шифровальщик better_call_saul [Trojan.Win32.Yakes.pbaj ]

**OldGraf** · 17.02.2016, 11:41

Добрый день. Произошла вот такая ситуация. Сотрудница получила письмо, запустила с него файлик и все файлы стали с расширением *.better_call_saul.

Пример названия -
2k7lED5eYdHCdCCXVgsQN4za+xRSNI5zYV8q3+qgp6gmTseoRe tAYNZ94TbV0ypXhgbPejcQeX+kgkugJXkVadgMogf58LvpwtAd-3jBHutGOxnBeaOxx0C-eYDTJz1S.A0289EE1747F6A4B6B29.better_call_saul
2M0eohm1EcxNzoEiYW3+WDSVLeHJARd+zKxkIfe2tl+Kdzv2sH 5tlKJlCwR4qe0O.A0289EE1747F6A4B6B29.better_call_sa ul

Ну и файл редми по оплате везде где только можно.

Всё вкладываю во вложения и логи с программы FRST.

попытался загрузить через форму файлы virusinfo_syscure.zip и virusinfo_syscheck.zip, но почему-то не даёт загрузить, кидаю в сообщение

О великие и могучие. Помогите. Нужно восстановить важную информацию.

Заранее огромное Вам спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 17.02.2016, 11:42

Уважаемый(ая) OldGraf, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 17.02.2016, 18:24

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe','');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

**OldGraf** · 17.02.2016, 18:56

Результат загрузки
Файл сохранён как 160217_185217_quarantine_56c497316a300.zip
Размер файла 897666
MD5 319e8e449a130749f2a1b2f9e889a067
Файл закачан, спасибо!

**thyrex** · 18.02.2016, 20:12

Делайте новые логи Farbar

**OldGraf** · 19.02.2016, 10:11

Сделал

**thyrex** · 20.02.2016, 12:57

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
FF HKLM\...\Firefox\Extensions: [{BBDA0591-3099-440a-AA10-41764D9DB4DB}] - C:\Documents and Settings\All Users\Application Data\Symantec\Symantec Endpoint Protection\12.1.5337.5000.105\Data\IPSFF => not found
2016-02-16 15:49 - 2016-02-16 15:49 - 03148854 _____ C:\Documents and Settings\chabanyk\Application Data\B3CFBC63B3CFBC63.bmp
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README9.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README8.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README7.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README6.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README5.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README4.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README3.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README2.txt
2016-02-16 15:49 - 2016-02-16 15:49 - 00001332 _____ C:\Documents and Settings\chabanyk\Рабочий стол\README10.txt
2016-02-16 15:21 - 2016-02-17 17:59 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание, что будет выполнена перезагрузка компьютера.

**OldGraf** · 22.02.2016, 10:05

Добавляю

**thyrex** · 23.02.2016, 22:17

С расшифровкой не поможем

**CyberHelper** · 23.02.2016, 22:27

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 3
В ходе лечения обнаружены вредоносные программы:
1. c:\documents and settings\all users\application data\windows\csrss.exe - Trojan.Win32.Yakes.pbaj

шифровальщик better_call_saul [Trojan.Win32.Yakes.pbaj ] (заявка № 197203)

Опции темы