Помогите с криптором [not-a-virus:WebToolbar.Win32.CrossRider.apnh, not-a-virus:NetTool.Win64.NetFilter.aq ]

**tva94** · 20.01.2016, 20:15

http://virusinfo.info/showthread.php?t=195808

У меня похожая ситуация, только отличаются
ID: ffd4d319
HashID: ed74d5ba1917e058616ad3793ade2f27

компьютер запустил с загрузочного диска, родную винду лечить смысла нету, надо только файлы расшифровать на всех дисках (D и E)
Запускать зараженную систему без крайней нужды не охота, поэтому отчеты от ваших сканеров не приложил

http://rghost.ru/7PSpwjvJd
пример зашифрованных файлов
http://rghost.ru/88thxY5Qw
Ещё пример зашифрованных файлов поменьше размером

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 20.01.2016, 20:16

Уважаемый(ая) tva94, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 21.01.2016, 22:09

http://virusinfo.info/pravila.html

**tva94** · 22.01.2016, 01:19

Сообщение от thyrex

http://virusinfo.info/pravila.html

на компьютере не стартует Windows для анализа системы утилитами из правил (пункт 4), пункт 2 выполнил

- - - - -Добавлено - - - - -

Систему поднял, сканирование выполнил

**thyrex** · 22.01.2016, 21:39

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Sveta\AppData\Roaming\WindowsUpdater\Updater.exe','');
 QuarantineFile('C:\Users\Sveta\AppData\Local\Video Buzz\{4035EEC6-A0D4-62EE-1597-111EAAA62D42}\mmpfg.dll','');
 QuarantineFile('C:\Users\Sveta\AppData\Roaming\MyDesktop\qweeeCL.exe','');
 SetServiceStart('netfilter2', 4);
 DeleteService('netfilter2');
 DeleteService('ApplicationHosting');
 SetServiceStart('ReimageRealTimeProtector', 4);
 DeleteService('ReimageRealTimeProtector');
 QuarantineFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe','');
 QuarantineFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','');
 QuarantineFile('C:\Windows\system32\drivers\netfilter2.sys','');
 QuarantineFile('C:\Users\Sveta\AppData\Local\Video Buzz\{4035EEC6-A0D4-62EE-1597-111EAAA62D42}\VideoBuzz.dll','');
 TerminateProcessByName('c:\users\sveta\appdata\roaming\odnuqnxvqtacmfpq4n\tor\tor.exe');
 DeleteFile('c:\users\sveta\appdata\roaming\odnuqnxvqtacmfpq4n\tor\tor.exe','32');
 DeleteFile('C:\Users\Sveta\AppData\Roaming\OdnUqnxVqtAcmfpq4n\tor\LIBEAY32.dll','32');
 DeleteFile('C:\Users\Sveta\AppData\Roaming\OdnUqnxVqtAcmfpq4n\tor\SSLEAY32.dll','32');
 DeleteFile('C:\Users\Sveta\AppData\Local\Video Buzz\{4035EEC6-A0D4-62EE-1597-111EAAA62D42}\VideoBuzz.dll','32');
 DeleteFile('C:\Windows\system32\drivers\netfilter2.sys','32');
 DeleteFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','32');
 DeleteFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe','32');
 DeleteFile('C:\Users\Sveta\AppData\Roaming\MyDesktop\qweeeCL.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xolufwwxwy');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyDesktop');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','TorProject');
 DeleteFile('C:\Windows\system32\Tasks\Video Buzz2','64');
 DeleteFile('C:\Windows\system32\Tasks\Video Buzz','64');
 DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','64');
 DeleteFile('C:\Windows\system32\Tasks\ReimageUpdater','64');
 DeleteFile('C:\Users\Sveta\AppData\Local\Video Buzz\{4035EEC6-A0D4-62EE-1597-111EAAA62D42}\mmpfg.dll','32');
 DeleteFile('C:\Users\Sveta\AppData\Roaming\WindowsUpdater\Updater.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

**tva94** · 22.01.2016, 22:10

Скрипт выполнил, карантин отправил, логи после выполнения прикладываю

**thyrex** · 22.01.2016, 23:30

Присылайте только те логи, которые Вас просят.

Сделайте лог полного сканирования МВАМ

**tva94** · 23.01.2016, 01:59

Выполнил

**thyrex** · 23.01.2016, 14:59

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
HKU\S-1-5-21-3446137553-53897912-1649891495-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-wdZr_Ge1QNHu9Uln9DoD6yi0NWAbEALEy77GVMljVgj7l-Ld4eMASXzzE3-Ea8adb9YZBjFinxpuqL_3Lcl6hMr1PbgMpepQAU7UGmTdLqoavSj7OneDudbEZIZV5gQLVlUpp1Io-4u0BgO-S29GnyiSRY&q={searchTerms}
HKU\S-1-5-21-3446137553-53897912-1649891495-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-wdZr_Ge1QNHu9Uln9DoD6yi0NWAbEALEy77GVMljVgj7l-Ld4eMASXzzE3-Ea8adqaIbP__J45aBZXUqw_tA1YIUxTOD_7OqHzzD-zopqfoYedKVxqLqbDrogKXOlZ9aRk2C95OW3CjahpkOn7CXI7o3I4
HKU\S-1-5-21-3446137553-53897912-1649891495-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-wdZr_Ge1QNHu9Uln9DoD6yi0NWAbEALEy77GVMljVgj7l-Ld4eMASXzzE3-Ea8adb9YZBjFinxpuqL_3Lcl6hMr1PbgMpepQAU7UGmTdLqoavSj7OneDudbEZIZV5gQLVlUpp1Io-4u0BgO-S29GnyiSRY&q={searchTerms}
HKU\S-1-5-21-3446137553-53897912-1649891495-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-wdZr_Ge1QNHu9Uln9DoD6yi0NWAbEALEy77GVMljVgj7l-Ld4eMASXzzE3-Ea8adb9YZBjFinxpuqL_3Lcl6hMr1PbgMpepQAU7UGmTdLqoavSj7OneDudbEZIZV5gQLVlUpp1Io-4u0BgO-S29GnyiSRY&q={searchTerms}
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-wdZr_Ge1QNHu9Uln9DoD6yi0NWAbEALEy77GVMljVgj7l-Ld4eMASXzzE3-Ea8adb9YZBjFinxpuqL_3Lcl6hMr1PbgMpepQAU7UGmTdLqoavSj7OneDudbEZIZV5gQLVlUpp1Io-4u0BgO-S29GnyiSRY&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3446137553-53897912-1649891495-1000 -> {ielnksrch} URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-wdZr_Ge1QNHu9Uln9DoD6yi0NWAbEALEy77GVMljVgj7l-Ld4eMASXzzE3-Ea8adb9YZBjFinxpuqL_3Lcl6hMr1PbgMpepQAU7UGmTdLqoavSj7OneDudbEZIZV5gQLVlUpp1Io-4u0BgO-S29GnyiSRY&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe hxxp://www.istartpageing.com/?type=sc&ts=1452378659&z=765b1a18700185a7bf35fd2g0z7w5o8ccmbb9qawbt&from=cmi&uid=TOSHIBAXMQ01ABD075_72T4C09DTXX72T4C09DT
CHR StartupUrls: Default -> "hxxp://www.istartpageing.com/?type=hp&ts=1452378659&z=765b1a18700185a7bf35fd2g0z7w5o8ccmbb9qawbt&from=cmi&uid=TOSHIBAXMQ01ABD075_72T4C09DTXX72T4C09DT"
FF HKLM-x32\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
FF Plugin-x32: @meadco.com/neptune plugin,version=2.0.0.29 -> C:\Program Files (x86)\OperaAC\program\plugins\npmeadax.dll [No File]
2016-01-20 15:01 - 2016-01-20 15:01 - 00000000 ____D C:\Users\Все пользователи\Reimage Protector
2016-01-20 15:01 - 2016-01-20 15:01 - 00000000 ____D C:\ProgramData\Reimage Protector
2016-01-20 14:59 - 2016-01-20 17:33 - 00000000 ____D C:\Program Files\Reimage
2016-01-20 14:59 - 2016-01-20 15:02 - 00000140 _____ C:\Windows\Reimage.ini
2016-01-20 14:58 - 2016-01-20 14:59 - 00772016 _____ (Reimage®) C:\Users\Sveta\Downloads\ReimageRepair.exe
2016-01-10 12:47 - 2016-01-16 23:51 - 00000000 ____D C:\Program Files (x86)\gmsd_re_005010202
2016-01-10 12:47 - 2016-01-10 12:52 - 00000000 ____D C:\Users\Sveta\AppData\Local\gmsd_re_005010202
2016-01-10 00:34 - 2016-01-10 12:49 - 00000000 ____D C:\Users\Sveta\AppData\Roaming\systweak
2016-01-10 00:34 - 2016-01-10 00:34 - 00000000 ____D C:\Users\Sveta\AppData\Local\Video Buzz
2016-01-10 00:31 - 2016-01-10 13:19 - 00000000 ____D C:\Program Files (x86)\SFK
2016-01-10 00:31 - 2016-01-10 00:50 - 00000000 ____D C:\Users\Sveta\AppData\Roaming\istartpageing
2016-01-10 00:31 - 2016-01-10 00:31 - 00000000 ____D C:\Users\Все пользователи\Tmp0x0x
2016-01-10 00:31 - 2016-01-10 00:31 - 00000000 ____D C:\ProgramData\Tmp0x0x
2016-01-10 00:22 - 2016-01-20 17:30 - 00000000 ____D C:\Users\Sveta\AppData\Local\84666D03-1452385339-E111-99CC-B888E35DEA9F
2016-01-10 00:21 - 2016-01-16 23:50 - 00000000 ____D C:\Program Files (x86)\84666D03-1452378081-E111-99CC-B888E35DEA9F
2016-01-10 00:21 - 2016-01-10 00:20 - 00001007 _____ C:\Windows\system32\Drivers\etc\hp.bak
2016-01-10 00:19 - 2016-01-18 16:24 - 00000000 ____D C:\Program Files (x86)\TDataDld
2016-01-10 00:19 - 2016-01-10 00:19 - 00000000 ____D C:\Users\Sveta\Tracing
2016-01-10 00:18 - 2016-01-10 00:18 - 00000000 ____D C:\Users\Все пользователи\Medlights
2016-01-10 00:18 - 2016-01-10 00:18 - 00000000 ____D C:\ProgramData\Medlights
2016-01-10 00:17 - 2016-01-10 15:18 - 00000000 ____D C:\Users\Все пользователи\ApplicationHosting
2016-01-10 00:17 - 2016-01-10 15:18 - 00000000 ____D C:\ProgramData\ApplicationHosting
2016-01-10 00:11 - 2016-01-10 00:11 - 00000000 ____D C:\Users\Sveta\AppData\Local\Вoйти в Интeрнет
2016-01-10 00:06 - 2016-01-10 00:06 - 00000000 ____D C:\Program Files (x86)\filter
2016-01-10 00:06 - 2015-09-30 09:38 - 00056296 _____ (Windows (R) Win 7 DDK provider) C:\Windows\system32\Drivers\netfilter2.sys
2016-01-10 00:05 - 2016-01-10 00:15 - 00000000 ____D C:\Users\Sveta\AppData\Roaming\Calculator
2016-01-10 00:03 - 2016-01-10 00:03 - 00000000 ____D C:\Users\Sveta\AppData\Local\Поиcк в Интeрнете
2016-01-10 00:02 - 2016-01-17 00:15 - 00000000 ____D C:\Users\Sveta\AppData\Local\SystemDir
2016-01-09 23:13 - 2016-01-16 21:30 - 00000000 ____D C:\Users\Sveta\AppData\Roaming\WindowsUpdater
2016-01-09 23:13 - 2016-01-10 01:34 - 00000000 ____D C:\Program Files (x86)\Mobogenie3
2016-01-09 23:13 - 2016-01-09 23:48 - 00000000 ____D C:\Users\Sveta\Documents\Mobogenie
2016-01-09 23:12 - 2016-01-10 01:54 - 00000000 ____D C:\Users\Sveta\AppData\Local\Hostinstaller
2016-01-09 23:12 - 2016-01-09 23:12 - 00000000 ____D C:\Users\Sveta\AppData\Roaming\MyDesktop
2016-01-09 23:11 - 2016-01-09 23:11 - 00000000 ____D C:\Users\Все пользователи\triYsil
2016-01-09 23:11 - 2016-01-09 23:11 - 00000000 ____D C:\Users\Все пользователи\AUlrXaz
2016-01-09 23:11 - 2016-01-09 23:11 - 00000000 ____D C:\ProgramData\triYsil
2016-01-09 23:11 - 2016-01-09 23:11 - 00000000 ____D C:\ProgramData\AUlrXaz
C:\Users\Sveta\AppData\Local\Temp\8FnCQYi1ULn2.exe
C:\Users\Sveta\AppData\Local\Temp\AmigoDistrib.exe
C:\Users\Sveta\AppData\Local\Temp\E7A3.tmp.exe
C:\Users\Sveta\AppData\Local\Temp\QQPCMgr_Setup.exe
C:\Users\Sveta\AppData\Local\Temp\ReimagePackage.exe
C:\Users\Sveta\AppData\Local\Temp\w8r3Q2ZmyaMh.exe
C:\Users\Sveta\AppData\Local\Temp\ZXUQcJFD0SkE.exe
Task: {2A322A6B-70E7-44EB-9DE9-B75D75716E39} - \Video Buzz -> No File <==== ATTENTION
Task: {4A7657C4-35A6-4099-8692-5A31CDD7BCB3} - \Video Buzz2 -> No File <==== ATTENTION
Task: {B23CD409-B6E3-4408-AC78-60483A6FF228} - \ReimageUpdater -> No File <==== ATTENTION
Task: {E131C76A-3B74-4F49-8B14-6BD8696B15D6} - \WindowsUpdater -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

**tva94** · 23.01.2016, 15:19

Сделано

**thyrex** · 23.01.2016, 16:40

Внимание! Данный дешифратор предназначен только для пользователя tva94

Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется.

1. Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.
2. Дешифратор

Принцип работы с дешифратором:
1. Сохраните дешифратор в отдельно созданную папку.
2. Сохраните прикрепленное вложение в папку с дешифратором.
3. Распакуйте архив с ключом.
4. Запустите дешифратор и дождитесь окончания его работы.

**tva94** · 24.01.2016, 16:24

Большое спасибо, помогло
Как раз за сутки примерно 100 гигабайт расшифровало. Что удивительно для меня, что почти все время была нагрузка не на процессор, а на диск
Удачи вам и ещё раз спасибо за помощь

**CyberHelper** · 24.01.2016, 16:34

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 5
В ходе лечения обнаружены вредоносные программы:
1. c:\users\sveta\appdata\local\video buzz\{4035eec6-a0d4-62ee-1597-111eaaa62d42}\mmpfg.dll - not-a-virus:WebToolbar.Win32.CrossRider.apnh
2. c:\users\sveta\appdata\local\video buzz\{4035eec6-a0d4-62ee-1597-111eaaa62d42}\videobuzz.dll - not-a-virus:WebToolbar.Win32.CrossRider.apni ( AVAST4: Win32:Dropper-gen [Drp] )
3. c:\windows\system32\drivers\netfilter2.sys - not-a-virus:NetTool.Win64.NetFilter.aq

Помогите с криптором [not-a-virus:WebToolbar.Win32.CrossRider.apnh, not-a-virus:NetTool.Win64.NetFilter.aq ] (заявка № 196030)

Опции темы