CRYPTED000007 [not-a-virus:RiskTool.Win32.BitCoinMiner.ibps ]

[шаман]

Зашифровал полностью всю информацию на компьютере, видео, аудио, текстовые файлы. Файлы для расшифровки переслать не могу, только пару файлов не для общего просмотра. Получается что только файл дешифратор нужен. Денег мало, но если выручите, то помогу проекту чем смогу.

[Info_bot]

Уважаемый(ая) шаман, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Денег мало, но если выручите, то помогу проекту чем смогу.

Раньше думать нужно было. В том что произошло сами виноваты. Даже антивирус используете, который уже не поддерживается производителем. Сидите вот так до последнего пока гром не грянет.

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\SysWOW64\XsqecG.cmd','');
 TerminateProcessByName('c:\docume~1\alluse~1\applic~1\softwa~1\nheqmi~1.exe');
 QuarantineFile('c:\docume~1\alluse~1\applic~1\softwa~1\nheqmi~1.exe','');
 DeleteFile('c:\docume~1\alluse~1\applic~1\softwa~1\nheqmi~1.exe','32');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\SysWOW64\XsqecG.cmd','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Command Line Support');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','YandexDesktopSearch');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

O7 - TroubleShoot: [EV] HKU\S-1-5-21-73586283-1532298954-682003330-500\..\%TEMP% - (environment variable is not exist)
O7 - TroubleShoot: [EV] HKU\S-1-5-21-73586283-1532298954-682003330-500\..\%TMP% - (environment variable is not exist)

Антивирус Касперского 6.0 для Windows Workstations [20120416]-->MsiExec.exe /I{8F023021-A7EB-45D3-9269-D65264C81729}

Это безобразие обновляйте до KES 10. Переход на новую версию бесплатный.

Сделайте повторные логи по правилам

[шаман]

на всякий случай: до начала всех работ сделал резервную копию винды через акронис, ещё две недели назад. Мать стоит не родная, так как на той транзисторы греются и много чего ещё.
при запуске винды закусается что то похожие на чек диск. потом прямоугольное окно, абсолютно пустое. после загрузки рабочего стола появляется cmd и запускается скрипт, скрин сделать не могу, если тока на сотовый сфоткать, если надо. комп вырубается при тех или иных действиях про инструкции. каспер 6 удалил, тупа снес папку при загрузки с флешки, так как пароль от каспера не знаю.
при попутки загрузить карантин на ваш сайт получи:
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

HiJackThis выполнял после того как отключил все лишние процессы в диспетчере. так как эта прога при запуски приводила к рестарту пк. строки которые вы мне прислали в HiJackThis я не увидел.

архив генерируемый авз при открытии пустой. вам нужны файлы вируса, или все процедуры надо делать после удаления вируса. если вам нужны файлы вируса, могу в ручную их собрать. а именно то что висит в загрузке, cmd переименовав, может выходить ошибка файла который его запускает и так далее.

[mike 1]

каспер 6 удалил, тупа снес папку при загрузки с флешки, так как пароль от каспера не знаю.

Так не удаляются антивирусы! Для таких случаев есть утилиты от самих производителей https://support.kaspersky.ru/common/uninstall/1464

строки которые вы мне прислали в HiJackThis я не увидел.

HiJackThis используйте из папки Автологгера.

архив генерируемый авз при открытии пустой

Если пустой, то это значит, что в карантин ничего не попало. Если остались файлы XsqecG.cmd и nheqmi~1.exe, то упакуйте их в zip архив с именем и паролем virus и загрузите архив по красной ссылке вверху темы.

[шаман]

по моему проблема в том, что чето мешает работе ваших программ, а именно перезагружает пк(как будто нажата кнопка ресет на системном блоке, то есть без завершения работы виндовс и без голубого экрана). сделал откат системы и снова попробовал запустить ваше ПО на этом пк и архив сформировался без проблем но пустой. понятно что пустой по тому что при откате вируса нет и он не мешает работе ваших прог и комп при этом не перезагружается. Винду с вирусом могу восстановить на другом hdd из оброза. У нас на мой взгляд два вариант: либо я на втором пк каспером10 удаляю все вирусы, делаю отчем и высылаю (если отчет будет сформирован после удаления вирусов). Или вариант 2 ищу вирусы и высылаю вам. Отчет не формируется пока вирусы на пк активны, даже после того как отключил в диспетчере все лишние процессы. Есть вариант этот хард подкинуть к не заражонному ПК и с этого пк вашим ПО просканировать зараженный диск и сформировать отчет?
Если нет то буду пытаться сформировать отчет, при наличии вирусов на пк, танцевать с бубном, что бы при запуске HiJackThis комп не перезагружался.

[шаман]

нашел три файлы подходящих под ваше описание, пас и нейм как и просили. достал их с образа, так как на диски их нет наверное удалил их. Утилиту расшифровки запускать на этой же винде или можно удалить все кроме зашифрованных файлов? По другому: для расшифровки нужны только файлы и утилита или утилите нужны будут файлы которые хранятся в винде?

- - - - -Добавлено - - - - -

Мне удалять винду до расшифровки или после? Образ есть.

- - - - -Добавлено - - - - -

архив от меня получили? ожидать результата?

[шаман]

есть два файла, до и после шифрования. вам они нужны? размером 23кб

[mike 1]

архив от меня получили? ожидать результата?

Получили. Вот только логи Вас просили прикрепить к сообщению.

Мне удалять винду до расшифровки или после? Образ есть.

А расшифровки не будет.

[шаман]

спасибо за помощь извините за песпокойсство

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. \nheqminer32.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.ibps