EGwatcher');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msiql');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','taskhost');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Pritc');
 DeleteFile('C:\ProgramData\WindowsMsg\675D131108D4FD145B0BFBC68A3E018A.dll','32');
 DeleteFile('C:\Windows\TEMP\is-S6J26.tmp\print.exe','32');
 DeleteFile('c:\programdata\msiql.exe','32');
 DeleteFile('C:\Users\Светлана\AppData\Roaming\e8bce8d7187977c9d0633d143c72b72b\EGupdate.exe','32');
 DeleteFile('C:\Users\B215~1\AppData\Local\Temp\1f0fb7c2d13cc0c07ff2ca40747bc03e_remove360.bat','32');
 DeleteFile('C:\ProgramData\service.exe','32');
 DeleteFile('C:\ProgramData\Windows Update\svrupg.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\runTask','64');
 DeleteFile('C:\Users\B215~1\AppData\Local\Temp\Updater.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{FD428731-E5DA-45F2-9A75-57847C763AD8}','64');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
2. Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
3. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
4. Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Александр 1212]

Добрый день!
Спасибо за ответ.
Выполнил все инструкции

[mike 1]

1. Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
2. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
3. Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

[Александр 1212]

Выполнил

[mike 1]

Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы, выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните лог в формате txt и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

[Александр 1212]

Cделано

[mike 1]

Удалите в MBAM все найденное.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[Александр 1212]

выполнил

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Александр 1212]

Прикрепил

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в кодировке Юникод в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM-x32\...\Run: [win_en_77] => [X]
   BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
   CHR HKLM-x32\...\Chrome\Extension: [ahkmpjnmnhjkpkacdhkliipnncobgkhk] - hxxps://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [bhjcgomkanpkpblokebecknhahgkcmoo] - hxxp://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
   CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
   2016-04-24 15:27 - 2016-04-24 15:27 - 00000041 _____ C:\Users\Светлана\Desktop\Поиск в интернете.URL
   2016-04-04 17:15 - 2016-04-24 14:30 - 00000258 __RSH C:\Users\Все пользователи\ntuser.pol
   2016-04-04 17:15 - 2016-04-24 14:30 - 00000258 __RSH C:\ProgramData\ntuser.pol
   2016-03-10 02:15 - 2016-03-10 02:15 - 00000000 ____D C:\Users\小胁械褌谢邪薪邪
   2016-03-10 01:42 - 2016-03-10 01:42 - 00002156 _____ C:\Users\Все пользователи\HomePage.exe.lnk
   2016-03-10 01:42 - 2016-03-10 01:42 - 00002156 _____ C:\ProgramData\HomePage.exe.lnk
   2016-03-10 01:41 - 2016-05-10 14:32 - 00001431 _____ C:\Users\Светлана\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
   2016-03-10 01:13 - 2016-04-08 22:47 - 00000000 ____D C:\Users\Светлана\AppData\Local\app
   2016-03-10 01:13 - 2016-03-10 01:13 - 07600640 _____ C:\Users\Светлана\AppData\Roaming\agent.dat
   2016-03-10 01:13 - 2016-03-10 01:13 - 01787006 _____ C:\Users\Светлана\AppData\Roaming\Matlam.tst
   2016-03-10 01:13 - 2016-03-10 01:13 - 00072715 _____ C:\Users\Светлана\AppData\Roaming\SingleEco.tst
   2016-03-10 01:13 - 2016-03-10 01:13 - 00018432 _____ C:\Users\Светлана\AppData\Roaming\Main.dat
   2016-03-10 01:13 - 2016-03-10 01:13 - 00005120 _____ C:\Users\Светлана\AppData\Roaming\GiftBag.db
   2016-03-10 01:12 - 2016-03-10 01:12 - 00000000 ____D C:\Users\砚弪豚磬\AppData\Roaming\Tencent
   2016-03-10 01:12 - 2016-03-10 01:12 - 00000000 ____D C:\Users\砚弪豚磬
   2016-03-10 01:11 - 2016-03-10 01:11 - 00001730 ____R C:\Yeabeats Browser.lnk
   2016-03-10 01:10 - 2016-03-10 01:42 - 00000000 ____D C:\Users\Все пользователи\Windows Update
   2016-03-10 01:10 - 2016-03-10 01:42 - 00000000 ____D C:\ProgramData\Windows Update
   2016-03-10 01:10 - 2016-03-10 01:10 - 00127488 _____ C:\Users\Светлана\AppData\Roaming\Installer.dat
   2016-03-10 01:10 - 2016-03-10 01:10 - 00011633 _____ C:\Users\Все пользователи\webad.xml
   2016-03-10 01:10 - 2016-03-10 01:10 - 00011633 _____ C:\ProgramData\webad.xml
   2016-03-10 01:09 - 2016-03-10 01:09 - 00000000 ____D C:\Users\Все пользователи\Thunder Network
   2016-03-10 01:09 - 2016-03-10 01:09 - 00000000 ____D C:\Users\Public\Thunder Network
   2016-03-10 01:09 - 2016-03-10 01:09 - 00000000 ____D C:\ProgramData\Thunder Network
   2016-03-09 22:18 - 2016-03-09 22:14 - 00001251 _____ C:\Windows\system32\Drivers\etc\hp.bak
   2016-03-09 22:15 - 2016-04-08 22:46 - 00000000 ____D C:\Users\Светлана\AppData\Local\SystemMonitor2016
   2016-03-06 20:45 - 2016-03-06 20:45 - 00000000 ____D C:\Users\Все пользователи\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
   2016-03-06 20:45 - 2016-03-06 20:45 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
   2016-03-06 20:44 - 2016-04-06 07:36 - 00000000 ____D C:\Users\Светлана\AppData\Local\Unity
   2016-03-06 20:44 - 2016-04-05 20:53 - 00000000 ____D C:\Users\Светлана\AppData\LocalLow\Unity
   2016-03-06 20:42 - 2016-04-08 22:46 - 00000000 ____D C:\Users\Светлана\AppData\Local\Hostinstaller
   2016-03-10 01:13 - 2016-03-10 01:13 - 7600640 _____ () C:\Users\Светлана\AppData\Roaming\agent.dat
   2016-03-10 01:13 - 2016-03-10 01:13 - 0005120 _____ () C:\Users\Светлана\AppData\Roaming\GiftBag.db
   2016-03-10 01:10 - 2016-03-10 01:10 - 0127488 _____ () C:\Users\Светлана\AppData\Roaming\Installer.dat
   2016-03-10 01:13 - 2016-03-10 01:13 - 0018432 _____ () C:\Users\Светлана\AppData\Roaming\Main.dat
   2016-03-10 01:13 - 2016-03-10 01:13 - 1787006 _____ () C:\Users\Светлана\AppData\Roaming\Matlam.tst
   2016-03-10 01:13 - 2016-03-10 01:13 - 0072715 _____ () C:\Users\Светлана\AppData\Roaming\SingleEco.tst
   2016-03-10 01:42 - 2016-03-10 01:42 - 0002156 _____ () C:\ProgramData\HomePage.exe.lnk
   2016-03-10 01:10 - 2016-03-10 01:10 - 0011633 _____ () C:\ProgramData\webad.xml
   Task: {42AC64E9-BB99-44D4-B7AE-9825E94C4D44} - \{FD428731-E5DA-45F2-9A75-57847C763AD8} -> No File <==== ATTENTION
   Task: {463B2510-BD32-478B-A1CD-A6A7D143EFDB} - System32\Tasks\Microsoft\Windows\Media Center\VideoFetcher => C:\ProgramData\VideoFetcher\VideoFetcher.exe [2016-03-24] () <==== ATTENTION
   Task: {CDE710AC-5A33-423D-9A04-EB0D4F1F0981} - \SystemMonitor2016 -> No File <==== ATTENTION
   2016-03-28 11:21 - 2016-03-28 11:21 - 00000000 ____D C:\Windows\SysWOW64\tab
   2016-03-28 11:21 - 2016-03-28 11:21 - 00000000 ____D C:\Windows\SysWOW64\hover
   2016-03-27 22:01 - 2016-04-08 22:01 - 00000000 ____D C:\Users\Все пользователи\VideoFetcher
   2016-03-27 22:01 - 2016-04-08 22:01 - 00000000 ____D C:\ProgramData\VideoFetcher
   EmptyTemp:

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

[Александр 1212]

Здравствуйте спасибо за помощь инструкцию выполнил.
Скажите пожалуйста можно ли будет восстановить фотографии?

[mike 1]

К сожалению, с расшифровкой помочь не сможем. У меня ключа нет под этот ID.

[Александр 1212]

То что на этом все их никогда не можна будет восстановить, или хи сохранить на будущее и потом и ще раз попробовать?
Может создать другую тему по расшифровке файлов? Что еще можно сделать?

[mike 1]

Я думаю расшифровки не предвидится.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены