11 ответов в этой теме

[Trader555]

Пришло письмо якобы от Сбербанка по просроченной задолженности с вложенным Excel файлом. После открытия зашифровались всё doc, pdf, jpeg файлы.
Если можите помогите в востановлении.
Согласно инструкции приложил всё необходимые логи. Если нужно ещё что-то просьба сообщить.
Спасибо.

Прикрепленные файлы:

•  Лог от Report(RKU).rar   10,24К   1 Скачано раз
•  Лог от hijackthis.rar   4,39К   1 Скачано раз
•  drweb_scan.zip   1,5К   1 Скачано раз
•  зашифрованные и нормальные файлы - doc.rar   15,09К   2 Скачано раз
•  PA220090 зашифрованный - JPEG.rar   1,14Мб   1 Скачано раз
•  PA220090 нормальный -JPEG.rar   1,13Мб   0 Скачано раз
•  Заставка от вымогателя.rar   9,6К   5 Скачано раз

[l.e.e.]

это надо Fix Checked в HijackThis и удалять из установки программ
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.facemoods.com/?a=vsl&s={searchTerms}&f=4
O2 - BHO: facemoods Helper - {64182481-4F71-486b-A045-B233BD0DA8FC} - C:\Program Files\facemoods.com\facemoods\1.4.17.3\bh\facemoods.dll
O3 - Toolbar: facemoods Toolbar - {DB4E9724-F518-4dfd-9C7C-78B52103CAB9} - C:\Program Files\facemoods.com\facemoods\1.4.17.3\facemoodsTlbr.dll
O4 - HKLM\..\Run: [facemoods] "C:\Program Files\facemoods.com\facemoods\1.4.17.3\facemoodssrv.exe" /md I
O4 - HKCU\..\Run: [MediaGet2] C:\Users\pasha\AppData\Local\MediaGet2\mediaget.exe --minimized - потенциально опасное по. (удалить)

Сообщение было изменено Partizan: 26 Июнь 2012 - 22:01

[thyrex]

Partizan, а как это поможет ТС?

Trader555, пока ни в одном вирлабе нет дешифровщика против этой версии Encoder

[Trader555]

Trader555, пока ни в одном вирлабе нет дешифровщика против этой версии Encoder

Есть надежда на то, что он появится???

[userr]

Есть надежда на то, что он появится???

когда-нибудь вероятно да. завтра - очень вряд ли.

[l.e.e.]

Partizan, а как это поможет ТС?

Чем могу. А шифровщики пока не по мне ( пока сам не столкнулся). Профилактика.
Trader555, drweb_scan.zip отчет не правильно сделан - почитайте ещё http://forum.drweb.com/index.php?showtopic=277652, но в первую очередь ,что касается расшифровки. в аналогичных темах.

Сообщение было изменено Partizan: 27 Июнь 2012 - 08:40

[l.e.e.]

3. Если у Вас зашифрованы файлы,

Что не нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://vms.drweb.com/sendvirus/ несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];
- собрать и выложить в своей теме логи утилит, указанных в Правилах этого раздела форума;

• Ответить
• Цитата

[thyrex]

когда-нибудь вероятно да. завтра - очень вряд ли.

Уже есть. Вот только не знаю, добавили ли уже процедуру в te102decrypt

[v.martyanov]

Не вижу ни тикета топикстартера, ни тикета с декриптором :-(

[thyrex]

v.martyanov, этому пользователю подходит дешифратор, который выкладывался в этой теме
Все посты были оперативно снесены модераторами

[v.martyanov]

v.martyanov, этому пользователю подходит дешифратор, который выкладывался в этой теме
Все посты были оперативно снесены модераторами

А, ну так там инструкция для частичной расшифровки :-)

[thyrex]

Выкладывался дешифратор, который 100% подходил данному пользователю. А частичная дешифровка - это не комильфо