Какой-то вирус зашифровал все фото-, видео- и текстовые файлы

[Аннушка]

Все было как обычно, вдруг начал сильно тормозить Ворд, потом перестал отвечать. Перед этим лазили в яндекс-картинки, искали в поиске стрижки футболистов и стрижки для юношей. А потом все зашифровалось и на рабочем столе появилась надпись, что все зашифровано и все инструкции найдете в файле Ридми. Открыв данный файл, обнаружили:

Ваши файлы были зашифрованы.

Чтобы расшифровать их, Вам необходимо отправить код:

E1740A588A3EBA24AA67|0

на электронный адрес post8881@gmail.com или post24932@gmail.com .

Далее вы получите все необходимые инструкции.  

Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

 

 

All the important files on your computer were encrypted.

To decrypt the files you should send the following code:

E1740A588A3EBA24AA67|0

to e-mail address post8881@gmail.com or post24932@gmail.com .

Then you will receive all necessary instructions.

All the attempts of decryption by yourself will result only in irrevocable loss of your data.

 

Мы ничего не понимаем в программировании (семья педагогов-гуманитариев). Можно объяснить для нас очень подробно и на обычном бытовом уровне, что нам делать дальше? Возможно ли вообще расшифровать обратно все наши файлы? Все, что посоветовали сделать перед тем, как писать сюда, - сделали. Файл прикрепили. Ждем помощи!

CollectionLog-2015.07.08-22.17.zip

[mike 1]

 

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.

• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

 

 

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

• Прикрепите этот отчет к своему следующему сообщению.

 

 

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

 

[Аннушка]

Это первый файл, который Вы просили прикрепить

Несмогла открыть  AdwCleaner (by Xplode) через правую кнопку мыши(( Открыла и сканирую как обычно... Это неправильно?

Второй файл

Открыла через Администратор, файл 08-39

ClearLNK-09.07.2015_08-27.log

AdwCleanerR0.txt

ClearLNK-09.07.2015_08-39.log

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Аннушка]

Не могу прикрепить отчет (не знаю, где находится этот файл). Можно я его просто скопирую и пошлю?

# AdwCleaner v4.207 - Отчёт создан 09/07/2015 в 09:50:53

# Обновлено 21/06/2015 by Xplode

# База данных : 2015-07-05.2 [Сервер]

# Операционная система : Windows 7 Professional Service Pack 1 (x64)

# Пользователь : User - USER-PC

# Запущено из : C:\Users\User\Downloads\adwcleaner_4.207.exe

# Режим : Очистка

 

***** [ Службы ] *****

 

 

***** [ Файлы / Папки ] *****

 

Папка Удалено : C:\Device

Папка Удалено : C:\ProgramData\IHProtectUpDate

Папка Удалено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlvPlayer

Папка Удалено : C:\Program Files (x86)\XTab

Папка Удалено : C:\Program Files (x86)\advplugin

Папка Удалено : C:\Users\User\AppData\Local\Mail.Ru

Папка Удалено : C:\Users\User\AppData\Local\MailRu

Папка Удалено : C:\Users\User\AppData\Local\Amigo

Папка Удалено : C:\Users\User\AppData\Roaming\DigitalSites

Папка Удалено : C:\Users\User\AppData\Roaming\FlvPlayer

Папка Удалено : C:\Users\User\AppData\Roaming\omiga-plus

Папка Удалено : C:\Users\User\AppData\Roaming\VOPackage

Папка Удалено : C:\Users\User\AppData\Roaming\1H1Q1V1N1N1O1R

Папка Удалено : C:\Users\User\AppData\Roaming\advplugin

Папка Удалено : C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VOPackage

Папка Удалено : C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7}

Папка Удалено : C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вконтакте.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Одноклассники.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Вконтакте.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Вконтакте.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Одноклассники.lnk

Файл Удалено : C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\mailru.xml

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxps_kashi.ru_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxps_kashi.ru_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_myakishi.ru_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_myakishi.ru_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_plarium.com_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_plarium.com_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_wlogin.icq.com_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_wlogin.icq.com_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.doronichi.ru_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.doronichi.ru_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.icq.com_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.icq.com_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.motor-mitsubishi.ru_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.motor-mitsubishi.ru_0.localstorage-journal

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.planeta-sochi.ru_0.localstorage

Файл Удалено : C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Local Storage\hxxp_www.planeta-sochi.ru_0.localstorage-journal

 

***** [ Назначенные задания ] *****

 

 

***** [ Ярлыки ] *****

 

 

***** [ Реестр ] *****

 

Ключ Удалено : HKLM\SOFTWARE\Google\Chrome\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi

Ключ Удалено : HKLM\SOFTWARE\Classes\S

Значение Удалено : HKCU\Software\Microsoft\Windows\CurrentVersion\Run [MailRuUpdater]

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{AD4409E5-23C2-412B-849D-8FC0635B4073}

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{AEE9D70C-6C9E-4B27-9F2C-8F14E95BEEF6}

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{DD20920E-515A-4342-85E3-FC9A9FDA55C2}

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{92FDEF05-B35E-4806-B87F-8B66AB649997}

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{9F0BF664-B611-4C53-AEEA-FDBFCE6E3CA3}

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{A8BD93E8-F6AE-4F02-828D-DE47FEC4D375}

Ключ Удалено : HKLM\SOFTWARE\Classes\CLSID\{C379EAD1-CB34-4B09-AF6B-7E587F8BCD80}

Ключ Удалено : HKLM\SOFTWARE\Classes\Interface\{917CAAE9-DD47-4025-936E-1414F07DF5B8}

Ключ Удалено : HKLM\SOFTWARE\Classes\TypeLib\{968EDCE0-C10A-47BB-B3B6-FDF09F2A417D}

Ключ Удалено : [x64] HKLM\SOFTWARE\Classes\Interface\{917CAAE9-DD47-4025-936E-1414F07DF5B8}

Ключ Удалено : [x64] HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{FFEBBF0A-C22C-4172-89FF-45215A135AC7}

Ключ Удалено : [x64] HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0}

Ключ Удалено : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\2006CA462539ACA5EDF3D794BEA94B43

Ключ Удалено : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}

Ключ Удалено : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3C}

Ключ Удалено : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3D}

Ключ Удалено : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}

Ключ Удалено : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{E733165D-CBCF-4FDA-883E-ADEF965B476C}

Ключ Удалено : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}

Ключ Удалено : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}

Ключ Удалено : HKCU\Software\IM

Ключ Удалено : HKCU\Software\InstallCore

Ключ Удалено : HKLM\SOFTWARE\Conduit

Ключ Удалено : HKLM\SOFTWARE\FlvPlayer

Ключ Удалено : HKLM\SOFTWARE\omiga-plusSoftware

Ключ Удалено : HKLM\SOFTWARE\SupDp

Ключ Удалено : HKLM\SOFTWARE\SupTab

Ключ Удалено : HKLM\SOFTWARE\IHProtect

Ключ Удалено : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Digital Sites

Ключ Удалено : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\FlvPlayer

Ключ Удалено : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\MailRuUpdater

Ключ Удалено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\VOPackage

Ключ Удалено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\omiga-plus uninstall

Ключ Удалено : HKLM\SOFTWARE\Classes\Installer\Features\93BAD29AC2E44034A96BCB446EB8552E

Ключ Удалено : HKLM\SOFTWARE\Classes\Installer\Products\93BAD29AC2E44034A96BCB446EB8552E

Ключ Удалено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\464AA55239C100F32AF2D438EDDC0F47

Ключ Удалено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\5652BA3D5FB98AE31B337BF0AF939856

Ключ Удалено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\86EB95E1AFCBABE3DB9ECCC669B99494

Ключ Удалено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\93BAD29AC2E44034A96BCB446EB8552E

 

***** [ веб браузеры ] *****

 

-\\ Internet Explorer v11.0.9600.16428

 

Установка Восстановлено : HKCU\Software\Microsoft\Internet Explorer\Main [search Page]

Установка Восстановлено : HKCU\Software\Microsoft\Internet Explorer\Main [Default_Search_URL]

Установка Восстановлено : HKCU\Software\Microsoft\Internet Explorer\Main [Default_Page_URL]

Установка Восстановлено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [start Page]

Установка Восстановлено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Default_Search_URL]

Установка Восстановлено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Default_Page_URL]

Установка Восстановлено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [search Page]

Установка Восстановлено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Search [CustomizeSearch]

Установка Восстановлено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Search [searchAssistant]

Установка Восстановлено : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [start Page]

Установка Восстановлено : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Default_Search_URL]

Установка Восстановлено : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Default_Page_URL]

Установка Восстановлено : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [search Page]

 

-\\ Mozilla Firefox v

 

 

-\\ Google Chrome v43.0.2357.132

 

[C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Web Data] - Удалено [search Provider] : hxxp://isearch.omiga-plus.com/web/?type=ds&ts=1421406945&from=cor&uid=WDCXWD5000AAKX-00KJ3A0_WD-WCC2EN51425214252&q={searchTerms}

[C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Preferences] - Удалено [Extension] : jdkihdhlegcdggknokfekoemkjjnjhgi

 

-\\ Chromium v

 

 

-\\ Opera v30.0.1835.88

 

 

*************************

 

AdwCleaner[R0].txt - [12845 байт] - [09/07/2015 08:31:34]

AdwCleaner[R1].txt - [12908 байт] - [09/07/2015 09:47:01]

AdwCleaner[R2].txt - [12963 байт] - [09/07/2015 09:49:45]

AdwCleaner[s0].txt - [10107 байт] - [09/07/2015 09:50:53]

 

########## EOF - C:\AdwCleaner\AdwCleaner[s0].txt - [10166  байт] ##########

 

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Аннушка]

Прикрепила. Вроде это он

Addition.txt

[mike 1]

А второй лог где?

[Аннушка]

Я думала, там только один надо было. Вот второй

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-3012561173-2582864032-1082789046-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d9dd7b9e60767339e932112eec2d58e3&text= <==== ATTENTION
CHR Extension: (No Name) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\dbhjdbfgekjfcfkkfjjmlmojhbllhbho [2015-01-16]
CHR Extension: (No Name) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\mdgncmfemcgcpdmchnenmkgfdpedokgo [2014-12-09]
CHR Extension: (No Name) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-01-12]
OPR Extension: (Конвертер Валют) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\dkgpajbdcbgaciibdeknligdaofmegma [2014-11-19]
OPR Extension: (Internet Helper) - C:\Users\User\AppData\Roaming\Founder Systems\ [2014-08-25]
2015-07-08 18:21 - 2015-07-08 18:21 - 00000000 _____ C:\Users\User\Downloads\C1B2.tmp
2015-07-08 18:02 - 2015-07-08 18:02 - 06220854 _____ C:\Users\User\AppData\Roaming\46D5A97C46D5A97C.bmp
2015-07-08 15:24 - 2015-07-08 18:31 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-07-08 15:24 - 2015-07-08 18:31 - 00000000 __SHD C:\ProgramData\Windows
2014-12-09 16:40 - 2014-06-19 19:23 - 0103752 ____H () C:\Users\User\AppData\Local\Yаndех.bаt.exe
2014-12-09 16:40 - 2014-07-22 13:00 - 0876328 ____H (Yandex LLC) C:\Users\User\AppData\Local\ВrоwsеrМаnаgеr.bаt.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

[Аннушка]

 Вот я еще хотела поинтересоваться, у нас с некоторых пор (неделю-дней 10 примерно) каждый раз при загрузке Виндоус  стало выходить сообщение, что наша копия виндоус не является подлинной. Это может быть связано со вчерашним вирусом? Программу устанавливал программист из Дом.ру (интернет-провайдер), все было ок, а сейчас вот выскакивает. 

 Вот я еще хотела поинтересоваться, у нас с некоторых пор (неделю-дней 10 примерно) каждый раз при загрузке Виндоус  стало выходить сообщение, что наша копия виндоус не является подлинной. Это может быть связано со вчерашним вирусом? Программу устанавливал программист из Дом.ру (интернет-провайдер), все было ок, а сейчас вот выскакивает. 

вроде этот

Fixlog.txt

[mike 1]

 

 

Вот я еще хотела поинтересоваться, у нас с некоторых пор (неделю-дней 10 примерно) каждый раз при загрузке Виндоус  стало выходить сообщение, что наша копия виндоус не является подлинной. Это может быть связано со вчерашним вирусом?

С вирусом это не связано.

 

 

 

Программу устанавливал программист из Дом.ру (интернет-провайдер), все было ок, а сейчас вот выскакивает.

Вы ему скажите, что за установку пиратского ПО предусмотрена статья УК. 

 

Логи в порядке. По расшифровке:

 

При наличии коммерческой лицензии на любой из продуктов Антивируса Касперского обратитесь за помощью в техническую поддержку Лаборатории Касперского через личный кабинет.

[Аннушка]

А если у нас нет коммерческой лицензии? Нужно приобрести и тогда все данные расшифруют?

[mike 1]

А если нет лицензии, то ваши файлы вирусные аналитики смотреть даже не будут. 

 

 

 

Нужно приобрести и тогда все данные расшифруют?

100% гарантию вам никто не даст в этом плане.