Показано с 1 по 11 из 11.

Все файлы зашифровались под ".AES258" (заявка № 168235)

  1. #1
    Junior Member Репутация
    Регистрация
    08.10.2014
    Сообщений
    5
    Вес репутации
    8

    Все файлы зашифровались под ".AES258"

    Здравствуйте!
    Пожалуйста, помогите расшифровать файлы (все изображения, документы, видео,..- получили расширение: AES256). На рабочем столе появился ярлык "Онлайн-консультант", а в каждой папке с зашифрованными файлами - "txt" ("Внимание!Откройте меня" и ... "Здравствуйте, все ваши файлы повреждены,..и т.д.)
    Также, в браузере, при открытии страниц, в поиске (а также при любом щелчке мышкой ) - сами по себе открываются не вызываемые вкладки и страницы...
    Вложения Вложения
    Последний раз редактировалось thyrex; 10.10.2014 в 14:13.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,267
    Вес репутации
    326
    Уважаемый(ая) Aleksandr1958, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Junior Member Репутация
    Регистрация
    08.10.2014
    Сообщений
    5
    Вес репутации
    8
    Извините, исправляю вложения...
    Вложения Вложения

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,239
    Вес репутации
    1022
    Здравствуйте! Деинсталлируйте AceStream

    Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

    Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

    Код:
    begin
     ExecuteAVUpdate;
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
      then
       begin
        SearchRootkit(true, true);
        SetAVZGuardStatus(true);
       end;
     ClearQuarantine;
     QuarantineFileF('%USERPROFILE%\appdata\roaming\mail.ru newgamest', '*', true, ' ', 0, 0);
     QuarantineFileF('%USERPROFILE%\AppData\Roaming\runWIN', '*', true, ' ', 0, 0);
     QuarantineFileF('%USERPROFILE%\AppData\Roaming\ICL', '*', true, ' ', 0, 0);
     QuarantineFileF('%USERPROFILE%\AppData\Roaming\GemWare', '*', true, ' ', 0, 0);
     QuarantineFileF('%USERPROFILE%\AppData\Roaming\Microsoft DB', '*', true, ' ', 0, 0);
     QuarantineFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
     QuarantineFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Главное меню\Программы\Автозагрузка\runWIN.exe','');
     DeleteFile('%USERPROFILE%\AppData\Roaming\runWIN\Update.exe','32');
     DeleteFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Главное меню\Программы\Автозагрузка\runWIN.exe','32');
     DeleteFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');     
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');   
     DeleteFileMask('%USERPROFILE%\appdata\roaming\mail.ru newgamest', '*', true, ' ');
     DeleteFileMask('%USERPROFILE%\AppData\Roaming\runWIN', '*', true, ' ');
     DeleteFileMask('%USERPROFILE%\AppData\Roaming\ICL', '*', true, ' ');
     DeleteFileMask('%USERPROFILE%\AppData\Roaming\GemWare', '*', true, ' ');
     DeleteFileMask('%USERPROFILE%\AppData\Roaming\Microsoft DB', '*', true, ' ');
     DeleteDirectory('%USERPROFILE%\appdata\roaming\mail.ru newgamest');     
     DeleteDirectory('%USERPROFILE%\AppData\Roaming\runWIN');     
     DeleteDirectory('%USERPROFILE%\AppData\Roaming\ICL');     
     DeleteDirectory('%USERPROFILE%\AppData\Roaming\GemWare');     
     DeleteDirectory('%USERPROFILE%\AppData\Roaming\Microsoft DB');
     QuarantineFile('C:\Program Files\suptab\search~2.dll','');
     QuarantineFile('C:\Program Files\suptab\search~1.dll','');
     QuarantineFile('C:\Program Files\suptab\dpinterface32.dll','');
     QuarantineFile('C:\iexplore.bat','');
     QuarantineFile('C:\firefox.bat','');
     QuarantineFile('C:\WINDOWS\TEMP\0.del','');
     DeleteService('{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gt');
     QuarantineFile('C:\WINDOWS\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gt.sys','');
     DeleteFile('C:\WINDOWS\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gt.sys','32');
     DeleteFile('C:\WINDOWS\TEMP\0.del','32');
     RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','Del21338781');
     RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','Del21338781');
     DeleteFile('C:\firefox.bat','32');
     DeleteFile('C:\iexplore.bat','32');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x64');
     DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
     DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-1.job','32');
     DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-11.job','32');
     DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-2.job','32');
     DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-3.job','32');
     DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-4.job','32');
     DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-5.job','32');
     DeleteFile('C:\WINDOWS\Tasks\e55bcd2c-9acc-4147-9d4a-eadb54092cec.job','32');
     DeleteFile('C:\WINDOWS\Tasks\fa8e201a-c61b-40f8-a547-a063224d442e.job','32');
     DeleteFile('C:\Program Files\suptab\dpinterface32.dll','32');
     DeleteFile('C:\Program Files\suptab\search~1.dll','32');
     DeleteFile('C:\Program Files\suptab\search~2.dll','32');        
    BC_ImportAll;
    ExecuteSysClean;               
    BC_Activate;
    ExecuteRepair(9);   
    RebootWindows(false);
    end.
    Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

    Код:
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=496c95859e019c530a28e241affab5ea&text={searchTerms}
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=496c95859e019c530a28e241affab5ea&text={searchTerms}
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND&q={searchTerms}
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND&q={searchTerms}
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND
    O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
    O4 - HKCU\..\Run: [AceStream] C:\Documents and Settings\User\Application Data\ACEStream\engine\ace_engine.exe
    Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

    • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
    • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
    • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
    • Прикрепите отчет к своему следующему сообщению.


    Подробнее читайте в этом руководстве.

    1. Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе
    2. Распакуйте архив с утилитой в отдельную папку
    3. Запустите FixerBro
      Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
    4. В главном окне программы нажмите на кнопку "Проверить"
    5. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)
    6. По окончанию сканирования нажмите на кнопку "Отчет".
    7. Сохраните лог утилиты
    8. Прикрепите сохраненный отчет в вашей теме.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  6. #5
    Junior Member Репутация
    Регистрация
    08.10.2014
    Сообщений
    5
    Вес репутации
    8
    Повторные логи

    - - - - -Добавлено - - - - -

    Отчет сканирования:

    - - - - -Добавлено - - - - -

    Отчет FixerBro
    Вложения Вложения

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,239
    Вес репутации
    1022
    Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

    1. Запустите повторно FixerBro by glax24.
      Обратите внимание, что утилиты необходимо запускать через правую кн. мыши от имени администратора, на Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
    2. Нажмите на кнопку "Проверить", а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку Исправить. Дождитесь окончания удаления.

      Код:
      C:\Documents and Settings\User\Главное меню\Программы\Internet Explorer.lnk [C:\iexplore.bat "http://rusonicweb.ru"  - (Объект запуска не найден)]
      C:\Documents and Settings\User\Главное меню\Программы\Стандартные\Служебные\Internet Explorer (без надстроек).lnk [C:\iexplore.bat "http://rusonicweb.ru"  - (Объект запуска не найден)]
      C:\Documents and Settings\All Users\Главное меню\Программы\Mozilla Firefox.lnk [C:\firefox.bat "http://rusonicweb.ru"  - (Объект запуска не найден)]
      C:\Documents and Settings\All Users\Главное меню\Программы\Яндекс\Яндекс.Бар\Онлайн помощь по Яндекс.Бару для Internet Explorer.lnk [C:\Documents and Settings\All Users\Application Data\help.bat "http://rusonicweb.ru" ]
    3. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro. (Лог в формате FixerBro_yyyymmdd.txt).
    4. По окончанию удаления нажмите на кнопку "Отчет"
    5. Сохраните лог утилиты
    6. Прикрепите сохраненный отчет в вашей теме.


    В браузерах удалите расширения

    Cinema-Plus-1.2V24.09 - (C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Ext ensions\0b105cbff1eb40b89bca7dae371d@7ead239035fb4 613ab38ef.com) (24.09.2014)
    Переводчик для FireFox - (C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Ext ensions\info4@etranslator.pro) (26.09.2014)
    Site Navigation - (C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Ext ensions\{e4a8a97b-f2ed-450b-b12d-ee082ba24782}.xpi) (23.09.2014)
    Переводчик для Chrome 2 - (C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\cpngackimfmofbokmjmljamhdn cknpmg) (26.09.2014)
    Site navigation - (C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\gpfbncnkoeocopnpcacbbkdljd fhekcl) (23.09.2014)
    Cinema-Plus-1.2V24.09 - (C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\mnanplinmmnjhobaliikmelmmj poogkb) (24.09.2014)
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  8. #7
    Junior Member Репутация
    Регистрация
    08.10.2014
    Сообщений
    5
    Вес репутации
    8
    Отчет AdwCleaner

    - - - - -Добавлено - - - - -

    Отчет FixerDro
    Вложения Вложения

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,239
    Вес репутации
    1022
    1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
    2. Распакуйте архив с утилитой в отдельную папку
    3. Запустите sitlog.exe
      Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
    4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
    5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
    6. Прикрепите эти отчеты в вашей теме.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  10. #9
    Junior Member Репутация
    Регистрация
    08.10.2014
    Сообщений
    5
    Вес репутации
    8
    Отчеты SITLog
    Вложения Вложения

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,239
    Вес репутации
    1022
    Удалите эти папки вручную:

    01.10.2014 06:27:29 ----HD---- C:\Documents and Settings\User\Application Data\Mail.RU NewGamesT - папка скрытая
    01.10.2014 06:27:07 ----D---- C:\Documents and Settings\User\Application Data\Microsoft DB
    29.09.2014 21:38:53 ----D---- C:\Documents and Settings\User\Application Data\GemWare
    29.09.2014 21:38:10 ----D---- C:\Documents and Settings\User\Application Data\ICL
    24.09.2014 20:30:33 ----D---- C:\Program Files\Cinema-Plus-1.2V24.09
    16.09.2014 12:50:12 ----D---- C:\Documents and Settings\User\Application Data\0J1F2U1Q1F2W1G1I1F1T1Q
    C:\Program Files\Tor Browser\Start Tor Browser.exe.bat - файл
    Пересоздайте ярлык:

    C:\Documents and Settings\User\Рабочий стол\Start Tor Browser.lnk
    Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  12. #11
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,531
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 24
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Aleksandr1958, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Зашифровались файлы doc, xls, pdf, jpg. Вирус из письма "от прокуратуры"
      От Константин Моисеев в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 13.10.2014, 00:58
    2. Ответов: 5
      Последнее сообщение: 11.08.2014, 01:31
    3. Ответов: 13
      Последнее сообщение: 05.05.2014, 13:27
    4. Ответов: 2
      Последнее сообщение: 04.04.2013, 17:00
    5. Ответов: 1
      Последнее сообщение: 11.01.2013, 00:14

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00615 seconds with 22 queries