[email protected]_h10 зашифрованы файлы [not-a-virus:RiskTool.Win32.BitCoinMiner.hoo, Trojan.Win32.Buzus.odjk ]

[Алексей Черкасов]

[email protected]_h10 приписывается к файлам а сами они зашифрованы
на рабочем столе такая картинка h__p://yadi.sk/d/ZbnXyRlGCDeE4
также скидываю образцы зашифрованные и оригинал
проверил компьютер с помощью Dr.Web CureIt! все что нашел он либо вылечил или удалил
также кидаю логи
ссылки на файлы h__p://yadi.sk/d/kvcfLKAFCDdX8 и h__p://yadi.sk/d/mP4LTm_ZCDdkV

[Info_bot]

Уважаемый(ая) Алексей Черкасов, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Info_bot]

Уважаемый(ая) Алексей Черкасов, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Таня\appdata\roaming\flash\cgminer-nogpu.exe','');
 QuarantineFile('C:\Users\Таня\appdata\roaming\flash\cgminer.exe','');
 QuarantineFile('c:\users\2106~1\appdata\local\temp\opentend64.dll','');
 QuarantineFile('C:\Users\2106~1\AppData\Local\Temp\3fc51.exe','');
 QuarantineFile('C:\Users\Таня\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\312.exe','');
 QuarantineFile('C:\Users\Таня\AppData\Roaming\Flash\update.vbs','');
 QuarantineFile('C:\Users\2106~1\AppData\Local\Temp\5F9C.tmp.exe','');
 QuarantineFile('c:\users\Таня\appdata\roaming\lw_mc\service.exe','');
 TerminateProcessByName('c:\users\2106~1\appdata\local\temp\3fc51.exe');
 QuarantineFile('c:\users\2106~1\appdata\local\temp\3fc51.exe','');
 DeleteFile('c:\users\2106~1\appdata\local\temp\3fc51.exe','32');
 DeleteFile('C:\Users\2106~1\AppData\Local\Temp\5F9C.tmp.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftUpdate');
 DeleteFile('C:\Users\Таня\AppData\Roaming\Flash\update.vbs','32');
 DeleteFile('C:\Users\Таня\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\312.exe','32');
 DeleteFile('C:\Windows\Tasks\At1.job','64');
 DeleteFile('C:\Users\2106~1\AppData\Local\Temp\113943847','32');
 DeleteFile('C:\Windows\Tasks\At2.job','64');
 DeleteFile('C:\Users\2106~1\AppData\Local\Temp\123237685','32');
 DeleteFile('C:\Users\2106~1\AppData\Local\Temp\3fc51.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\jnphuzcqr4.job','64');
 DeleteFile('C:\Windows\system32\Tasks\At1','64');
 DeleteFile('C:\Windows\system32\Tasks\At2','64');
 DeleteFile('C:\Windows\system32\Tasks\jnphuzcqr4','64');
 DeleteFile('c:\users\2106~1\appdata\local\temp\opentend64.dll','32');
 DeleteFile('C:\Users\Таня\appdata\roaming\flash\cgminer.exe','32');
 DeleteFile('C:\Users\Таня\appdata\roaming\flash\cgminer-nogpu.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Алексей Черкасов]

недостающий лог что вы писали в последнем сообщения с malware
http://yadi.sk/d/twZJ0erSCL9DD
http://yadi.sk/d/HgHDgVNdCL9BX вот они на яндекс диске

[thyrex]

Сделайте лог полного сканирования МВАМ

[Алексей Черкасов]

лог полного сканирования МВАМ сделал

[thyrex]

Читайте внимательно, какой лог нам нужен

[Алексей Черкасов]

вот этот?

[thyrex]

Удалите в МВАМ все, кроме

Обнаруженные процессы в памяти:  1
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> 2744 -> Действие не было предпринято.

Обнаруженные файлы:  22
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> Действие не было предпринято.
C:\Users\Таня\Desktop\a-studio_-_papa_mama_(zaycev.net).exe (PUP.Optional.ZvuZona) -> Действие не было предпринято.
C:\Users\Таня\Desktop\ne_toropi_lubov_2008_dvdrip_avi.exe (PUP.Downloader.LoadMoney) -> Действие не было предпринято.
C:\Users\Таня\Desktop\pitstsa_-_oruzhie_(zaycev.net).exe (Trojan.Banload) -> Действие не было предпринято.
C:\Users\Таня\Desktop\pitstsa_-_oruzhie_(zaycev.net).exe.vkc6u91.partial (Trojan.Banload) -> Действие не было предпринято.
C:\Users\Таня\Desktop\sarah_brightman_-_dust_in_the_wind_(zaycev.net).exe (Trojan.Banload) -> Действие не было предпринято.
C:\Users\Таня\Desktop\skillet_-_looking_for_angels_zaycev_net.exe (PUP.Downloader.LoadMoney) -> Действие не было предпринято.
C:\Users\Таня\Pictures\richard_sanderson_-_reality_(zaycev.net).exe (PUP.Optional.ZvuZona) -> Действие не было предпринято.
C:\Users\Таня\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\africa.bmp (Trojan.Africa) -> Действие не было предпринято.
C:\Users\Таня\AppData\Roaming\OpenCandy\2149DF8B5C7F4C798FF31BDD698F91D4\nitro_pdf_reader2_x64.msi (PUP.Optional.OpenCandy) -> Действие не было предпринято.

[Алексей Черкасов]

все сделал

[thyrex]

Дешифратором пока никто не поделился

[Алексей Черкасов]

Большое спасибо! Напишите если будет что-нибудь известно про дешифратор.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\таня\\appdata\\roaming\\flash\\cgminer. exe - not-a-virus:RiskTool.Win32.BitCoinMiner.hoo ( BitDefender: Trojan.GenericKDV.1204286 )
  2. c:\\users\\таня\\appdata\\roaming\\flash\\cgminer-nogpu.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.hop
  3. c:\\users\\таня\\appdata\\roaming\\flash\\update.v bs - Trojan.VBS.Miner.d ( DrWEB: Trojan.BtcMine.178, AVAST4: Unix:Malware-gen )
  4. c:\\users\\таня\\appdata\\roaming\\lw_mc\\service. exe - Backdoor.Win32.Androm.bedm ( BitDefender: Gen:Variant.Graftor.120668, AVAST4: Win32:Zbot-RZD [Trj] )
  5. c:\\users\\2106~1\\appdata\\local\\temp\\3fc51.exe - Trojan.Win32.Buzus.odjk ( BitDefender: Gen:Variant.Strictor.41827, AVAST4: Win32:Malware-gen )