Помогите с расшифровкой файлов [email protected]_NeXCyT [HEUR:Trojan.Script.Generic, Trojan.WinREG.Zapchast.o ]

[rimm2]

Скачали заражённый файл, после чего все файлы не запускаются.



http://files.mail.ru/ACD3B1D1B086468786EDFEC16665A2B3 - зашифрованный файл

[Info_bot]

Уважаемый(ая) rimm2, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Скачали заражённый файл

Файл сохранился?

Выполните скрипт в AVZ

 begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Documents and Settings\Admin\Application Data\taskhost.exe','');
 TerminateProcessByName('c:\windows\system32\betwinservicexp.exe');
 QuarantineFile('c:\windows\system32\betwinservicexp.exe','');
 DeleteFile('c:\windows\system32\betwinservicexp.exe','32');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\taskhost.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[rimm2]

Новые логи прикрепил,

Лог полного сканирования МВАМ

Карантин отправил.

Насчёт скачанного вируса, неправильно выразился, письмо пришло по почте. Если нужно, могу переслать его Вам.

Спасибо.

[mike 1]

Здравствуйте!

Закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\igfxtray.dat','');
 QuarantineFile('C:\WINDOWS\system32\ieunitdrf.inf','');
 QuarantineFileF('C:\Documents and Settings\Admin\Мои документы\Iterra', '*', true, ' ', 0, 0);
 DeleteFile('C:\Documents and Settings\Admin\Application Data\igfxtray.dat','32');
 DeleteFile('C:\WINDOWS\system32\ieunitdrf.inf','32');
 DeleteFileMask('C:\Documents and Settings\Admin\Мои документы\Iterra', '*', true, ' ');
 DeleteDirectory('C:\Documents and Settings\Admin\Мои документы\Iterra');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;   
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте логи RSIT.

[thyrex]

Файл из письма запакуйте с паролем virusб выложите на rghost.ru и пришлите ссылку мне на почту

[rimm2]

Скрипты выполнил, карантин отправил.

логи RSIT за месяц прикрепил

- - - Добавлено - - -

Файл из письма запакуйте с паролем virusб выложите на rghost.ru и пришлите ссылку мне на почту

А как я его запакую!? Файл в писме кликнули, он выполнился, и всё. Я даж открывать письмо боюсь. У меня ещё не всё зашифровалось.

[thyrex]

Файл в писме кликнули

По правой кнопке мыши разве не дает сохраанить файл на диск?

Папку C:\Documents and Settings\Admin\Application Data\20FE2F83 удалите

[mike 1]

1. Скачайте OTM by OldTimer или с зеркала и сохраните на рабочий стол.
2. Запустите OTM by OldTimer (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора)
3. временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)
   

   :Processes
   explorer.exe
   
   :Services
   
   :Files
   C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\qANqdUxQod4.exe
   C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\Reboot.exe
   C:\Documents and Settings\Admin\Application Data\20FE2F83
   
   :Reg
   [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^qANqdUxQod4.exe]
   [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Reboot.exe]
   
   :Commands
   [purity]
   [start explorer]
   [Reboot]

4. В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".
5. Компьютер перезагрузится.
6. После перезагрузки откройте папку "C:\_OTM\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), прикрепите его в следующее сообщение.

Что в этой папке находится?

2014-03-05 12:36:04 ----D---- C:\Fg9a8i9jV4HBGWH

[rimm2]

Что в этой папке находится?

2014-03-05 12:36:04 ----D---- C:\Fg9a8i9jV4HBGWH

Неизвестно, какойто скрытый inf файл

Такая папка есть ещё в C:\Documents and Settings\Admin\Application Data

там RrtLv7xii9I папка а уже в ней dfrvu.ksi файл

- - - Добавлено - - -

1. Скачайте OTM by OldTimer или с зеркала и сохраните на рабочий стол.
2. Запустите OTM by OldTimer (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора)
3. временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)
   
4. В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".
5. Компьютер перезагрузится.
6. После перезагрузки откройте папку "C:\_OTM\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), прикрепите его в следующее сообщение.

Сделал, прикрепил.

- - - Добавлено - - -

Файл из письма запакуйте с паролем virusб выложите на rghost.ru и пришлите ссылку мне на почту

Послал

[mike 1]

2014-03-05 12:36:04 ----D---- C:\Fg9a8i9jV4HBGWH

Эту папку тогда тоже удалите.

[rimm2]

2014-03-05 12:36:04 ----D---- C:\Fg9a8i9jV4HBGWH

Эту папку тогда тоже удалите.

А в других местах эту папку?

[mike 1]

А в других местах эту папку?

А в каких местах она еще находится?

[rimm2]

А в каких местах она еще находится?

Яж писал - Такая папка есть ещё в C:\Documents and Settings\Admin\Application Data

там RrtLv7xii9I папка а уже в ней dfrvu.ksi файл

[mike 1]

Эту папку тоже удаляйте.

[thyrex]

Файл получил, спасибо

[rimm2]

Ребят, есть какие то новости? Не томите.

[thyrex]

Пока никаких

[thyrex]

http://virusinfo.info/showthread.php?t=156694

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\application data\igfxtray.dat - HEUR:Trojan.Script.Generic
  2. c:\documents and settings\admin\мои документы\iterra\t03emp03.reg - Trojan.WinREG.Zapchast.o ( DrWEB: Trojan.Mayachok.1 )