Вирус зашифровал файлы

[YuriyUA]

Добрый вечер. Помогите, пожалуйста расшифровать файлы.

Текст сообщения:

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.

Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

 

 

 

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.

Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

 

Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.

TOR: https://www.torproject.org/ | Видео инструкция:

url_1: http://y6kpyefykdvswxps.onion:4567/pay.html

url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html

HashKey: ad94660a2e02c8a1c7f730af93fc6bb7

ID: 17993

 

Прикрепленный файл

Добрый вечер. Помогите, пожалуйста расшифровать файлы.

Текст сообщения:

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.

Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

 

 

 

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.

Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

 

Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.

TOR: https://www.torproject.org/ | Видео инструкция:

url_1: http://y6kpyefykdvswxps.onion:4567/pay.html

url_2: http://gi3ruskskqzff2rw.onion:4567/pay.html

HashKey: ad94660a2e02c8a1c7f730af93fc6bb7

ID: 17993

 

Прикрепленный файл

CollectionLog-2014.10.11-19.46.zip

[thyrex]

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\USER\appdata\roaming\newsi_2\s_inst.exe','');
QuarantineFile('C:\Users\USER\appdata\roaming\newsi_10\s_inst.exe','');
QuarantineFile('C:\Users\USER\AppData\Roaming\runWIN\update.exe','');
QuarantineFile('C:\Users\USER\AppData\Roaming\runWIN\Update.exe','');
QuarantineFile('C:\Users\USER\AppData\Roaming\SetMyHomePage\setmyhomepage.exe','');
QuarantineFile('C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
DeleteFile('C:\Program Files\Internet Explorer\iexplore.url','32');
DeleteFile('C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\USER\AppData\Roaming\runWIN\Update.exe','32');
DeleteFile('C:\Users\USER\AppData\Roaming\runWIN\update.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
DeleteFile('C:\Users\USER\appdata\roaming\newsi_10\s_inst.exe','32');
DeleteFile('C:\Users\USER\appdata\roaming\newsi_2\s_inst.exe','32');
DeleteFileMask('C:\Users\USER\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\USER\AppData\Roaming\runWIN');
DeleteFileMask('C:\Users\USER\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\USER\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('C:\Users\USER\appdata\roaming\newsi_2', '*', true);
DeleteDirectory('C:\Users\USER\appdata\roaming\newsi_2');
DeleteFileMask('C:\Users\USER\appdata\roaming\newsi_10', '*', true);
DeleteDirectory('C:\Users\USER\appdata\roaming\newsi_10');
DeleteFileMask('C:\Users\USER\AppData\Roaming\Microsoft DB', '*', true);
DeleteDirectory('C:\Users\USER\AppData\Roaming\Microsoft DB');
DeleteFileMask('C:\Users\USER\AppData\Roaming\GemWare', '*', true);
DeleteDirectory('C:\Users\USER\AppData\Roaming\GemWare');
DeleteFileMask('C:\Users\USER\AppData\Roaming\ICL', '*', true);
DeleteDirectory('C:\Users\USER\AppData\Roaming\ICL');
DeleteFileMask('C:\Users\USER\AppData\Roaming\GoforFiles', '*', true);
DeleteDirectory('C:\Users\USER\AppData\Roaming\GoforFiles');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи

 

• 
  

Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
Распакуйте архив с утилитой в отдельную папку
Запустите sitlog.exe

Обратите внимание

, что утилиты необходимо запускать от имени Администратора. По умолчанию в

Windows XP

так и есть. В

Windows Vista

и

Windows 7

администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать

Запуск от имени Администратора

,

при необходимости укажите пароль

администратора и нажмите

Да

В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
Прикрепите эти отчеты в вашей теме.

[YuriyUA]

sitlog

Прикрепленные файлы.

Sitlog.zip

SITLog.txt

SITLog_Info.txt

[mike 1]

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://safe.v9.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://1kanal.org/?src=hp1
O4 - HKCU\..\Run: [SetMyHomePage] C:\Users\USER\AppData\Roaming\SetMyHomePage\setmyhomepage.exe

 

 

• Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе

• Распакуйте архив с утилитой в отдельную папку

• Запустите FixerBro

  Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

• В главном окне программы нажмите на кнопку "Проверить"

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)

• По окончанию сканирования нажмите на кнопку "Отчет".

• Сохраните лог утилиты

• Прикрепите сохраненный отчет в вашей теме.

 

[YuriyUA]

Прикрепленный файл.

FixerBro_20141012.txt

[mike 1]

 

• Запустите повторно FixerBro by glax24.

  Обратите внимание, что утилиты необходимо запускать через правую кн. мыши от имени администратора, на Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

• Нажмите на кнопку "Проверить", а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку Исправить. Дождитесь окончания удаления.

 

C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.url - (Объект запуска не найден)]
C:\Users\USER\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1" - (Объект запуска не найден)]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1" - (Объект запуска не найден)]

 

• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro. (Лог в формате FixerBro_yyyymmdd.txt).

• По окончанию удаления нажмите на кнопку "Отчет"

• Сохраните лог утилиты

• Прикрепите сохраненный отчет в вашей теме.

 

[YuriyUA]

Прикрепленный файл.

FixerBro_20141012.txt

[mike 1]

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

[YuriyUA]

Утилита выдает сообщение "Не могу подобрать пароль".

[mike 1]

Значит с расшифровкой не поможем 

[Roman_Five]

@YuriyUA,

 

 

HashKey: ad94660a2e02c8a1c7f730af93fc6bb7
ID: 17993

 

[Roman_Five]

Внимание! Данный дешифратор предназначен только для пользователя YuriyUA


Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

Дешифратор

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку. 

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

key.zip