зашифрованы файлы BETTER_CALL_SAUL после открытия архива по email

**Роман Жирненков** · 26.04.2016, 14:16

hijackthis.log virusinfo_syscheck.zip virusinfo_autoquarantine.zip

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 26.04.2016, 14:17

Уважаемый(ая) Роман Жирненков, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 26.04.2016, 22:47

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','');
 DeleteService('iSafeNetFilter');
 DeleteService('iSafeKrnlR3');
 DeleteService('iSafeKrnlKit');
 DeleteService('iSafeKrnlBoot');
 DeleteService('iSafeKrnl');
 DeleteService('iSafeService');
 QuarantineFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe','');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\iSafeKrnlBoot.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\iSafeNetFilter.sys','32');
 DeleteFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Сделайте лог CheckBrowsers' Lnk

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

**Роман Жирненков** · 27.04.2016, 13:31

новые логи
virusinfo_syscheck.zip virusinfo_syscure.zip hijackthis.log

**thyrex** · 27.04.2016, 18:37

Я еще один лог просил дополнительно

**Роман Жирненков** · 28.04.2016, 00:29

дополнительный лог
Check_Browsers_LNK.log

**Роман Жирненков** · 29.04.2016, 14:14

Сообщение от thyrex

Я еще один лог просил дополнительно

вот дополнительный лог и первоначальные
Check_Browsers_LNK.log hijackthis.log virusinfo_syscure.zip virusinfo_syscheck.zip

**thyrex** · 30.04.2016, 07:03

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.

+ Сделайте лог полного сканирования МВАМ

**Роман Жирненков** · 03.05.2016, 17:22

Сообщение от thyrex

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.

+ Сделайте лог полного сканирования МВАМ

Лог полного сканирования в тхт формате весит слишком много и не прикрепляется. что делать??ClearLNK-30.04.2016_09-13.log

**thyrex** · 04.05.2016, 19:02

Сообщение от Роман Жирненков

Лог полного сканирования в тхт формате весит слишком много

Заархивируйте

**Роман Жирненков** · 05.05.2016, 15:43

Сообщение от thyrex

Заархивируйте

За архивировал журнал журнал.zip

**thyrex** · 07.05.2016, 10:12

Удалите в МВАМ все найденное

**Роман Жирненков** · 10.05.2016, 01:14

Сообщение от thyrex

Удалите в МВАМ все найденное

Сделано. Что дальше?

**thyrex** · 10.05.2016, 10:11

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

**Роман Жирненков** · 11.05.2016, 15:08

Сообщение от thyrex

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

логи в архиве CheckBrowsersLNK (1).zip

**thyrex** · 12.05.2016, 21:57

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\ProgramData\Windows
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README9.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README8.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README7.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README6.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README5.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README4.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README3.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README2.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README10.txt
S2 browserServer_2015.11.03.13.04.51; C:\Program Files (x86)\ghokswa Browser\ghokswa\bin\browserServer.exe [X]
S0 1EF66943; system32\drivers\1EF66943.sys [X]
S0 D92FB68B; system32\drivers\D92FB68B.sys [X]
CHR HomePage: Default -> hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z
CHR StartupUrls: Default -> "hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z" 
CHR NewTab: Default -> "chrome-extension://nkcpopggjcjkiicpenikeogioednjeac/layout/newtab.html" 
CHR DefaultSearchURL: Default -> hxxp://www.nicesearches.com/search.php?type=ds&ts=1457377818&from=zzgbkk123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=efbe68bed0eca9a43a6f6dfg5z4w8mbceb3g0zbofz&q={searchTerms}
CHR DefaultSearchKeyword: Default -> nice
BHO-x32: No Name -> {E33CF602-D945-461A-83F0-819F76A199F8} -> No File
Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
BHO-x32: No Name -> {73455575-E40C-433C-9784-C78DC7761455} -> No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {5564CC73-EFA7-4CBF-918A-5CF7FBBFFF4F} -> No File
BHO: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
CHR HKU\S-1-5-21-1362234709-1847172404-1144495601-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM-x32\...\Run: [] => [X]
Task: {BE7E2E97-861E-48C6-AC17-C6A72D7B358A} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {105CAF25-F8FA-4D15-8347-701490DABFF0} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

**Роман Жирненков** · 13.05.2016, 12:43

Сообщение от thyrex

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\ProgramData\Windows
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README9.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README8.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README7.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README6.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README5.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README4.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README3.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README2.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README10.txt
S2 browserServer_2015.11.03.13.04.51; C:\Program Files (x86)\ghokswa Browser\ghokswa\bin\browserServer.exe [X]
S0 1EF66943; system32\drivers\1EF66943.sys [X]
S0 D92FB68B; system32\drivers\D92FB68B.sys [X]
CHR HomePage: Default -> hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z
CHR StartupUrls: Default -> "hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z" 
CHR NewTab: Default -> "chrome-extension://nkcpopggjcjkiicpenikeogioednjeac/layout/newtab.html" 
CHR DefaultSearchURL: Default -> hxxp://www.nicesearches.com/search.php?type=ds&ts=1457377818&from=zzgbkk123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=efbe68bed0eca9a43a6f6dfg5z4w8mbceb3g0zbofz&q={searchTerms}
CHR DefaultSearchKeyword: Default -> nice
BHO-x32: No Name -> {E33CF602-D945-461A-83F0-819F76A199F8} -> No File
Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
BHO-x32: No Name -> {73455575-E40C-433C-9784-C78DC7761455} -> No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {5564CC73-EFA7-4CBF-918A-5CF7FBBFFF4F} -> No File
BHO: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
CHR HKU\S-1-5-21-1362234709-1847172404-1144495601-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM-x32\...\Run: [] => [X]
Task: {BE7E2E97-861E-48C6-AC17-C6A72D7B358A} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {105CAF25-F8FA-4D15-8347-701490DABFF0} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

лог Fixlog.txt

**thyrex** · 13.05.2016, 22:11

С расшифровкой не поможем

зашифрованы файлы BETTER_CALL_SAUL после открытия архива по email (заявка № 199953)

Опции темы