Дешифратор [email protected] [not-a-virus:AdWare.Win32.Goopdate.d, not-a-virus:WebToolbar.Win32.CrossRider.amqa ]

[toreo_v]

День добрый,

вчера обнаружил на своем серверном компьютере,
что все файлы эксель и фото переименованы в архивы [email protected].........

для распаковки просит ввести код,
понимаю, что произошло это в следствии атаки вируса,

просьба помочь или перенаправить на уже существующую ветку

Всем премного благодарен!

[Info_bot]

Уважаемый(ая) toreo_v, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

http://virusinfo.info/pravila.html

[thyrex]

Определитесь, где продолжите: здесь или на фан-клубе Лаборатории Касперского

[toreo_v]

Определитесь, где продолжите: здесь или на фан-клубе Лаборатории Касперского

прошу прощения, последняя ссылка правильная http://ifolder.com.ua/fcr9kbqkktc0.html

[thyrex]

Логи прикрепляют к сообщению, а не пихают на обменник с просмотром рекламы

[toreo_v]

Поймал вирус [email protected], переименовало фото и многие файлы,
никакого окна с переводом денег не выскакивает,

логи во вложении,


буду признателен за помощь!

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdateres_en.dll','');
 QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdate.dll','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.exe','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-6.exe','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.exe','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.exe','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-10.exe','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.exe','');
 QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-6.exe','');
 DelBHO('{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}');
 QuarantineFile('C:\Program Files\Torrent Search\IEEF\e7TVy8wJY7.dll','');
 QuarantineFile('C:\iexplore.bat','');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','');
 QuarantineFile('C:\Program Files\Google\chrome.bat','');
 QuarantineFile('C:\Program Files\Security Administrator\newlock.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','hjcflvvtwu');
 DeleteFile('C:\Program Files\Google\chrome.bat','32');
 DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','32');
 DeleteFile('C:\iexplore.bat','32');
 DeleteFile('C:\Program Files\Torrent Search\IEEF\e7TVy8wJY7.dll','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-6.exe','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.exe','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-10.exe','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.exe','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.job','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.job','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-10_user.job','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.job','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-6.job','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-6.job','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-6.exe','32');
 DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.job','32');
 DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdate.dll','32');
 DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdateres_en.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Сделайте лог Check Browsers' LNK

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[toreo_v]

еще раз логи

[thyrex]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.


Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
6. Логи, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[toreo_v]

вот это квест,
надеюсь с радостным исходом!

[thyrex]

C:\Program Files\Security Administrator - содержимое этой папки Вам знакомо?

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-839522115-776561741-725345543-1004\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-839522115-776561741-725345543-1006\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-839522115-776561741-725345543-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
FF Homepage: hxxp://orbevod.ru/?utm_source=startpage03&utm_content=13dd7a8326acd84a9379b6d992b4089c
FF Extension: NetFilterPRO - C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-05-07] [not signed]
FF Extension: TSearch - C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{6E727987-C8EA-44DA-8749-310C0FBE3C3E} [2015-05-07] [not signed]
FF Extension: SuperMegaBest.com - C:\Documents and Settings\User\Application Data\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2015-05-07] [not signed]
CHR HomePage: Default -> hxxp://www.search.ask.com/?gct=hp
CHR DefaultSearchURL: Default -> hxxp://www.search.ask.com/web?q={searchTerms}
CHR DefaultSearchKeyword: Default -> search.ask.com
CHR DefaultSuggestURL: Default -> hxxp://ssmsp.ask.com/query?sstype=prefix&li=ff&q={searchTerms}
CHR Extension: (CinemaPlus_1.3dV06.05) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\lkadffjmnaiokkdncgdlecdegajoiemi [2015-05-07]
CHR Extension: (NetFilterPRO) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-07]
CHR Extension: (No Name) - C:\Documents and Settings\User\Local Settings\Application Data\Video Ball\Component [2015-07-24]
CHR HKLM\...\Chrome\Extension: [aaaaahlfahldnilidgnlikdckbfehhca] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [aonedlchkbicmhepimiahfalheedjgbh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-839522115-776561741-725345543-1004\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (amhhdbdhoghppijbjfdkiaconkmfbbpa) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\amhhdbdhoghppijbjfdkiaconkmfbbpa [2015-05-11]
OPR Extension: (SuperMegaBest.com) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2015-05-07]
OPR Extension: (Универсальный перевод для Chrome) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\faminaibgiklngmfpfbhmokfmnglamcm [2015-05-07]
OPR Extension: (No Name) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\kcfefccmndghghcanogfebekgbajgibi [2015-05-07]
OPR Extension: (NetFilterPRO) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-07]
2016-07-01 10:13 - 2015-05-07 08:32 - 00000000 ____D C:\Program Files\Torrent Search
2015-05-07 17:55 - 2015-05-07 17:55 - 0000042 _____ () C:\Documents and Settings\User\Application Data\628614A6B22121
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[toreo_v]

Доброе утро,

содержимое не совсем знакомо (хотя мог и ставить какую то программулину)
компьютер находится в сети, доступы теоретически ограничены


файл прикрепил

[toreo_v]

Жду с нетерпением!

[thyrex]

С разархивированием помочь не сможем

[toreo_v]

С разархивированием помочь не сможем

все файлы удалить с компьютера, они дальше компы могут заражать?

[thyrex]

Активного вируса в логах нет. Дальше архивироваться ничего не будет.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 37
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.exe - not-a-virus:WebToolbar.Win32.CrossRider.amqa ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.fv1@mCZSZwoO )
  2. c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.exe - not-a-virus:WebToolbar.Win32.CrossRider.amqa ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.qv1@mugD4RoO )
  3. c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.exe - not-a-virus:WebToolbar.Win32.CrossRider.amqa ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.iv1@m4YKIjjO )
  4. c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.exe - not-a-virus:WebToolbar.Win32.CrossRider.amqa ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.fv1@mCZSZwoO )
  5. c:\program files\globalupdate\update\1.3.25.0\goopdate.dll - not-a-virus:AdWare.Win32.Goopdate.c ( DrWEB: Adware.Boxore.20 )
  6. c:\program files\globalupdate\update\1.3.25.0\goopdateres_en. dll - not-a-virus:AdWare.Win32.Goopdate.d ( DrWEB: Adware.Boxore.20, BitDefender: Gen:Variant.Adware.Goopdate.2 )
  7. c:\program files\google\chrome.bat - not-a-virus:AdWare.BAT.Clicker.af