Показано с 1 по 17 из 17.

Очередной KEYBTC@GMAIL_COM [not-a-virus:WebToolbar.Win32.Perinet.d ] (заявка № 164784)

  1. #1
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9

    Очередной KEYBTC@GMAIL_COM [not-a-virus:WebToolbar.Win32.Perinet.d ]

    Прошу помощи! Стандартная ситуация с почтой от имени известного адресата. Файлы заблокировались, все что нажито непосильным трудом пропало. выручайте!
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,266
    Вес репутации
    327
    Уважаемый(ая) Lexa13, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,654
    Вес репутации
    2918
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    QuarantineFile('C:\Windows\SysWOW64\mjcm\5123\nsib.dll','');
     QuarantineFile('C:\Windows\System32\tprb\dnkt.exe','');
     QuarantineFile('C:\Windows\System32\dmwu.exe','');
     QuarantineFile('c:\windows\syswow64\mjcm\dnkt.exe','');
     BC_ImportAll;
    BC_Activate;
    ExecuteREpair(9); 
    RebootWindows(false);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  5. #4
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Выполнил, отправил. Чем дальше занятся?
    Вложения Вложения

  6. #5
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Эти файлы Вам знакомы? Что они делают в планировщике задач?
    Код:
    F:\autorun.exe
    F:\setup.exe
    Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     ClearQuarantine;
     StopService('IBUpdaterService');
     SetServiceStart('IBUpdaterService', 4);
     TerminateProcessByName('C:\Windows\System32\tprb\dnkt.exe');
     TerminateProcessByName('c:\windows\syswow64\mjcm\dnkt.exe');
     TerminateProcessByName('C:\Windows\System32\dmwu.exe');
     QuarantineFile('C:\Windows\Temp\TS_1840.tmp','');
     QuarantineFile('C:\Users\Sony\AppData\Local\Temp\nsp6A96.tmp\blowfish.dll','');
     DeleteFile('C:\Windows\System32\dmwu.exe','32');
     DeleteFile('c:\windows\syswow64\mjcm\dnkt.exe','32');
     DeleteFile('C:\Windows\System32\tprb\dnkt.exe','32');
     DeleteFile('C:\Windows\SysWOW64\mjcm\5123\nsib.dll','32');
     DeleteFile('C:\Windows\SysWOW64\mjcm\ImHttpComm.dll','32');
     DeleteFile('C:\Users\Sony\AppData\Roaming\iolo\EventMsg.dll','32');
     DeleteFile('C:\Users\Sony\AppData\Local\Temp\nsp6A96.tmp\blowfish.dll','32');
     DeleteFile('C:\Windows\Temp\TS_1840.tmp','32');
     DeleteFile('C:\Windows\system32\mjcm\dnkt.exe','32');
     DeleteFile('C:\Windows\system32\mjcm\5113\nsib.dll','32');
     DeleteFile('C:\Windows\syswow64\mjcm\dnkt.exe','32');
     BC_ImportAll;
    ExecuteSysClean;
    ExecuteWizard('TSW',2,3,true);
    BC_DeleteSvc('IBUpdaterService');
    BC_Activate;
    RebootWindows(false);
    end.
    Компьютер перезагрузится.

    Выполните ещё один скрипт
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'virus.zip');
    end.
    Загрузите файл virus.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" вверху темы. Сделайте новые логи AVZ.

    • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
    • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
    • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
    • Прикрепите отчет к своему следующему сообщению.

  7. #6
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Исполнил. Прилагаю ЛОГИ и отчет клинера.

    - - - Добавлено - - -

    F:\autorun.exe
    F:\setup.exe
    Файлы непонятные да и диска F: у меня нет.
    Вложения Вложения

  8. #7
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     TerminateProcessByName('c:\windows\system32\hasplms.exe');
     DeleteFile('c:\windows\system32\hasplms.exe','32');
     DeleteFile('F:\autorun.exe','32');
     DeleteFile('F:\setup.exe','32');
     DeleteFile('C:\Windows\system32\Tasks\{12000FF4-2551-4419-9394-9B6C2DCABADD}','64');
     DeleteFile('C:\Windows\system32\Tasks\{23A67523-35BC-4242-88C6-A54C8A560928}','64');
     DeleteFile('C:\Windows\system32\Tasks\{2D61CA2D-2E79-4EFB-899D-29DA5067DBCB}','64');
     DeleteFile('C:\Windows\system32\Tasks\{2F4A2076-1023-453B-8FDD-A477E5D0DEE2}','64');
     DeleteFile('C:\Windows\system32\Tasks\{37C7C9C9-1C37-4A16-8217-35F3DEDC8EED}','64');
     DeleteFile('C:\Windows\system32\Tasks\{43674A93-44FD-45A4-A4D8-251F51839BED}','64');
     DeleteFile('C:\Windows\system32\Tasks\{6EA0F6CA-717E-4977-AD74-8BC0D9F59802}','64');
     DeleteFile('C:\Windows\system32\Tasks\{8FA834C6-3847-46E0-9E22-A9B290E278EB}','64');
     DeleteFile('C:\Windows\system32\Tasks\{9C60F180-2BEB-4F4D-B010-C5D7683789D4}','64');
     DeleteFile('C:\Windows\system32\Tasks\{9C9F6742-7685-4492-AE04-8C837F878BA7}','64');
     DeleteFile('C:\Windows\system32\Tasks\{A5D2AD06-3E6B-434E-B46A-0E59956E12F5}','64');
     DeleteFile('C:\Windows\system32\Tasks\{D585AAF1-66D6-4BFA-B4BD-E750BC1875FD}','64');
     BC_ImportAll;
    ExecuteSysClean;
    ExecuteWizard('TSW',2,3,true);
     BC_DeleteFile('c:\windows\system32\hasplms.exe');
    BC_Activate;
    RebootWindows(false);
    end.
    Компьютер перезагрузится. Сделайте новый лог virusinfo_syscheck.zip Сделайте лог полного сканирования МВАМ.

    Удалите в AdwCleaner всё кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё).

  9. #8
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Проделал все рекомендуемые действия. После удаления файлов в AdwCleaner он почему-то самоудалился, это правильно?
    Вложения Вложения

  10. #9
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    После удаления файлов в AdwCleaner он почему-то самоудалился, это правильно?
    Нет. Лог C:\AdwCleaner\AdwCleaner[S0].txt остался? Прикрепите его к сообщению.

  11. #10
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Отключились службы Аваст антивирус и файрвол. При попытке включить сообщение отказано в доступе.

    - - - Добавлено - - -

    Пропала вся папка C:\AdwCleaner\

    - - - Добавлено - - -

    Загрузил снова AdwCleaner есть отчет.
    Вложения Вложения

  12. #11
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Логи в порядке. Заархивируйте несколько зашифрованных файлов и прикрепите к сообщению.

  13. #12
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Вложил файлы. А что делать Авастом и брандмауэром, не запускаются. Ссылаются что отключена служба базовой фильтрации. Она тоже не хочет запускаться.
    Вложения Вложения

  14. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,568
    Вес репутации
    709
    Lexa13, расшифровать без приватного ключа, который есть только у автора шифровальщика невозможно.
    прочитайте эту статью http://virusinfo.info/showthread.php?t=164586
    возможно поможет получить нужный ключ для расшифровки для расшировки в ходе обыска у авторов трояна.

  15. #14
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Источник микроба никому не нужен? Остался в почте. И что все-таки с системой, отключены службы защиты.

  16. #15
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Источник микроба никому не нужен?
    Конечно нужен

    Сможете заархивровать в zip архив с паролем virus и отправить по ссылке "Прислать запрошенный карантин"?

    А что делать Авастом и брандмауэром, не запускаются. Ссылаются что отключена служба базовой фильтрации. Она тоже не хочет запускаться.
    Выдается сообщение об ошибке? Можете сделать его скриншот?

  17. #16
    Junior Member Репутация
    Регистрация
    12.08.2014
    Адрес
    Беларусь
    Сообщений
    8
    Вес репутации
    9
    Отправил источник с именем virus по ссылке. Проблемы с системой решились сносом Аваста и установкой Доктора Веб.

  18. #17
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,562
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 9
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\dmwu.exe - not-a-virus:WebToolbar.Win32.Perinet.d
      2. c:\windows\system32\mjcm\dnkt.exe - not-a-virus:WebToolbar.Win32.Perinet.d
      3. c:\windows\system32\mjcm\5113\nsib.dll - not-a-virus:WebToolbar.Win32.Perinet.d
      4. c:\windows\system32\tprb\dnkt.exe - not-a-virus:WebToolbar.Win32.Perinet.d
      5. c:\windows\syswow64\mjcm\dnkt.exe - not-a-virus:WebToolbar.Win32.Perinet.d
      6. c:\windows\syswow64\mjcm\5123\nsib.dll - not-a-virus:WebToolbar.Win32.Perinet.d


  • Уважаемый(ая) Lexa13, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 11
      Последнее сообщение: 17.08.2014, 17:57
    2. keybtc@gmail_com
      От Asemishev в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 12.08.2014, 14:28
    3. Файлы зашифрованы KEYBTC@GMAIL_COM(keybtc@gmail.com)
      От Zhorik в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 12.08.2014, 11:03
    4. Файлы зашифрованы KEYBTC@GMAIL_COM(keybtc@gmail.com)
      От mikesan в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 07.08.2014, 12:52
    5. Файлы зашифровались "KEYBTC@GMAIL_COM" (.keybtc@gmail_com)
      От ser_pod в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 07.08.2014, 01:06

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01343 seconds with 24 queries