Баннер вымогатель

[Shadowmaster]

Доброго времени суток! Принесли бук почистить, на нем висит баннер такого вида
по сути систему он не повешал,в процессах ничего не видно, грузится нормально. Проблема в том, что эта гадость переименовала все файлы тхт и jpg формата в cbf и присвоила им рандомное имя, восстановление отключено естественно, точек нет) Возможно ли вернуть все фотки и документы обратно?
Предыстория: пришло на мыло письмо, письмо открыли и поймали вот это. Hosts чистый. Пока ничего не предпринимал.

[safety]

Shadowmaster,
это шифратор поработал.
вопрос: когда было шифрование?
и не помешает сделать образ автозапуска, чтобы не задавать еще вопросов.
http://pchelpforum.ru/showpost.php?p=293738&postcount=2

[Shadowmaster]

Открыли его в 5.20 мск если я правильно вопрос понял. Образ прилагаю.

[RP55.RP55]

Вируса уже нет.


1) Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !

     


;uVS v3.86.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref HTTP://R.MAIL.RU/CLN10362/ODNOKLASSNIKI.RU
delref HTTP://WWW.MEGAPAGE.COM/?AID=1&SID=5
delref HTTP=127.0.0.1:2080
deldir %SystemDrive%\PROGRAM FILES (X86)\ASK.COM
delref HTTP:\\START.WEBALTA.RU\?START
delall %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\SKYMONK2\SKYMONK2.EXE
deldir %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\SKYMONK2
delall %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\TEMP\ICREINSTALL_DOWNLOADMANAGERSETUP.EXE
del %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\OPERA\OPERA\WIDGETS\ALAWAR.OEX
delall %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\OPERA\OPERA\WIDGETS\ALAWAR.OEX
delref %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\IAPDADAEAEBAOIGIEGLFABABNEOAIFNF\0.9.0.2_0\EVERYSALE.NET
delref %SystemDrive%\USERS\АНЮТА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\NHGCIEGLCPDEGKHAMIGIOKDPHFHHNLHH\3.6.2_0\HTML5 LOCATION PROVIDER
restart

2) В плане восстановления
Windows 7 Ultimate x64 (NT v6.1 SP1) build 7601 Service Pack 1

данных прочтите:
http://pchelpforum.ru/f26/t141222/2/#post1239143

А та нужно обращаться в антивирусные компании.

[Shadowmaster]

Спасибо, бук почищен. Теперь только осталось найти дешифровальщик. Вряд ли хозяева будут покупать вэб или каспер,а вот мне походу придется поискать его в свободном доступе, благо он вообще есть для этой версии...

[safety]

залейте пару зашифрованных файлов на http://rghost.ru
по поводу расшифровки. дешифраторы возможно и есть в природе, но кроме дешифратора нужен еще и ключ. Если у кого то есть еще и база с ключами по данному варианту дешифратора, тогда да... расшифровка возможна. ЛИбо зависит от версии шифратора cbf. (некоторые версии были успешно расшифрованы на ВирусИнфо)