Зашифрованы файлы

[Abramov]

День добрый!
Нужна помощь.


Вирус зашифровал файлы, плюс переименовал - добавил расширение .hjghzef и joihzef
3 файла выслал

С уважением, Абрамов

[Info_bot]

Уважаемый(ая) Abramov, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Abramov]

Уважаемый(ая) Abramov, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

Все сделал и выслал три файла

[mike 1]

Все сделал и выслал три файла

Логи прикрепляют в теме, а не засоряют систему карантинов ненужными файлами.

[Abramov]

Логи прикрепляют в теме, а не засоряют систему карантинов ненужными файлами.

Не получается создать карантин - пишет ошибка

- - - - -Добавлено - - - - -

Логи прикрепляют в теме, а не засоряют систему карантинов ненужными файлами.

Прикрепляю

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Users\User\AppData\Local\Temp\nceuohj.exe','');
 QuarantineFile('C:\Users\User\AppData\Roaming\INOFVH.exe','');
 DeleteFile('C:\Users\User\AppData\Roaming\INOFVH.exe','32');
 DeleteFile('C:\Windows\Tasks\INOFVH.job','32');
 DeleteFile('C:\Windows\system32\Tasks\INOFVH','32');
 DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32');
 DeleteFile('C:\Users\User\AppData\Local\Temp\nceuohj.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\oyfcbuc','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Abramov]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Users\User\AppData\Local\Temp\nceuohj.exe','');
 QuarantineFile('C:\Users\User\AppData\Roaming\INOFVH.exe','');
 DeleteFile('C:\Users\User\AppData\Roaming\INOFVH.exe','32');
 DeleteFile('C:\Windows\Tasks\INOFVH.job','32');
 DeleteFile('C:\Windows\system32\Tasks\INOFVH','32');
 DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32');
 DeleteFile('C:\Users\User\AppData\Local\Temp\nceuohj.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\oyfcbuc','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Высылаю

[mike 1]

Мда, с чтением явно какие-то проблемы. Еще раз прочитайте 6 сообщение внимательно и самое главное вдумчиво. Кто просил отчеты в карантин добавлять?

[Abramov]

Мда, с чтением явно какие-то проблемы. Еще раз прочитайте 6 сообщение внимательно и самое главное вдумчиво. Кто просил отчеты в карантин добавлять?

Прочитал. Подумал.
Что надо переделать?

[mike 1]

Вам написали что нужно сделать. Извините, но я не знаю как объяснить человеку, который не хочет читать то что ему написали сделать в 6 сообщении.

[Abramov]

Вам написали что нужно сделать. Извините, но я не знаю как объяснить человеку, который не хочет читать то что ему написали сделать в 6 сообщении.

вроде так.

- - - - -Добавлено - - - - -

Вам написали что нужно сделать. Извините, но я не знаю как объяснить человеку, который не хочет читать то что ему написали сделать в 6 сообщении.

Извиняюсь. Не то вложил

[mike 1]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Abramov]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

Высылаю.

[mike 1]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - http://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - http://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - http://clients2.google.com/service/update2/crx
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Abramov]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - http://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - http://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - http://clients2.google.com/service/update2/crx
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

Высылаю

[mike 1]

С расшифровкой не поможем. Файлы зашифрованы CTB-Locker'om, который невозможно расшифровать без помощи злодеев.

http://blog.kaspersky.ru/new-version-ctb-locker/6792/
http://news.drweb.ru/show/?c=5&i=9245&lng=ru

[Abramov]

С расшифровкой не поможем. Файлы зашифрованы CTB-Locker'om, который невозможно расшифровать без помощи злодеев.

http://blog.kaspersky.ru/new-version-ctb-locker/6792/
http://news.drweb.ru/show/?c=5&i=9245&lng=ru

Спасибо.
Ладно. С этим ясно.
А что теперь?
Проявится ли он далее?
Пока после переустановки системы работаем, сохраняем, копируем на внешние носители, и пока проблем нет.
Чего боятся и опасаться?

[mike 1]

Активного шифратора не было. Судя по расширению шифратор умудрились запустить 2 раза.

Проявится ли он далее?

Этот компьютер чистый.

Чего боятся и опасаться?

Боятся нужно чтобы кто из персонала второй раз не наступил на одни и те же грабли, поэтому в идеале конечно нужно обучить персонал хотя бы азам компьютерной грамотности. А администратору локальной сети стоит задуматься над следующим:

1. Почаще делать бекапы
2. Настроить политики должным образом, чтобы пользователи не могли запускать потенциально опасные типы файлов.

[Abramov]

Сегодня получил "китайское" предупреждение.
Что предпринять? Думаю - ничего не надо делать. Правильно?

Hi Oleg,
I have sent you a few emails to try to make you aware that your files are not currently being backed up.
This is your last chance to activate MyPC Backup and start protecting your files otherwise we will delete your files you backed up tonight at Midnight.
I’m sorry I couldn’t persuade you that backing up is now part of our digital life we now live in and it's an insurance we now need to stop us from losing all our irreplaceable files, photo's and documents.
As a last ditch attempt to get you to automate your computer backup’s here is a 70% Discount.
Protect your files today with a 70% discount: secure.mypcbackup.com/?scoup=70
You have until midnight tonight otherwise we will have to delete the files you backed up with us and you won’t be able to restore these files if you have a computer crash and lose them
Unfortunately though Oleg, there are still some files on your computer which we did not manage to backup as you need to add more storage space.
Again my apologies Oleg
Best Regards,
Gabriel
Account Manager
MyPC Backup
This email was sent from MyPC Backup, Unit 6, Fulcrum 2, Solent Way, Whiteley, PO15 7FN
Unsubscribe: [mypcbackup.com/unsubscribe?email=abramovv%40svitonline.com

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены