Зашифровались все офисные файлы и приняли следующий вид:[email protected]
Помогите пожалуйста! Заранее Спасибо!
virusinfo_syscure.zipvirusinfo_syscheck.ziphijackthis.log
Зашифровались все офисные файлы и приняли следующий вид:[email protected]
Помогите пожалуйста! Заранее Спасибо!
virusinfo_syscure.zipvirusinfo_syscheck.ziphijackthis.log
Уважаемый(ая) Bekish, спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Выполните скрипт в AVZ
Будет выполнена перезагрузка компьютера.Код:begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\SystemDir\nethost.exe',''); QuarantineFile('E:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\Накладные и pdf.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentoolkit.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentool.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentkup.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\Microsoft\Extensions\safebrowser.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\ConvertAd\ConvertAd.exe',''); QuarantineFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk',''); QuarantineFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk',''); DeleteService('bd0002'); SetServiceStart('BDSafeBrowser', 4); DeleteService('BDSafeBrowser'); SetServiceStart('BDMWrench', 4); DeleteService('BDMWrench'); SetServiceStart('BDArKit', 4); DeleteService('BDArKit'); SetServiceStart('bd0004', 4); DeleteService('bd0004'); SetServiceStart('bd0001', 4); DeleteService('bd0001'); DeleteService('servervo'); QuarantineFile('E:\Documents and Settings\Admin\Application Data\VOPackage\VOsrv.exe',''); QuarantineFile('E:\Program Files\ver1BlockAndSurf\Z5QL180.exe',''); DeleteService('BlockAndSurf'); DeleteService('BDSGRTP'); DeleteFile('E:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe','32'); DeleteFile('E:\Program Files\ver1BlockAndSurf\Z5QL180.exe','32'); DeleteFile('E:\Documents and Settings\Admin\Application Data\VOPackage\VOsrv.exe','32'); DeleteFile('E:\WINDOWS\system32\DRIVERS\BDSafeBrowser.sys','32'); DeleteFile('E:\WINDOWS\system32\DRIVERS\BDArKit.sys','32'); DeleteFile('E:\WINDOWS\system32\DRIVERS\bd0004.sys','32'); DeleteFile('E:\WINDOWS\system32\DRIVERS\bd0001.sys','32'); DeleteFile('E:\WINDOWS\system32\DRIVERS\bd0002.sys','32'); DeleteFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk','32'); DeleteFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','32'); DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\ConvertAd\ConvertAd.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ConvertAd','command'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater','command'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MailRuUpdater'); DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\Microsoft\Extensions\safebrowser.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser'); DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentkup.exe','32'); DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentool.exe','32'); DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentoolkit.exe','32'); DeleteFile('E:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\Накладные и pdf.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentoolkit.exe','command'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentk','command'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentkUpdater','command'); DeleteFile('E:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','KRB Updater Utility'); DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\SystemDir\nethost.exe','32'); DeleteFile('E:\WINDOWS\Tasks\nethost task.job','32'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(false); end.
Выполните скрипт в AVZ
c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.Код:begin CreateQurantineArchive('c:\quarantine.zip'); end.
Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Новые логи
Сделайте лог полного сканирования МВАМ
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Лог
Удалите в МВАМ все, кроме
Код:PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|FirewallDisableNotify, 1, Good: (0), Bad: (1),,[a001c3495c2fa591dce858fb58ad0df3] PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UpdatesDisableNotify, 1, Good: (0), Bad: (1),,[c6db7f8dcbc03cfa5b6a5300e91ca15f] PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|AntiVirusDisableNotify, 1, Good: (0), Bad: (1),,[cbd6da328b005dd9695aaba832d355ab] RiskWare.Tool.CK, D:\Disk_D\ВСЕ\Best Soft №7 2008\Архиваторы\WinRAR 3.71 Rus XP, Vista\Crack.exe, , [cbd650bcd8b382b4e53697cbdd23768a], RiskWare.Tool.CK, D:\Disk_D\ВСЕ\Best Soft №7 2008\Графика\CorelDraw X3 SP2 Rus & Eng Xp, Vista\Crack\keygen.exe, , [8f1265a75536c373ac392b3cd43160a0], PUP.Optional.OpenCandy, D:\Disk_D\ВСЕ\Мои документы\Downloads\CheatEngine61.exe, , [a8f97e8e8803ec4ace64274b6d95ed13], RiskWare.RAAmmyy, E:\Documents and Settings\Admin\Мои документы\AA_v3.exe, , [4160ad5f6427072f1b5c814b48b94cb4], Trojan.Dropped, E:\WINDOWS\system32\hidcon.exe, , [c6db3dcfe2a9ca6cace743a25ca59c64],
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Выполнено.
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
- Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Логи FRST
1. Откройте Блокнот и скопируйте в него приведенный ниже текст
2. Нажмите Файл – Сохранить какКод:CreateRestorePoint: CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION CHR HKU\S-1-5-21-1757981266-2025429265-1417001333-500\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION HKU\S-1-5-21-1757981266-2025429265-1417001333-500\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text={searchTerms} HKU\S-1-5-21-1757981266-2025429265-1417001333-500\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text={searchTerms} SearchScopes: HKU\S-1-5-21-1757981266-2025429265-1417001333-500 -> {77F2B683-BFE4-4140-A5D5-3004C16E3A8F} URL = hxxp://inet123.ru/?cx=partner-pub-7107628092852806%3Asxiti5-ktqk&cof=FORID%3A10&ie=utf-8&q={searchTerms}&sa=%CF%EE%E8%F1%EA&siteurl=inet123.ru%2F#881 SearchScopes: HKU\S-1-5-21-1757981266-2025429265-1417001333-500 -> {95F663C0-C370-4955-8B39-63069DB1F6C0} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text={searchTerms} DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text= <==== ATTENTION FF Extension: No Name - E:\Program Files\WebexpEnhancedV1\WebexpEnhancedV1alpha508\ff [not found] FF Extension: No Name - E:\Program Files\VideoPlayerV3\VideoPlayerV3beta460\ff [not found] FF Extension: No Name - E:\Documents and Settings\Admin\Application Data\Mozilla\Firefox\Profiles\nc4jd6n9.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found] R1 BDEnhanceBoost; E:\WINDOWS\system32\drivers\BDEnhanceBoost.sys [61256 2014-10-01] (Baidu) R0 BDMWrench; E:\WINDOWS\System32\DRIVERS\BDMWrench.sys [245576 2014-12-21] (Baidu) S1 bd0001; system32\DRIVERS\bd0001.sys [X] S1 bd0002; system32\DRIVERS\bd0002.sys [X] S1 bd0004; system32\DRIVERS\bd0004.sys [X] E:\Documents and Settings\Admin\Local Settings\Temp\08cq594rqiBn.exe E:\Documents and Settings\Admin\Local Settings\Temp\5nFLIiCjGjhP.exe E:\Documents and Settings\Admin\Local Settings\Temp\F0722_s_30803.exe E:\Documents and Settings\Admin\Local Settings\Temp\G0722_s_70904.exe E:\Documents and Settings\Admin\Local Settings\Temp\hdinst_x64.exe E:\Documents and Settings\Admin\Local Settings\Temp\int_tmp_n.exe E:\Documents and Settings\Admin\Local Settings\Temp\jMjufdDOVKm8.exe E:\Documents and Settings\Admin\Local Settings\Temp\lite_installer.exe E:\Documents and Settings\Admin\Local Settings\Temp\xCggwzaRlnkP.exe E:\Documents and Settings\Admin\Local Settings\Temp\zaaU1.dll E:\Documents and Settings\Admin\Local Settings\Temp\zaaU1.exe E:\Documents and Settings\Admin\Local Settings\Temp\zLwK5fgr4YES.exe Reboot:
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
- Обратите внимание, что компьютер будет перезагружен.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Лог
С расшифровкой не поможем
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Статистика проведенного лечения:
- Получено карантинов: 3
- Обработано файлов: 4
- В ходе лечения вредоносные программы в карантинах не обнаружены
Уважаемый(ая) Bekish, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.