Все файлы зашифровались под ".AES258"

[Aleksandr1958]

Здравствуйте!
Пожалуйста, помогите расшифровать файлы (все изображения, документы, видео,..- получили расширение: AES256). На рабочем столе появился ярлык "Онлайн-консультант", а в каждой папке с зашифрованными файлами - "txt" ("Внимание!Откройте меня" и ... "Здравствуйте, все ваши файлы повреждены,..и т.д.)
Также, в браузере, при открытии страниц, в поиске (а также при любом щелчке мышкой ) - сами по себе открываются не вызываемые вкладки и страницы...

[Info_bot]

Уважаемый(ая) Aleksandr1958, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Aleksandr1958]

Извините, исправляю вложения...

[mike 1]

Здравствуйте! Деинсталлируйте AceStream

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFileF('%USERPROFILE%\appdata\roaming\mail.ru newgamest', '*', true, ' ', 0, 0);
 QuarantineFileF('%USERPROFILE%\AppData\Roaming\runWIN', '*', true, ' ', 0, 0);
 QuarantineFileF('%USERPROFILE%\AppData\Roaming\ICL', '*', true, ' ', 0, 0);
 QuarantineFileF('%USERPROFILE%\AppData\Roaming\GemWare', '*', true, ' ', 0, 0);
 QuarantineFileF('%USERPROFILE%\AppData\Roaming\Microsoft DB', '*', true, ' ', 0, 0);
 QuarantineFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Главное меню\Программы\Автозагрузка\runWIN.exe','');
 DeleteFile('%USERPROFILE%\AppData\Roaming\runWIN\Update.exe','32');
 DeleteFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Главное меню\Программы\Автозагрузка\runWIN.exe','32');
 DeleteFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');     
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');   
 DeleteFileMask('%USERPROFILE%\appdata\roaming\mail.ru newgamest', '*', true, ' ');
 DeleteFileMask('%USERPROFILE%\AppData\Roaming\runWIN', '*', true, ' ');
 DeleteFileMask('%USERPROFILE%\AppData\Roaming\ICL', '*', true, ' ');
 DeleteFileMask('%USERPROFILE%\AppData\Roaming\GemWare', '*', true, ' ');
 DeleteFileMask('%USERPROFILE%\AppData\Roaming\Microsoft DB', '*', true, ' ');
 DeleteDirectory('%USERPROFILE%\appdata\roaming\mail.ru newgamest');     
 DeleteDirectory('%USERPROFILE%\AppData\Roaming\runWIN');     
 DeleteDirectory('%USERPROFILE%\AppData\Roaming\ICL');     
 DeleteDirectory('%USERPROFILE%\AppData\Roaming\GemWare');     
 DeleteDirectory('%USERPROFILE%\AppData\Roaming\Microsoft DB');
 QuarantineFile('C:\Program Files\suptab\search~2.dll','');
 QuarantineFile('C:\Program Files\suptab\search~1.dll','');
 QuarantineFile('C:\Program Files\suptab\dpinterface32.dll','');
 QuarantineFile('C:\iexplore.bat','');
 QuarantineFile('C:\firefox.bat','');
 QuarantineFile('C:\WINDOWS\TEMP\0.del','');
 DeleteService('{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gt');
 QuarantineFile('C:\WINDOWS\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gt.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gt.sys','32');
 DeleteFile('C:\WINDOWS\TEMP\0.del','32');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','Del21338781');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','Del21338781');
 DeleteFile('C:\firefox.bat','32');
 DeleteFile('C:\iexplore.bat','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x64');
 DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
 DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-1.job','32');
 DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-11.job','32');
 DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-2.job','32');
 DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-3.job','32');
 DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-4.job','32');
 DeleteFile('C:\WINDOWS\Tasks\b58a67b2-d9a6-42c6-9c58-92e81aba1e55-5.job','32');
 DeleteFile('C:\WINDOWS\Tasks\e55bcd2c-9acc-4147-9d4a-eadb54092cec.job','32');
 DeleteFile('C:\WINDOWS\Tasks\fa8e201a-c61b-40f8-a547-a063224d442e.job','32');
 DeleteFile('C:\Program Files\suptab\dpinterface32.dll','32');
 DeleteFile('C:\Program Files\suptab\search~1.dll','32');
 DeleteFile('C:\Program Files\suptab\search~2.dll','32');        
BC_ImportAll;
ExecuteSysClean;               
BC_Activate;
ExecuteRepair(9);   
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=496c95859e019c530a28e241affab5ea&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=496c95859e019c530a28e241affab5ea&text={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1410860922&from=cor&uid=ST9250315AS_5VC302NDXXXX5VC302ND
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O4 - HKCU\..\Run: [AceStream] C:\Documents and Settings\User\Application Data\ACEStream\engine\ace_engine.exe

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

1. Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите FixerBro
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. В главном окне программы нажмите на кнопку "Проверить"
5. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)
6. По окончанию сканирования нажмите на кнопку "Отчет".
7. Сохраните лог утилиты
8. Прикрепите сохраненный отчет в вашей теме.

[Aleksandr1958]

Повторные логи

- - - - -Добавлено - - - - -

Отчет сканирования:

- - - - -Добавлено - - - - -

Отчет FixerBro

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

1. Запустите повторно FixerBro by glax24.
   Обратите внимание, что утилиты необходимо запускать через правую кн. мыши от имени администратора, на Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
2. Нажмите на кнопку "Проверить", а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку Исправить. Дождитесь окончания удаления.
   
   

   C:\Documents and Settings\User\Главное меню\Программы\Internet Explorer.lnk [C:\iexplore.bat "http://rusonicweb.ru"  - (Объект запуска не найден)]
   C:\Documents and Settings\User\Главное меню\Программы\Стандартные\Служебные\Internet Explorer (без надстроек).lnk [C:\iexplore.bat "http://rusonicweb.ru"  - (Объект запуска не найден)]
   C:\Documents and Settings\All Users\Главное меню\Программы\Mozilla Firefox.lnk [C:\firefox.bat "http://rusonicweb.ru"  - (Объект запуска не найден)]
   C:\Documents and Settings\All Users\Главное меню\Программы\Яндекс\Яндекс.Бар\Онлайн помощь по Яндекс.Бару для Internet Explorer.lnk [C:\Documents and Settings\All Users\Application Data\help.bat "http://rusonicweb.ru" ]

3. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro. (Лог в формате FixerBro_yyyymmdd.txt).
4. По окончанию удаления нажмите на кнопку "Отчет"
5. Сохраните лог утилиты
6. Прикрепите сохраненный отчет в вашей теме.

В браузерах удалите расширения

Cinema-Plus-1.2V24.09 - (C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Ext ensions\0b105cbff1eb40b89bca7dae371d@7ead239035fb4 613ab38ef.com) (24.09.2014)
Переводчик для FireFox - (C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Ext ensions\[email protected]) (26.09.2014)
Site Navigation - (C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Ext ensions\{e4a8a97b-f2ed-450b-b12d-ee082ba24782}.xpi) (23.09.2014)
Переводчик для Chrome 2 - (C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\cpngackimfmofbokmjmljamhdn cknpmg) (26.09.2014)
Site navigation - (C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\gpfbncnkoeocopnpcacbbkdljd fhekcl) (23.09.2014)
Cinema-Plus-1.2V24.09 - (C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\mnanplinmmnjhobaliikmelmmj poogkb) (24.09.2014)

[Aleksandr1958]

Отчет AdwCleaner

- - - - -Добавлено - - - - -

Отчет FixerDro

[mike 1]

1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите sitlog.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
6. Прикрепите эти отчеты в вашей теме.

[Aleksandr1958]

Отчеты SITLog

[mike 1]

Удалите эти папки вручную:

01.10.2014 06:27:29 ----HD---- C:\Documents and Settings\User\Application Data\Mail.RU NewGamesT - папка скрытая
01.10.2014 06:27:07 ----D---- C:\Documents and Settings\User\Application Data\Microsoft DB
29.09.2014 21:38:53 ----D---- C:\Documents and Settings\User\Application Data\GemWare
29.09.2014 21:38:10 ----D---- C:\Documents and Settings\User\Application Data\ICL
24.09.2014 20:30:33 ----D---- C:\Program Files\Cinema-Plus-1.2V24.09
16.09.2014 12:50:12 ----D---- C:\Documents and Settings\User\Application Data\0J1F2U1Q1F2W1G1I1F1T1Q
C:\Program Files\Tor Browser\Start Tor Browser.exe.bat - файл

Пересоздайте ярлык:

C:\Documents and Settings\User\Рабочий стол\Start Tor Browser.lnk

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 24
• В ходе лечения вредоносные программы в карантинах не обнаружены