Все файлы поменяли расширение. [Trojan-Downloader.Win32.Agent.hfao ]

[gellas]

Все файлы на компьютере поменяли расширение. Например расширение Word стало: "doc.nnsgeph". Если убрать "nnsgeph" файл все равно не открывается.

[Info_bot]

Уважаемый(ая) gellas, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте! Обновите базы AVZ!

Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\windows\system32\lsasrv.exe');
 QuarantineFile('C:\winset.exe','');
 QuarantineFile('c:\windows\system32\lsasrv.exe','');
 DeleteFile('c:\windows\system32\lsasrv.exe','32');
 DeleteFile('C:\winset.exe','32');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','SetWindow');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','SetWindow');  
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[gellas]

Высылаю запрошенные файлы после выполнения скриптов.

[mike 1]

Просили же обновить базы AVZ, а логи все равно сделали с устаревшими базами.

Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Переделывайте. Заодно расскажите как поймали шифратора?

[gellas]

К сожалению как именно поймали шифратора не знаю. Увидел уже по факту. Но на самом ПК стоит касперский, который ничего не нашел.

[mike 1]

Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[gellas]

Все пункты выполнил.

[mike 1]

Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

???

[gellas]

Извините.

Результаты проверки онлайн-сервисом VirusDetector »
http://e.mail.ru/cgi-bin/link?check=...1654475c6e4206

Обсуждение результатов проверки »
http://e.mail.ru/cgi-bin/link?check=...1654475c6e4206

[mike 1]

И как я посмотрю отчет если я не знаю учетных данных вашего почтового ящика?

Это http://virusinfo.info/virusdetector/...73CA8C6984D037 ваш отчет?

[gellas]

Да мой.

[mike 1]

В общем похоже удаленно зашли на этот компьютер и запустили шифратор. По логам плохого не видно.

[gellas]

Понятно. А есть ли возможность расшифровать файлы?

[mike 1]

Без наличия самого шифратора даже не ясно к какой группе шифраторов он относится и возможно ли расшифровать файлы.

Попробуйте http://support.kaspersky.ru/viruses/disinfection/2911, но скорее всего не поможет.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\winset.exe - Trojan-Downloader.Win32.Agent.hfao ( DrWEB: Trojan.DownLoad.64920, BitDefender: Gen:Variant.Symmi.25875, AVAST4: Win32:Malware-gen )