Проблема с шифровальщиком CryptoLocker

[Geomorpholog]

Добрый день!

 

Вчера словили на домашний компьютер CryptoLocker.

 

Описание проблемы: почти (!) все текстовые, фото и видео файлы зашифрованы (без изменения расширения) и не открываются. Хотя в одной из папок (дочерних) почему-то все в порядке (т.е. шифровальщиком она странным образом не затронута). Но это лишь ложка меда в бочке дегтя.

 

Источник вируса неизвестен (возможно, музыкальный файл, скаченный с торрентов, т.к. ничего другого, по словам жены, она не скачивала и неизвестных сайтов не открывала).

 

В настоящий момент компьютер вычищен с использованием Dr.Web CureIt! и Kaspersky Virus Removal Tool 2015, однако с зашифрованными файлами ничего поделать не могу. Крайне хотелось бы их расшифровать!

 

К запросу прикладываю архив автоматического сборщика логов.

 

При необходимости могу выслать пример зашифрованного файла и скриншот с "требованиями" вируса или аналогичный блокнотный файл с "требованиями", который вирус создал на рабочем столе и еще в нескольких папках (т.к. в "Правилах оформления запроса" фигурирует только лог, решил остальное пока не прикладывать).

 

Жду ответа. Заранее спасибо!

 

Владимир

 

 

 

CollectionLog-2016.10.16-13.57.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Geomorpholog]

Высылаю требуемые отчеты.

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKU\S-1-5-21-1119305050-3783017471-1526489665-500\...409d6c4515e9\InprocServer32: [Default-shell32]  <==== ATTENTION

S2 InstallerService; no ImagePath

StandardProfile\AuthorizedApplications: [C:\Windows\Explorer.EXE] => Enabled:Windows Debugger 32

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Geomorpholog]

Прикрепляю Fixlog.txt. Архива upload.zip создано не было.

Fixlog.txt

[mike 1]

 

C:\Your files are locked !.txt

Пришлите. В архиве еще несколько небольших зашифрованных файлов пришлите. 

[Geomorpholog]

Высылаю.

Your files are locked !.txt

Зашифрованные файлы.zip

[mike 1]

Заражение произошло 15 октября примерно в 15:40. Вспоминайте какие сайты открывали и что запускали, возможно шифровальщика поймали через эксплойт. 

C:\Users\Администратор\AppData\Roaming\5a5a
C:\Users\Администратор\AppData\Roaming\FF32A6D9-ACAE-42F5-AE3C-A6CAF0BDEBA9
C:\Users\Администратор\AppData\Local\Agpworks

В этих папках какие-нибудь файлы есть?

Изменено 17 октября, 2016 пользователем mike 1

[Geomorpholog]

Первые две папки пусты (скрытых файлов тоже нет). В третьей (C:\Users\Администратор\AppData\Local\Agpworks) лежат следующие файлы: dlswyxjd.lck, gnrxozbb.lck, hhhlachz.lck, hrktajtb.lck, nkvpatnh.lck, pnzcekrx.lck, rxhvivnq.lck. Даты создания: от 16.03.2016 до 11.05.2016.

 

По истории браузеров последний раз жена выходила в интернет около 10:45 15 октября (почта, торренты - никаких незнакомых сайтов). А как раз в районе 15:40 она запустила в проигрывателе музыкальные файлы (mp3), скачанные ранее с торрента (D:\Downloads\BitTorrent\OST Mychael Danna - The Good Dinosaur (2015, mp3)). После чего через некоторое время попыталась открыть один из старых текстовых файлов, он не открылся - и сразу же после этого появился баннер криптолокера.

[mike 1]

 

 

А как раз в районе 15:40 она запустила в проигрывателе музыкальные файлы (mp3)

Файлы упакуйте в архив с паролем virus и отправьте мне на почту.

[Geomorpholog]

Архив с музыкальными файлами выслал Вам на почту (ссылка на гугл-диск, т.к. обычным вложением не влезал). Пароль для архива - virus.