Зашифрованы документы и фото

**kolpak59** · 27.12.2014, 19:07

К файлам .docx и .jpg, добавилось расширение - .dkgjmjj. файлы не открываются, при загрузке появляется окно, на английском языке, что-то где-то нужно заплатить, чтобы получить ключ. Перевести дословно не могу, но по смыслу как-то так. Пытался зайти в "помогите+", но почему-то карта оплаты, не привязывается к счёту в PayPal. Пишет что истёк срок действия, хотя срок до 01.2015-го.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 27.12.2014, 19:08

Уважаемый(ая) kolpak59, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**kolpak59** · 27.12.2014, 21:31

Загрузил логи

- - - - -Добавлено - - - - -

После выполнения всех процедур, перезагрузил компьютер, и антивирусник Microsoft Securiti Essentials обнаружил ещё вот это - Ransom:Win32/Critroni. Поместил в карантин.

**thyrex** · 27.12.2014, 22:24

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Евгений\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\M2PLZBEK\262[1].exe','');
DeleteFile('C:\Users\Евгений\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\M2PLZBEK\262[1].exe','32');
 QuarantineFile('C:\Windows\system32\appidcertstorecheck.exe','');
 QuarantineFile('C:\Windows\system32\appidpolicyconverter.exe','');
 QuarantineFile('C:\Program Files\Microsoft Data\InstallAddons.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\XTB.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\WGHBKUT.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\VFDOKU.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\BDDTCLW.exe','');
 QuarantineFile('G:\ПРОГРАММЫ\safesurf.exe','');
 QuarantineFile('C:\WebCash\WebCash.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\eTranslator\eTranslator.exe','');
 QuarantineFile('C:\Users\B7E3~1\AppData\Local\Temp\lLJzuLGqF_ZINl.exe','');
 QuarantineFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','');
 QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
 QuarantineFile('C:\ProgramData\IePluginServices\PluginService.exe','');
 DeleteService('IePluginServices');
 DeleteFile('C:\ProgramData\IePluginServices\PluginService.exe','32');
 DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
 DeleteFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command');
 DeleteFile('C:\Users\B7E3~1\AppData\Local\Temp\lLJzuLGqF_ZINl.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\zJlkQYnSGVaWTlmMkfiRPUIciG','command');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\eTranslator\eTranslator.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eTranslator Update','command');
 DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\BDDTCLW.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\VFDOKU.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\WGHBKUT.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\XTB.exe','32');
 DeleteFile('C:\Program Files\Microsoft Data\InstallAddons.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\DoctorPC_Start','32');
 DeleteFile('C:\Windows\system32\Tasks\DoctorPC_Popup','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
 DeleteFile('C:\Windows\Tasks\XTB.job','32');
 DeleteFile('C:\Windows\Tasks\WGHBKUT.job','32');
 DeleteFile('C:\Windows\Tasks\VFDOKU.job','32');
 DeleteFile('C:\Windows\Tasks\update-sys.job','32');
 DeleteFile('C:\Windows\Tasks\BDDTCLW.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

**kolpak59** · 27.12.2014, 23:12

Сообщение от thyrex

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Евгений\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\M2PLZBEK\262[1].exe','');
DeleteFile('C:\Users\Евгений\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\M2PLZBEK\262[1].exe','32');
 QuarantineFile('C:\Windows\system32\appidcertstorecheck.exe','');
 QuarantineFile('C:\Windows\system32\appidpolicyconverter.exe','');
 QuarantineFile('C:\Program Files\Microsoft Data\InstallAddons.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\XTB.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\WGHBKUT.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\VFDOKU.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\BDDTCLW.exe','');
 QuarantineFile('G:\ПРОГРАММЫ\safesurf.exe','');
 QuarantineFile('C:\WebCash\WebCash.exe','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\eTranslator\eTranslator.exe','');
 QuarantineFile('C:\Users\B7E3~1\AppData\Local\Temp\lLJzuLGqF_ZINl.exe','');
 QuarantineFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','');
 QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
 QuarantineFile('C:\ProgramData\IePluginServices\PluginService.exe','');
 DeleteService('IePluginServices');
 DeleteFile('C:\ProgramData\IePluginServices\PluginService.exe','32');
 DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
 DeleteFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command');
 DeleteFile('C:\Users\B7E3~1\AppData\Local\Temp\lLJzuLGqF_ZINl.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\zJlkQYnSGVaWTlmMkfiRPUIciG','command');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\eTranslator\eTranslator.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eTranslator Update','command');
 DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\BDDTCLW.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\VFDOKU.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\WGHBKUT.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\XTB.exe','32');
 DeleteFile('C:\Program Files\Microsoft Data\InstallAddons.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\DoctorPC_Start','32');
 DeleteFile('C:\Windows\system32\Tasks\DoctorPC_Popup','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
 DeleteFile('C:\Windows\Tasks\XTB.job','32');
 DeleteFile('C:\Windows\Tasks\WGHBKUT.job','32');
 DeleteFile('C:\Windows\Tasks\VFDOKU.job','32');
 DeleteFile('C:\Windows\Tasks\update-sys.job','32');
 DeleteFile('C:\Windows\Tasks\BDDTCLW.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

Программы я скачал, запущу. А как выполнять скрипт, не знаю. Я впервые использую AVZ.

**thyrex** · 27.12.2014, 23:15

http://virusinfo.info/showthread.php?t=7239

**kolpak59** · 28.12.2014, 01:59

Спасибо! Понял!

- - - - -Добавлено - - - - -

Логи сделал, но RSIT, выдал только log.text, info нету, и в корне С: тоже нет.Выкладываю то, что получилось.

**mike 1** · 28.12.2014, 02:05

Карантина вашего не вижу. Вы его загружали?

Еще просили сделать новые логи AVZ.

**kolpak59** · 28.12.2014, 09:45

карантин загружаю, но выходит сообщение что оно УЖЕ загружен.Попробую повторить ещё раз.

- - - - -Добавлено - - - - -

вот от 28.12.2014. в 9:42

**thyrex** · 28.12.2014, 11:32

Пофиксите в HiJack

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=35565a9fd13a05999c1a975ccb7e312c&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=35565a9fd13a05999c1a975ccb7e312c&text={searchTerms}

Пробуйте такую версию МВАМ http://virusinfo.info/soft/mbam-setup-1.75.0.1300.exe

**kolpak59** · 28.12.2014, 11:50

А тот МВАМ, что у меня стоит - удалять?

- - - - -Добавлено - - - - -

Продолжу вечером, так как сейчас нужно срочно отлучиться!

**thyrex** · 28.12.2014, 11:51

Сообщение от kolpak59

А тот МВАМ, что у меня стоит - удалять?

Да, удалите

**kolpak59** · 28.12.2014, 18:49

Сообщение от thyrex

Да, удалите

Удалил, установил скачанный, но после обновления установилась версия, которая у меня и стояла, правда на английском языке. А теперь на русском - http://prntscr.com/5luj3z

**mike 1** · 28.12.2014, 19:05

Во время обновления можно отказаться от загрузки и установки новой версии MBAM.

**kolpak59** · 28.12.2014, 19:11

HiJack - запускать до, или после МВАМ? МВАМ я уже обновил и запустил, закончит повторю снова. Удалю и переустановлю. А вообще, извините за бестолковость, могли бы вы, начиная с данного момента, написать пошагово - ЧТО я должен сделать.И как можно подробней, я пользуюсь этим сервисом впервые, и многого ещё не допонимаю, ЧТО и КАК делать. Поэтому только отнимаю время.

**thyrex** · 28.12.2014, 19:18

Фикс в HiJack можно было выполнить до начала сканирования МВАМ.

Вообще инструкции следует выполнять в том порядке, в котором они выданы

**kolpak59** · 28.12.2014, 19:22

В ходе сканирования МВАМ показывает уже 15 угроз, и антивирусник обнаружил одну - Worm:Win32/Kasidet.B

- - - - -Добавлено - - - - -

Хорошо. Я останавливаю процесс, удаляю МВАМ и начинаю повтор.

- - - - -Добавлено - - - - -

Ещё вопрос: - Нужно ли отключить антивирь?

**thyrex** · 28.12.2014, 19:23

Не нужно ничего останавливать! Пофиксите после

**kolpak59** · 28.12.2014, 21:02

Сделал всё заново. запустил - HiJack, , профиксил, сохранил лог. Запупустил МВАМ версии - 1.75.0.1300.exe,(не обновлял) просканировал, сохранил лог.Отправляю.

- - - - -Добавлено - - - - -

Я вижу везде упоминается браузер IE, но я им не пользуюсь. У меня хром, а "бяка" случилась после установки "мозилы" и "оперы", для работы с автокликерами.

**thyrex** · 28.12.2014, 21:12

C:\Users\Евгений\AppData\Local\Microsoft\Windows\T emporary Internet Files\Content.IE5\QK3U0R9Q\27[1].exe
C:\Users\Евгений\AppData\Local\Temp\114504.exe

запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Удалите в МВАМ только указанные ниже записи

Код:

Обнаруженные ключи в реестре:  1
HKLM\SOFTWARE\JetSwap (Adware.JetSwap) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  1
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры: 쉤즚>剽뻅婖덂霕Ộ�맒柎�⇤䑳ګⰬ�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃艫솷圇^䲏丟꽂䃴丷Ẑ‵䌴惽뭏㛮�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃禘⌺堾ᬻ㽪岈酻�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃�ⷀ࡙捃谖龭ೀ -> Действие не было предпринято.

Обнаруженные файлы:  12
C:\Users\Евгений\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\QK3U0R9Q\27[1].exe (Trojan.Agent.GNI) -> Действие не было предпринято.
C:\Users\Евгений\AppData\Local\Temp\114504.exe (Trojan.Agent.GNI) -> Действие не было предпринято.
G:\WMmailAutoTask\WMmailAutoTask.exe (Worm.Brontok) -> Действие не было предпринято.
G:\ПРОГРАММЫ\safesurf.exe (Trojan.Downloader) -> Действие не было предпринято.
G:\ПРОГРАММЫ\f\cg.exe (PUP.BitMiner) -> Действие не было предпринято.

Зашифрованы документы и фото (заявка № 173591)

Опции темы

Зашифрованы документы и фото

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Похожие темы

Фото и видео документы зашифрованы AES256

Троян-шифратор, зашифрованы документы и фото-архив, всем файлам присвоил расширение AES256

Зашифрованы все фото и документы PAYCRYPT@GMAIL_COM [not-a-virus:AdWare.Win32.Tirrip.f ]

Зашифрованы все фото и документы

Здравствуйте. Уважаемые! Все фото, документы. Зашифровались( Фото копились всю жизнь( По возможности откликнитесь.

Ваши права в разделе