Зашифровались все файлы в формат XTBL

[рамзес]

Здраствуйте! Вчера включил компьютер, на рабочем столе было 10 файлов стаким текстом:

 

Ваши файлы были зашифрованы.Чтобы расшифровать их, Вам необходимо отправить код: C262E5C0F3BCC00B97C1|0 на электронный адрес decode0987@gmail.com или decode098@gmail.com . Далее вы получите все необходимые инструкции. Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

Далее обнаружил, что все видео, аудио  и фото файлы выглядят примерно так: jdWk18ooPqbTSe6n1MINP4CRGHCCk3FrYtkp6py+Feo=.C262E5C0F3BCC00B97C1.xtbl

CollectionLog-2015.05.14-12.03.zip

[thyrex]

Выполните скрипт в AVZ

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

if not IsWOW64

 then

  begin

   SearchRootkit(true, true);

   SetAVZGuardStatus(True);

  end;



RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

 QuarantineFile('C:\Windows\system32\regedit.exe','');

 QuarantineFile('C:\Users\РОМИЧ\AppData\Roaming\Browsers\exe.resworb.bat','');

 QuarantineFile('C:\Users\РОМИЧ\AppData\Roaming\Browsers\exe.erolpxei.bat','');

 DeleteFile('C:\Users\РОМИЧ\AppData\Roaming\Browsers\exe.erolpxei.bat','32');

 DeleteFile('C:\Users\РОМИЧ\AppData\Roaming\Browsers\exe.resworb.bat','32');

 DeleteFile('C:\Windows\system32\regedit.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');



 BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(false);

end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin

CreateQurantineArchive('c:\quarantine.zip');

end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.

Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

 

 

Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

Прикрепите этот отчет к своему следующему сообщению.

 

 

Сделайте новые логи по правилам

[рамзес]

Ответ от newvirus@kaspersky.com

Здравствуйте, Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. quarantine.zip Этот файл повреждён. С уважением, Лаборатория Касперского "125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ruhttp://www.viruslist.ru" Hello, This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed. quarantine.zip This file is corrupted. Best Regards, Kaspersky Lab "39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com" -------------------------------------------------------------------------------- From:  Sent: 5/15/2015 12:32:59 PM To: newvirus@kaspersky.com Subject

ClearLNK-15.05.2015_15-49.log

Изменено 15 мая, 2015 пользователем mike 1
Скрыта почта.

[mike 1]

Сделайте новые логи по правилам

[рамзес]

Новые логины

CollectionLog-2015.05.15-22.12.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Mark D. Pearlstone]

Сообщение от модератора Mark D. Pearlstone

Одно из сообщений перенесено в новую тему https://forum.kasperskyclub.ru/index.php?showtopic=46359

[рамзес]

Здраствуйте! Все сделано вот отчеты:

 

FRST.txt Addition.txt

[mike 1]

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-149828324-241220677-3303721967-1000\...\Run: [TorProject] => C:\Users\РОМИЧ\AppData\Roaming\Tor Project\tor.exe
HKU\S-1-5-21-149828324-241220677-3303721967-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-149828324-241220677-3303721967-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://searchwow.ru
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\adblockpopups@jessehakanen.net [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\coralietab@mozdev.org [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\elemhidehelper@adblockplus.org [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\imglikeopera@imfo.ru [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\nosquint@urandom.ca [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\notreal.ccoptions@environmentalchemistry.com [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\SkipScreen@SkipScreen [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\tabscope@xuldev.org [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{0545b830-f0aa-4d7e-8820-50a4629a56fe} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{18957df9-7f03-405d-a021-b847769de1a5} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{7f57cf46-4467-4c2d-adfa-0cba7c507e54} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{c4dc572a-3295-40eb-b30f-b54aa4cdc4b7} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{d40f5e7b-d2cf-4856-b441-cc613eeffbe3} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{D4DD63FA-01E4-46a7-B6B1-EDAB7D6AD389} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{dc572301-7619-498c-a57d-39143191b318} [Not Found]
FF Extension: No Name - C:\Users\РОМИЧ\AppData\Roaming\Mozilla\Firefox\Profiles\r0vxb3m7.РОМИЧ-ПК\extensions\{D46E8522-6E86-44b1-A622-58C0668AD78E} [Not Found]
2015-05-13 20:33 - 2015-05-13 20:33 - 03888054 _____ () C:\Users\РОМИЧ\AppData\Roaming\AA4E5779AA4E5779.bmp
2015-05-13 15:22 - 2015-05-14 10:18 - 00000000 __SHD () C:\ProgramData\Windows
2015-04-27 18:20 - 2015-04-27 18:20 - 00000000 ____D () C:\Users\РОМИЧ\AppData\Roaming\Tor Project
2015-04-26 12:17 - 2015-05-14 10:18 - 00000000 ____D () C:\Users\РОМИЧ\AppData\Roaming\Microsoft Update
2015-04-26 12:17 - 2015-05-14 10:18 - 00000000 ____D () C:\Users\РОМИЧ\AppData\Roaming\Browsers
2015-04-26 12:17 - 2015-04-27 18:20 - 00000000 ____D () C:\Users\РОМИЧ\AppData\Roaming\LiteDB
2015-04-26 12:17 - 2015-04-26 12:17 - 00000000 ____D () C:\Users\РОМИЧ\AppData\Roaming\GemWare
2015-04-26 12:17 - 2015-04-26 12:17 - 00000000 ____D () C:\Users\РОМИЧ\AppData\Roaming\CryptoDB
Folder: C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

[рамзес]

Fixlog.txt

[mike 1]

Логи в порядке. С расшифровкой не поможем. Как вариант, http://virusinfo.info/showthread.php?t=156188

[рамзес]

В дальнейшем компом пользоваться можна? Шмфроваться ничего нре будет?

[Roman_Five]

можно.

[mike 1]

Новые файлы шифроваться не будут.

 

 

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме

[рамзес]

Вот отчет:

SecurityCheck.txt