зашифрованы файлы на компьютере в формате .xtbl [Backdoor.Win32.Hlux.ekae, Trojan-PSW.Win32.Tepfer.uwht ]

[diplomat89]

Здравствуйте, словил вирус, который зашифровал большинство файлов компьютера. К этому всему прилагаются текстовики от разрабов вируса с слеующим содержимым

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
86944162AB592B4F0614|0
на электронный адрес [email protected] или [email protected] .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.




All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
86944162AB592B4F0614|0
to e-mail address [email protected] or [email protected] .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

Так же в автозагрузке полно файлов вируса включая regedit.exe Помогите!

[Info_bot]

Уважаемый(ая) diplomat89, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[diplomat89]

Логи АВЗ И Hijack

[thyrex]

Диск H - флешка? Подключите перед выполнением скрипта.

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('H:\porn.exe','');
 QuarantineFile('C:\Windows\unpack.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\newnext.me\nengine.dll','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\wufjdcuh\rihjjabu.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\AAN-DUPKSPPO\regedit.exe','');
 QuarantineFile('C:\TEMP\DBCD.tmp.exe','');
 QuarantineFile('C:\Program Files (x86)\JetAudio\unpack.exe','');
 QuarantineFile('C:\Program Files (x86)\JetAudio\convert.exe','');
 QuarantineFile('C:\Program Files (x86)\jPDFViewer\jre\bin\jucheck.exe','');
 QuarantineFile('C:\Program Files (x86)\jPDFViewer\jre\bin\convert.exe','');
 DeleteFile('C:\TEMP\DBCD.tmp.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CrashReportUpdater','command');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\AAN-DUPKSPPO\regedit.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\regedit.exe','command');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\wufjdcuh\rihjjabu.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\newnext.me\nengine.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Netscape');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ConnectionUpdater','command');
 DeleteFile('H:\porn.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[diplomat89]

да H - флешка

все сделал

карантин отправил

Результат загрузки

Файл сохранён как 150208_202623_virus_54d78e2fcaaf6.zip
Размер файла 7171411
MD5 ef83fb7eaa0b49a792b75af1c76ddec7

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
DeleteFile('C:\Program Files (x86)\JetAudio\convert.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkNotifyer','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MediaInformer','command');
 DeleteFile('C:\Program Files (x86)\JetAudio\unpack.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
 DeleteFile('C:\Program Files (x86)\jPDFViewer\jre\bin\convert.exe','32');
 DeleteFile('C:\Program Files (x86)\jPDFViewer\jre\bin\jucheck.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\regedit.exe','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Смените все пароли

Сделайте лог полного сканирования МВАМ

[diplomat89]

готово

а карантин пуст

[thyrex]

C:\Program Files (x86)\AnvSoft\Any Video Converter\gnu\lucoms.exe
C:\Program Files (x86)\AnvSoft\Any Video Converter\gnu\wisptis.exe
C:\Program Files (x86)\Microsoft Office\Office14\launch.exe
C:\ProgramData\Windows\csrss.exe
C:\TEMP\1923.tmp.exe
C:\TEMP\5938.tmp.exe
C:\Users\????????????N?N?N??°N???N?\AppData\Roamin g\AAN-DUPKSPPO\regedit.exe
C:\Users\????????????N?N?N??°N???N?\AppData\Roamin g\wufjdcuh\rihjjabu.exe
C:\Windows\run.exe
C:\Windows\unpack.exe

все эти файлы запакуйте в один архив с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы


Поместите в карантин МВАм все, кроме

Trojan.Agent.ED, C:\Program Files (x86)\AnvSoft\Any Video Converter\gnu\lucoms.exe, , [41d1e83267232c0a8a5f9803629fe917], 
Trojan.Agent.ED, C:\Program Files (x86)\AnvSoft\Any Video Converter\gnu\wisptis.exe, , [4dc5130787032d0926c39b00b54c7a86], 
Trojan.Agent.ED, C:\Program Files (x86)\Microsoft Office\Office14\launch.exe, , [6ba7c951e2a8290d7475554642bfe818],  
Malware.Gen, C:\Program Files\Adobe\Adobe Photoshop CS5 (64 Bit)\Adobe.Photoshop.CS5.Extended.v12.0.Keymaker-EMBRACE.exe, , [c64c52c88901ff37dd5d0577986803fd], 
Trojan.Agent, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\Thinstall\Microsoft Office Enterprise 2007\30000000111800002h\EXCEL.EXE, , [44ce70aa1674b77f78acbd422dd4c13f], 
Joke.Reddot, C:\Users\????????????N?N?N??°N???N?\Downloads\11_5_RedDot.exe, , [41d19b7fc2c88ea8317b0d5cfe043dc3], 
Trojan.Agent.ED, C:\Windows\run.exe, , [d63cb06ac0ca13235891306bae53649c], 
Trojan.Agent.ED, C:\Windows\unpack.exe, , [a66c5cbe69216acc8a5f514a0ff2ab55],
PUP.Optional.OpenCandy, D:\??N??µ???µ?????°N?\FreemakeVideoConverter_4.1.2.2.exe, , [030f06149ceec76fc55f132119e87090], 
PUP.Optional.InstallCore.A, D:\??N??µ???µ?????°N?\FileExtractorSetup.exe, , [838fc2583d4dc373ca19335027defa06], 
CrackTool.Agent, D:\??N??µ???µ?????°N?\Proxy Switcher Pro v5.6.1.6308 Final Eng_Rus\Patch-MPT\proxy.switcher.pro.5.6.1.6308-MPT.exe, , [c44e28f20882da5c5fdd5de97b869a66], 
Malware.Packer, E:\? ?°?·????N????µ\?????±?»????N??µ???°\??N???N??????°\??N???N????»??????N? ?? ???µ???µN?.N?N??µ??????????\???»?°N?N??µN?\??.???»?°N?N??µN? - ??N??¶N??????°??\000345t.exe, , [f41e43d7abdfbe786804b7c0ea1be41c], 
Malware.Packer, E:\? ?°?·????N????µ\?????±?»????N??µ???°\??N???N??????°\??N???N????»??????N? ?? ???µ???µN?.N?N??µ??????????\???»?°N?N??µN?\??.???»?°N?N??µN? - ??N??¶N??????°??\000456w.exe, , [0b0738e261294aecd29a2d4a39ccaf51], 
Malware.Packer, E:\? ?°?·????N????µ\?????±?»????N??µ???°\??N???N??????°\??N???N????»??????N? ?? ???µ???µN?.N?N??µ??????????\???»?°N?N??µN?\??.???»?°N?N??µN? - ??N??¶N??????°??\???????°N?????.exe, , [a072a5750d7dda5cc9a3df987590758b], 
RiskWare.Tool.CK, E:\?¤?°???»N?\3D\AutoCAD2011\xf-a2011-64bits.exe, , [011165b594f661d5b107f57502002bd5], 
RiskWare.Tool.CK, E:\?¤?°???»N?\3D\Autodesk_AutoCAD_2011_x32_x64_MLG\License\xf-a2011-64bits.exe, , [70a227f30486e5513682c4a604feaf51], 
PUP.Keygen.Intro, E:\?¤?°???»N?\3D\CS4-Keygen\CORE10k.EXE, , [2be748d2c0ca9f979f9773deeb1a9d63], 
RiskWare.Tool.CK, E:\?¤?°???»N?\3D\CS4-Keygen\keygen.exe, , [e32ff129d7b384b2b0b50bdd21e044bc], 
RiskWare.Tool.CK, E:\?¤?°???»N?\3D\Google_SketchUp_Pro_8_VRay_1.48.91\Google.Sketchup.Pro.v8.0.3117_+ VRay.1.48.91\Google.Sketchup.Pro.v8.0.3117.Incl.Keygen-MESMERiZE\keygen.exe, , [2de570aa5d2daf87bf309ee812f056aa], 
PUP.Optional.OpenCandy, E:\?¤?°???»N?\Soft\Support\winamp5581_full_emusic-7plus_ru-ru.exe, , [9e7438e2f09a52e4df662ab315f0cf31], 
Trojan.Midhos, E:\?¤?°???»N?\?˜??N?N?\Hitman.Sniper.Challenge-SKIDROW\SKIDROW\skidrow.dll, , [db376fabe9a1f93d2e75a72cd0308e72], 
Trojan.Clicker, E:\?¤?°???»N?\?˜??N?N?\?? ????N??°??\?? ?»2\2_AutoClick_2.2\AutoClick.exe, , [8e8429f1cfbbff37229787dd34ce10f0], 
PUP.Optional.LoadMoney, E:\?¤?°???»N?\????N?N??µ??N?N?\windows-7-ultimate-sp1-original-x64-2012.exe, , [c54d6dad5c2e171f181eeda48c75cf31], 
RiskWare.Tool.CK, E:\N??»?µN????°\Autodesk 3ds Max 2013\xf\xf-3dsmax_x32.exe, , [f61cc951315958de8d5bd10c56aad729], 
RiskWare.Tool.CK, E:\N??»?µN????°\Autodesk 3ds Max 2013\xf\xf-3dsmax_x64.exe, , [bb571307b7d3b38319cf7e5f6898f40c], 
Trojan.Agent.CK, E:\N??»?µN????°\Crack\xf-adsk2014_x64.exe, , [6aa80218d3b7ff372aca10c1eb1756aa],

[diplomat89]

Файл сохранён как 150210_065702_virus_54d9737e09c10.zip
Размер файла 7091743
MD5 9d023e530bc0009d0dbef02c9b02070e
Файл закачан, спасибо!

не нашел два файла

C:\Users\????????????N?N?N??°N???N?\AppData\Roamin g\AAN-DUPKSPPO\regedit.exe
C:\Users\????????????N?N?N??°N???N?\AppData\Roamin g\wufjdcuh\rihjjabu.exe

остальные в архиве

в карантин отправил как сказано

еще на флешке в свойствах всех папок в строке обьект прописано такое

C:\WINDOWS\system32\cmd.exe F/c "start %cd%\porn.exe && %windir%\explorer %cd%\10-07-2013_18-16-13"

[thyrex]

еще на флешке в свойствах всех папок в строке обьект прописано такое

Это ярлыки со значком папки скорее, чем сами папки. Настоящие папки возможно скрыты вирусом

C:\Program Files (x86)\AnvSoft\Any Video Converter\gnu\lucoms.exe
C:\Program Files (x86)\AnvSoft\Any Video Converter\gnu\wisptis.exe
C:\Program Files (x86)\Microsoft Office\Office14\launch.exe
C:\Windows\run.exe
C:\Windows\unpack.exe

удалите вручную

Смените все пароли

Сделайте новый лог МВАМ

[diplomat89]

да...папки скрыты

сделано

[thyrex]

C:\Users\????????????N?N?N??°N???N?\Desktop\virus. zip удалите

С расшифровкой не поможем

http://virusinfo.info/announcement.php?f=46&a=52

[diplomat89]

спасибо...последний вопрос...мог ли я его подцепить через свой сайт?

[thyrex]

Через свой вряд ли. Зашли к Вам скорее всего удаленно

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\jetaudio\convert.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  2. c:\program files (x86)\jetaudio\unpack.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  3. c:\program files (x86)\jpdfviewer\jre\bin\convert.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  4. c:\program files (x86)\jpdfviewer\jre\bin\jucheck.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  5. \csrss.exe - Backdoor.Win32.Androm.gfrl ( AVAST4: MSIL:Agent-CNG [Trj] )
  6. c:\temp\dbcd.tmp.exe - Trojan.Win32.Crypt.dck
  7. c:\windows\unpack.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  8. h:\porn.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  9. \launch.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  10. \lucoms.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  11. \run.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  12. \unpack.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  13. \wisptis.exe - Trojan-PSW.Win32.Tepfer.uwht ( AVAST4: Win32:Malware-gen )
  14. \1923.tmp.exe - Backdoor.Win32.Hlux.ekae ( AVAST4: Win32:Malware-gen )
  15. \5938.tmp.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !