Здравствуйте!!!!
На рабочем столе появилось сообщение "твои файлы зашифрованы,если хочешь все вернуть,отправь 1 зашифрованный файл на эту почту:[email protected]
ВНИМАНИЕ!!!у вас есть 1 неделя что-бы написать мне на почту,по прошествии этого срока расшифровка станет невозможна!!!!
Все файлы .doc .xls .jpg стали недоступны
Помогите пожалуйста!!!! очень нужная инфа.
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) talisman, спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Выполните скрипт в AVZ
Будет выполнена перезагрузка компьютера.Код:begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; QuarantineFile('D:\Documents and Settings\All Users\Application Data\ZuiSyog\pibd6peo.exe',''); QuarantineFile('D:\Documents and Settings\Admin\Local Settings\Application Data\SystemDir\nethost.exe',''); QuarantineFile('D:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет 2inf.net.lnk',''); QuarantineFile('D:\IEXPLORE.bat',''); QuarantineFile('D:\Documents and Settings\Admin\Application Data\Browsers\exe.erolpxei.bat',''); QuarantineFile('D:\Documents and Settings\Admin\Application Data\Browsers\exe.emorhc.bat',''); QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\APPLIC~1\Kometa\kometaup.exe',''); QuarantineFile('D:\Documents and Settings\Admin\Local Settings\Application Data\Kometa\kometaup.exe',''); QuarantineFile('D:\Program Files\explore.exe',''); QuarantineFile('D:\Documents and Settings\Admin\Local Settings\Application Data\gmsd_ru_025010077\upgmsd_ru_025010077.exe',''); DeleteService('TSSK'); DeleteService('QMUdisk'); QuarantineFile('D:\WINDOWS\system32\drivers\ppfd_vt_1_10_0_22.sys',''); QuarantineFile('D:\WINDOWS\system32\drivers\pfnfd_1_10_0_8.sys',''); DeleteService('ppfd_vt_1_10_0_22'); SetServiceStart('pfnfd_1_10_0_8', 4); DeleteService('pfnfd_1_10_0_8'); DeleteService('globalUpdate'); QuarantineFile('D:\Program Files\globalUpdate\Update\globalupdate.exe',''); QuarantineFile('D:\Documents and Settings\Admin\Application Data\1E00FA60-1424208357-3D01-566E-001FC6E9793D\nsh27F.tmp',''); DeleteService('beryluxy'); QuarantineFile('D:\Documents and Settings\Admin\Application Data\1E00FA60-1424208357-3D01-566E-001FC6E9793D\JOSrv.exe',''); DeleteService('serverjo'); QuarantineFile('d:\windows\system32\codecs\updatechecker.exe',''); TerminateProcessByName('d:\documents and settings\admin\application data\newsi_10\s_inst.exe'); QuarantineFile('d:\documents and settings\admin\application data\newsi_10\s_inst.exe',''); TerminateProcessByName('d:\documents and settings\admin\application data\newsi_8\s_inst.exe'); QuarantineFile('d:\documents and settings\admin\application data\newsi_8\s_inst.exe',''); TerminateProcessByName('d:\documents and settings\admin\application data\newsi_2\s_inst.exe'); QuarantineFile('d:\documents and settings\admin\application data\newsi_2\s_inst.exe',''); TerminateProcessByName('d:\documents and settings\admin\application data\newsi_9\s_inst.exe'); QuarantineFile('d:\documents and settings\admin\application data\newsi_9\s_inst.exe',''); TerminateProcessByName('d:\documents and settings\admin\local settings\application data\kometa\kometaup.exe'); QuarantineFile('d:\documents and settings\admin\local settings\application data\kometa\kometaup.exe',''); DeleteFile('d:\documents and settings\admin\local settings\application data\kometa\kometaup.exe','32'); DeleteFile('d:\documents and settings\admin\application data\newsi_9\s_inst.exe','32'); DeleteFile('d:\documents and settings\admin\application data\newsi_2\s_inst.exe','32'); DeleteFile('d:\documents and settings\admin\application data\newsi_8\s_inst.exe','32'); DeleteFile('d:\documents and settings\admin\application data\newsi_10\s_inst.exe','32'); DeleteFile('D:\Documents and Settings\Admin\Application Data\1E00FA60-1424208357-3D01-566E-001FC6E9793D\JOSrv.exe','32'); DeleteFile('D:\Documents and Settings\Admin\Application Data\1E00FA60-1424208357-3D01-566E-001FC6E9793D\nsh27F.tmp','32'); DeleteFile('D:\Program Files\globalUpdate\Update\globalupdate.exe','32'); DeleteFile('D:\WINDOWS\system32\drivers\pfnfd_1_10_0_8.sys','32'); DeleteFile('D:\WINDOWS\system32\drivers\ppfd_vt_1_10_0_22.sys','32'); DeleteFile('D:\Program Files\Tencent\QQPCMgr\10.10.16443.223\QMUdisk.sys','32'); DeleteFile('D:\WINDOWS\system32\tssk.sys','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','frodsfdbfd'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','upgmsd_ru_025010077.exe'); DeleteFile('D:\Documents and Settings\Admin\Local Settings\Application Data\gmsd_ru_025010077\upgmsd_ru_025010077.exe','32'); DeleteFile('D:\Program Files\explore.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','pr'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ap'); DeleteFile('D:\Documents and Settings\Admin\Local Settings\Application Data\Kometa\kometaup.exe','32'); DeleteFile('D:\DOCUME~1\Admin\LOCALS~1\APPLIC~1\Kometa\kometaup.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','kometaupremove'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup'); DeleteFile('D:\Documents and Settings\Admin\Application Data\Browsers\exe.emorhc.bat','32'); DeleteFile('D:\Documents and Settings\Admin\Application Data\Browsers\exe.erolpxei.bat','32'); DeleteFile('D:\IEXPLORE.bat','32'); DeleteFile('D:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет 2inf.net.lnk','32'); DeleteFile('D:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore.job','32'); DeleteFile('D:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job','32'); DeleteFile('D:\WINDOWS\Tasks\nethost task.job','32'); DeleteFile('D:\Documents and Settings\Admin\Local Settings\Application Data\SystemDir\nethost.exe','32'); DeleteFile('D:\WINDOWS\Tasks\newSI_10.job','32'); DeleteFile('D:\WINDOWS\Tasks\newSI_2.job','32'); DeleteFile('D:\WINDOWS\Tasks\newSI_8.job','32'); DeleteFile('D:\WINDOWS\Tasks\newSI_9.job','32'); DeleteFile('D:\Documents and Settings\All Users\Application Data\ZuiSyog\pibd6peo.exe','32'); DeleteFile('D:\WINDOWS\Tasks\Tempo Runner pibd6peo.job','32'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(false); end.
Выполните скрипт в AVZ
c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.Код:begin CreateQurantineArchive('c:\quarantine.zip'); end.
Сделайте лог CheckBrowsers' Lnk
Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Новые логи прикрепил
Сообщение от thyrex
Где этот лог?Сделайте лог CheckBrowsers' Lnk
Инструкции выполняются в том порядке, в котором они вам даны.
А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
Интересный блог Андрея Иванова по шифровальщикам
Антивирус на 30 дней => https://clck.ru/FKsBt
Прикрепил
Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
- Распакуйте архив с утилитой в отдельную папку.
- Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
- Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
- Прикрепите этот отчет к своему следующему сообщению.
Скачайте Farbar Recovery Scan Toolи сохраните на Рабочем столе.
- Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Сделал все по инструкции:
Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
- Распакуйте архив с утилитой в отдельную папку.
- Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
- Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
- Прикрепите этот отчет к своему следующему сообщению.
Скачайте Farbar Recovery Scan Tool
- Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
1. Откройте Блокнот и скопируйте в него приведенный ниже текст
2. Нажмите Файл – Сохранить какКод:CreateRestorePoint: CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION CHR HKU\S-1-5-21-299502267-838170752-682003330-500\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION HKU\S-1-5-21-299502267-838170752-682003330-500\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=7599869210b767b80db4da78160b7ee8&text={searchTerms} HKU\S-1-5-21-299502267-838170752-682003330-500\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=7599869210b767b80db4da78160b7ee8&text={searchTerms} SearchScopes: HKU\S-1-5-21-299502267-838170752-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=7599869210b767b80db4da78160b7ee8&text={searchTerms} SearchScopes: HKU\S-1-5-21-299502267-838170752-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=7599869210b767b80db4da78160b7ee8&text= SearchScopes: HKU\S-1-5-21-299502267-838170752-682003330-500 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms} BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File Toolbar: HKU\S-1-5-21-299502267-838170752-682003330-500 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File FF Plugin: @iqiyi.com/npWebPlayer -> D:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll [No File] FF Plugin: @staging.google.com/globalUpdate Update;version=10 -> D:\Program Files\globalUpdate\Update\1.3.25.0\npglobalupdateUpdate4.dll [No File] FF Plugin: @staging.google.com/globalUpdate Update;version=4 -> D:\Program Files\globalUpdate\Update\1.3.25.0\npglobalupdateUpdate4.dll [No File] FF Plugin HKU\S-1-5-21-299502267-838170752-682003330-500: @iqiyi.com/npWebPlayer -> D:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll No File OPR Extension: (Quick Searcher) - D:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\chlffgpmiacpedhhbkiomidkjlcfhogd [2015-09-01] OPR Extension: (SocialLife for Google Chrome™) - D:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\kejbdjndbnbjgmefkgdddjlbokphdefk [2015-01-21] OPR Extension: (nedjejdfkkjgebciefdfofjhmeogiaga) - D:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\nedjejdfkkjgebciefdfofjhmeogiaga [2015-09-05] 2015-09-06 18:47 - 2015-09-06 19:29 - 00000000 ____D D:\Documents and Settings\Admin\Application Data\Systweak 2015-09-03 22:42 - 2015-09-03 22:48 - 00000000 ____D D:\Documents and Settings\Admin\Application Data\12700 2015-09-03 22:36 - 2015-09-03 22:47 - 00000148 _____ D:\WINDOWS\Reimage.ini 2015-09-03 22:35 - 2015-09-03 22:50 - 00000000 ____D D:\Documents and Settings\All Users\Application Data\ZuiSyog 2015-09-01 20:08 - 2015-09-01 20:08 - 00000769 _____ D:\Documents and Settings\All Users\Рабочий стол\TweakNow RegCleaner.lnk 2015-09-01 20:08 - 2015-09-01 20:08 - 00000000 ____D D:\Program Files\TweakNow RegCleaner 2015-09-01 20:08 - 2015-09-01 20:08 - 00000000 ____D D:\Documents and Settings\All Users\Главное меню\Программы\TweakNow RegCleaner 2015-09-01 20:08 - 2015-09-01 20:08 - 00000000 ____D D:\Documents and Settings\Admin\Application Data\TweakNow RegCleaner 2012 2015-09-01 20:08 - 2015-09-01 20:08 - 00000000 ____D D:\Documents and Settings\Admin\Application Data\TweakNow RegCleaner 2015-09-01 20:07 - 2015-09-01 20:07 - 07222504 _____ (TweakNow.com ) D:\Documents and Settings\Admin\Рабочий стол\RegCleaner731.exe 2015-09-01 19:40 - 2015-09-01 19:40 - 00000000 ____D D:\Documents and Settings\All Users\Главное меню\Программы\application extension 2015-08-31 15:53 - 2015-08-31 15:53 - 0000065 _____ () D:\Program Files\BNNBRETZLP.ZIL 2015-08-31 20:29 - 2015-08-31 20:29 - 0927422 _____ () D:\Program Files\desk.bmp 2015-08-31 20:29 - 2015-08-31 20:29 - 0153239 _____ () D:\Program Files\desk.jpg 2015-08-31 18:42 - 2015-08-31 20:29 - 0000081 _____ () D:\Program Files\DFXSPOKPPF.BRZ 2015-08-31 15:41 - 2015-08-31 15:41 - 0000065 _____ () D:\Program Files\WKDEHYBFAS.EYQ D:\Documents and Settings\Admin\Local Settings\Temp\AmigoDistrib.exe D:\Documents and Settings\Admin\Local Settings\Temp\downloader.exe D:\Documents and Settings\Admin\Local Settings\Temp\enxcript.exe D:\Documents and Settings\Admin\Local Settings\Temp\kometa_vd.exe D:\Documents and Settings\Admin\Local Settings\Temp\mailruhomesearchvbm.exe D:\Documents and Settings\Admin\Local Settings\Temp\MFkQLnhHjjwQ.exe D:\Documents and Settings\Admin\Local Settings\Temp\neDi65ShXSLd.exe D:\Documents and Settings\Admin\Local Settings\Temp\OJcDecQ5PD6H.exe D:\Documents and Settings\Admin\Local Settings\Temp\optprosetup.exe D:\Documents and Settings\Admin\Local Settings\Temp\OT3wJwRhV2E3.exe D:\Documents and Settings\Admin\Local Settings\Temp\PGDGM4vSR0Ir.exe D:\Documents and Settings\Admin\Local Settings\Temp\q4ZvIqV8IvVO.exe D:\Documents and Settings\Admin\Local Settings\Temp\QQPCMgr_Setup.exe D:\Documents and Settings\Admin\Local Settings\Temp\qqpcmgr_v10.10.16443.223_120270_Silence.exe D:\Documents and Settings\Admin\Local Settings\Temp\qqpcmgr_v10.10.16443.223_120271_Silence.exe D:\Documents and Settings\Admin\Local Settings\Temp\r6eyxvsJuQGm.exe D:\Documents and Settings\Admin\Local Settings\Temp\ReimagePackage.exe D:\Documents and Settings\Admin\Local Settings\Temp\ReimageRepair.exe D:\Documents and Settings\Admin\Local Settings\Temp\ReimageRepairTemp.exe D:\Documents and Settings\Admin\Local Settings\Temp\rOYvC8PKyPnp.exe D:\Documents and Settings\Admin\Local Settings\Temp\sender.exe D:\Documents and Settings\Admin\Local Settings\Temp\U6C3aKtFdQWl.exe D:\Documents and Settings\Admin\Local Settings\Temp\ux0MjlhjIgut.exe D:\Documents and Settings\Admin\Local Settings\Temp\VTws5Cu4nuDg.exe D:\Documents and Settings\Admin\Local Settings\Temp\wIhZS1fg2Y3e.exe D:\Documents and Settings\Admin\Local Settings\Temp\xf4q8DEhfd1I.exe D:\Documents and Settings\Admin\Local Settings\Temp\xk2eA4P73OMY.exe D:\Documents and Settings\Admin\Local Settings\Temp\yjJbL5M6tQdJ.exe Reboot:
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
- Обратите внимание, что компьютер будет перезагружен.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Прикрепил:
День добрый!!!!
Есть какие то сподвижки в лечении моей проблемы????
Долго Вас не слышно)))))))
С расшифровкой не поможем.
Инструкции выполняются в том порядке, в котором они вам даны.
А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
Интересный блог Андрея Иванова по шифровальщикам
Антивирус на 30 дней => https://clck.ru/FKsBt
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 57
- В ходе лечения обнаружены вредоносные программы:
- d:\documents and settings\admin\local settings\application data\systemdir\nethost.exe - not-a-virus:Downloader.Win32.Agent.ecrm ( AVAST4: Win32:Malware-gen )
Уважаемый(ая) talisman, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
