Вирус зашифровал все файлы [Backdoor.Win32.Androm.gxcf, P2P-Worm.Win32.Palevo.hrlt ]

[art200]

Добрый день!
Вирус зашифровал все файлы.
id-9661064547_btcpay
aol.com
Прошу помощи в расшифровке.

[Info_bot]

Уважаемый(ая) art200, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\CreativeAudio\rjrwzmzis.exe','');
 QuarantineFile('C:\ProgramData\bett2f00\rjrwzmzis.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\downloader.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','');
 QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\ssndii.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\splwow64.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\hh.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\HelpPane.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\ververyunique_dir_name\my_hsvlbynasd.exe','');
 QuarantineFile('C:\Users\Администратор\Documents\CommonData\Winhlp31.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\onvbx\onvbx.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\Ashwhw.exe','');
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\x2ed.exe','');
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\rdpdzohzppl.exe','');
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\KB08108339.exe','');
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\KB04520955.exe','');
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-319234\1aj384x.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-17814835\e8rvrg1.exe','');
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 QuarantineFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','');
 QuarantineFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe','');
 DeleteFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe','32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32');
 DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-17814835\e8rvrg1.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-319234\1aj384x.exe','32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe','32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\KB04520955.exe','32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\KB08108339.exe','32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\rdpdzohzppl.exe','32');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\x2ed.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftDfCnt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftSrCnt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftStCnt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','rdpdzohzppl.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftSfCnt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','KB04520955.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','a1b34j4');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ek8rrgg');
 DeleteFile('C:\Users\Администратор\AppData\Local\ok.bat','32');
 DeleteFile('C:\Users\Администратор\AppData\Local\vk.bat','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\Ashwhw.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\onvbx\onvbx.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Update');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ashwhw');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe','32');
 DeleteFile('C:\Users\Администратор\Documents\CommonData\Winhlp31.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\ververyunique_dir_name\my_hsvlbynasd.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft AMP');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft AMP');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Winhlp31');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ssndii.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','splwow64.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','hh.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','HelpPane.exe');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\HelpPane.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\hh.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\splwow64.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\ssndii.exe','32');
 DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
 DeleteFile('C:\Windows\system32\Tasks\extsetup','64');
 DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','64');
 DeleteFile('C:\Windows\system32\Tasks\appdistrib','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft Downloader','64');
 DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\downloader.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
 DeleteFile('C:\ProgramData\bett2f00\rjrwzmzis.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x04200134','64');
 DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC','64');
 DeleteFile('C:\ProgramData\CreativeAudio\rjrwzmzis.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Сделайте новые логи по правилам

[art200]

Добрый день!
Файл в карантин отправил, новыеи логи сделал
Зловреда еще на компе, так как вчерашние логи уже зашифрованы

[thyrex]

Сделайте лог полного сканирования МВАМ

[art200]

Добрый день!
Сделал проверку, логи прикладываю.

[thyrex]

Удалите в МВАМ все найденное

[art200]

Добрый день!
Все сделано.

- - - - -Добавлено - - - - -

Подскажите как убрать из браузера (IE) рекламу казино вулкан?
И как убрать заставку-сообщение о шифровании файлов, которая появляется каждый раз при загрузке.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[art200]

Добрый день!
Все сделано по инструкции

[thyrex]

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
HKU\S-1-5-21-680076848-2757899757-79060170-500\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2871808 2011-02-25] (Microsoft Corporation) <==== ATTENTION 
FF Plugin: @microsoft.com/GENUINE -> disabled No File
FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll No File
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-04-13]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\baohinapilmkigilbbbcccncoljkdpnd [2015-04-22]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhloflhklmhfpedakmangadcdofhnnoh [2015-03-06]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-12-09]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\fnbdnhhicmebfgdgglcdacdapkcihcoh [2015-01-30]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\gmbgaklkmjakoegficnlkhebmhkjfich [2015-03-26]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\kejbdjndbnbjgmefkgdddjlbokphdefk [2015-03-16]
OPR Extension: (SL for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-05-19]
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README9.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README8.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README7.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README6.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README5.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README4.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README3.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README2.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README10.txt
2015-05-19 13:14 - 2015-05-19 13:14 - 00310662 _____ () C:\Users\Администратор\AppData\Roaming\btcpay.bmp
2015-05-19 13:13 - 2015-05-20 09:02 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2014-12-10 10:13 - 2014-12-10 10:13 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\380A.exe
2014-09-23 12:16 - 2014-09-23 12:16 - 0000395 _____ () C:\Users\Администратор\AppData\Roaming\51D3.exe
2014-11-28 13:29 - 2014-11-28 13:29 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\81BC.exe
2014-11-25 09:39 - 2014-11-25 09:39 - 0000000 _____ () C:\Users\Администратор\AppData\Roaming\B39A.exe
2015-05-19 13:14 - 2015-05-19 13:14 - 0310662 _____ () C:\Users\Администратор\AppData\Roaming\btcpay.bmp
2014-09-23 12:02 - 2014-09-23 12:02 - 0000395 _____ () C:\Users\Администратор\AppData\Roaming\C08A.exe
2014-12-10 10:00 - 2014-12-10 10:00 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\D61A.exe
2014-09-25 10:01 - 2014-09-25 10:01 - 0000285 _____ () C:\Users\Администратор\AppData\Roaming\F2F7.exe
2014-11-26 13:19 - 2014-11-26 13:19 - 0016352 _____ () C:\Users\Администратор\AppData\Roaming\F3C8.exe
2015-05-20 07:52 - 2015-05-20 07:52 - 6220854 _____ () C:\Users\Администратор\AppData\Roaming\FDAC20D5FDAC20D5.bmp
Reboot:

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\programdata\windows\csrss.exe - Backdoor.Win32.Androm.gxcf ( AVAST4: Win32:Malware-gen )
  2. c:\users\администратор\appdata\roaming\microsoft\w indows\start menu\programs\startup\svchost.exe - P2P-Worm.Win32.Palevo.hrlt ( AVAST4: Win32:Trojan-gen )