Вирус зашифровал файлы, расширение aes256

[hogo]

Меня не было дома и сестра за то время лазила по компьютеру. когда я пришел не мог запустить ни одной игры и все файлы были заблокированы и был установлен онлайн советчик

CollectionLog-2014.10.07-21.13.zip

ВНИМАНИЕ_ОТКРОЙТЕ-МЕНЯ.txt

[Roman_Five]

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 TerminateProcessByName('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.443\baiduprotect.exe');
 TerminateProcessByName('c:\program files (x86)\baidu\bindex.exe');
 SetServiceStart('BDSGRTP', 4);
 SetServiceStart('bd0001', 4);
 SetServiceStart('bd0004', 4);
 SetServiceStart('BDArKit', 4);
 SetServiceStart('BDSafeBrowser', 4);
 StopService('BDSGRTP');
 StopService('bd0001');
 StopService('bd0004');
 StopService('BDArKit');
 StopService('BDSafeBrowser');
 QuarantineFile('C:\Users\САНЬОК\AppData\Roaming\runWIN\update.exe','');
 QuarantineFile('C:\Users\САНЬОК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\САНЬОК\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
 QuarantineFile('C:\Program Files (x86)\baidu\BindEx.exe','');
 QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','');
 QuarantineFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat','');
 DeleteFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat','32');
 DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','32');
 DeleteFile('C:\Users\САНЬОК\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
 DeleteFile('C:\Users\САНЬОК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\САНЬОК\AppData\Roaming\runWIN\update.exe','32');
 DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\SafeBrowserDll.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\SafeExplorer.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\plugins\HIPS.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\plugins\BaiduRepair.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\dynplugins\AssistReportPlugin.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\DriverManager.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMReport.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMNet.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDLogicUtils.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDKitUtils.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\ad.dll','32');
 DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\7z.dll','32');
 DeleteFile('c:\program files (x86)\baidu\bindex.exe','32');
 DeleteFile('c:\program files (x86)\common files\baidu\baiduprotect1.3\1.3.0.443\baiduprotect.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
 DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\Mail.RU NewGamesT\','* ',true ,' ');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\tor\','* ',true ,' ');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\Microsoft DB\','* ',true ,' ');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\Baidu\','* ',true ,' ');
DeleteFileMask('C:\ProgramData\Baidu\','* ',true ,' ');
DeleteFileMask('C:\Program Files (x86)\baidu\','* ',true ,' ');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\GemWare\','* ',true ,' ');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\Tor Project\','* ',true ,' ');
DeleteFileMask('C:\Users\САНЬОК\AppData\Roaming\ICL\','* ',true ,' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\Mail.RU NewGamesT',' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\tor',' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\Microsoft DB',' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\Baidu',' ');
 DeleteDirectory('C:\ProgramData\Baidu',' ');
 DeleteDirectory('C:\Program Files (x86)\baidu',' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\GemWare',' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\Tor Project',' ');
 DeleteDirectory('C:\Users\САНЬОК\AppData\Roaming\ICL',' ');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
 DeleteService('BDSGRTP');
 DeleteService('bd0001');
 DeleteService('bd0004');
 DeleteService('BDArKit');
 DeleteService('BDSafeBrowser');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится. 

Для создания архива с карантином выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл  Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).

Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.

В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите адрес своей электронной почты.

Полученный ответ сообщите в этой теме.

 

Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://1kanal.org/?src=hp1
O4 - HKCU\..\Run: [LoaderSystemWIN] C:\Users\САНЬОК\AppData\Roaming\runWIN\Update.exe
O4 - HKCU\..\Run: [RuningWIN32] C:\Users\САНЬОК\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe
O4 - HKCU\..\Run: [baidu] C:\Program Files (x86)\baidu\BindEx.exe
O4 - HKCU\..\Run: [NewLoadSystemWIN32] C:\Users\САНЬОК\AppData\Roaming\runWIN\update.exe
O4 - HKCU\..\Run: [Encrypt] C:\Users\САНЬОК\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe

 

Сделайте новые логи по правилам.

 

+ приложите лог OSAM

скачайте OSAM

установите. запустите. дождитесь окончания сканирования.

вверху слева нажмите Save Log

полученный лог osam.html прикрепите к новому сообщению.

 

+ лог AdwCleaner

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=635158

 

+ лог FixerBro

Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.

Запустите FixerBro.

В главном окне программы нажмите на кнопку "Проверить".

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt).

По окончанию сканирования нажмите на кнопку "Отчет".

Сохраните лог утилиты.

Прикрепите сохраненный отчет в вашей теме.

[Roman_Five]

@hogo,

 

HashKey: 8f7bdbfe2f90c2b88d5e2b22c0b4b1bb
ID: 14753

[Roman_Five]

Внимание! Данный дешифратор предназначен только для пользователя hogo


Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется
 
Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.
 
Дешифратор
 
Принцип работы с дешифратором:
 
1. Сохраните дешифратор в отдельную созданную папку. 
 
2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

key.zip