Вирус [email protected] [not-a-virus:RiskTool.Win32.Agent.aps ]

[Веселов Вячеслав]

Помогите пожалуйста вылечить компьютер. Вирус пришел по электронной почте.Повредились многие файлы, не могу их открыть.

[Info_bot]

Уважаемый(ая) Веселов Вячеслав, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('d:\wind2\system32\betwinservicexp.exe');
 QuarantineFile('D:\DOCUME~1\66C0~1\LOCALS~1\Temp\zdnrvh.dll','');
 QuarantineFile('D:\DOCUME~1\66C0~1\LOCALS~1\Temp\t1','');
 QuarantineFile('d:\wind2\system32\betwinservicexp.exe','');
 DeleteFile('D:\DOCUME~1\66C0~1\LOCALS~1\Temp\t1','32');
 DeleteFile('D:\DOCUME~1\66C0~1\LOCALS~1\Temp\zdnrvh.dll','32');
 DeleteFile('D:\WIND2\system32\betwinservicexp.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qczyx');  
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - HKCU\..\Run: [qczyx] cmd.exe /c copy "D:\DOCUME~1\66C0~1\LOCALS~1\Temp\t1" "D:\WINDOWS\system32\drivers\etc\hosts" /Y && erase "D:\DOCUME~1\66C0~1\LOCALS~1\Temp\zdnrvh.dll" && copy "\D:\DOCUME~1\66C0~1\LOCALS~1\Temp\qwgki" "%WINDIR%\system32\drivers\etc\hоsts" /Y && attrib +H "D\system32\drivers\etc\hosts"
O4 - Startup: ufr_reports

Сделайте логи RSIT.

[Веселов Вячеслав]

Я загрузил карантин,что делать дальше?

[mike 1]

Дальше пофиксите указанные строчки и сделайте логи RSIT.

[Веселов Вячеслав]

Дальше пофиксите указанные строчки и сделайте логи RSIT.

Я пофиксил указанные строчки,а как сделать логи RSIT?

[mike 1]

Здесь http://virusinfo.info/showthread.php?t=121598 найдете нужную инструкцию.

[Веселов Вячеслав]

Логи прикрепил,что дальше?

[mike 1]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 DeleteFile('D:\WIND2\System32\drivers\BeTwinVF.sys','');
 DeleteFile('D:\WIND2\System32\Drivers\BeTwinSystem.sys','');
 DeleteFile('D:\WIND2\System32\drivers\BeTwinKF.sys','');
 DeleteFile('D:\WIND2\System32\drivers\BeTwinMF.sys','');
 DeleteService('BeTwinVideo');
 DeleteService('BeTwinSystem');
 DeleteService('BeTwinKeyboard');
 DeleteService('BeTwinMouse');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера.

Сделайте новые логи RSIT.

Скачайте Malwarebytes' Anti-Malware, установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве

[Веселов Вячеслав]

Отправляю лог,что дальше?

[mike 1]

Сделайте новые логи RSIT.

...

[Веселов Вячеслав]

...

сделал

[mike 1]

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

Подробнее читайте в руководстве

Обнаруженные ключи в реестре:  4
HKCU\SOFTWARE\Google\Chrome\Extensions\pacgpkgadgmibnhpdidcnfafllnmeomc (PUP.Optional.uTorrentTB.A) -> Действие не было предпринято.
HKCU\Software\ConduitSearchScopes (PUP.Optional.Conduit.A) -> Действие не было предпринято.
HKCU\Software\Softonic\Universal Downloader (PUP.Optional.Softonic.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Google\Chrome\Extensions\pacgpkgadgmibnhpdidcnfafllnmeomc (PUP.Optional.uTorrentTB.A) -> Действие не было предпринято.

Обнаруженные файлы:  6
C:\Program Files (С)\Setup-SopCast-3.8.3-2013-6-26.exe (PUP.Optional.Spigot.A) -> Действие не было предпринято.
D:\WIND2\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

Прикрепите в архиве несколько небольших doc файлов.

[Веселов Вячеслав]

Прикрепляю зашифрованные файлы

- - - Добавлено - - -

Указанные строчки выделил и удалил.

[mike 1]

Нужного ключика для вашего варианта не оказалось.

[Веселов Вячеслав]

Нужного ключика для вашего варианта не оказалось.

А где его можно найти? К кому еще можно обратиться?

[mike 1]

А где его можно найти? К кому еще можно обратиться?

Файлы расшифровать без оригинального дешифратора, который есть только у автора этого шифратора не получится. В утилите DrWeb нет нужного ключа для полноценной расшифровки ваших файлов.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\wind2\system32\betwinservicexp.exe - not-a-virus:RiskTool.Win32.Agent.aps