Что подхватили Файлы стали [email protected] [Trojan.Win32.Agent.newigm ]

[KRUCH]

Здравствуйте Не знаю что сделали но файлы не открываются файл вроде на месте но рядом еще файл имя_файла[email protected] msdos значок посмотрите что за зараза что то про нее очень мало написано (((
Есть возможность вернуть файлы ???

[Info_bot]

Уважаемый(ая) KRUCH, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('D:\Documents and Settings\1\Главное меню\Программы\Автозагрузка\{J39SN47D-D83M-ALR9-1I59-HW9R739VK1}.exe','');
 QuarantineFile('D:\Documents and Settings\1\Главное меню\Программы\Автозагрузка\haspaddr.dat','');
 QuarantineFile('D:\DOCUME~1\1\LOCALS~1\Temp\Adobe\Reader_sl.exe','');
 TerminateProcessByName('d:\documents and settings\1\Главное меню\Программы\Автозагрузка\{j39sn47d-d83m-alr9-1i59-hw9r739vk1}.exe');
 QuarantineFile('d:\documents and settings\1\Главное меню\Программы\Автозагрузка\{j39sn47d-d83m-alr9-1i59-hw9r739vk1}.exe','');
 DeleteFile('d:\documents and settings\1\Главное меню\Программы\Автозагрузка\{j39sn47d-d83m-alr9-1i59-hw9r739vk1}.exe','32');
 DeleteFile('D:\Program Files\pchd\PCHDPlayer.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
 DeleteFile('D:\DOCUME~1\1\LOCALS~1\Temp\Adobe\Reader_sl.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe System Incorporated','command');
 DeleteFile('D:\Documents and Settings\1\Главное меню\Программы\Автозагрузка\haspaddr.dat','32');
 DeleteFile('D:\Documents and Settings\1\Главное меню\Программы\Автозагрузка\{J39SN47D-D83M-ALR9-1I59-HW9R739VK1}.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[KRUCH]

Все сделал отправил

[thyrex]

Сделайте лог полного сканирования МВАМ

+ образцы шифрованных файлов одним архивом выложите на Яндекс диск и пришлите ссылку

[KRUCH]

Готово
https://yadi.sk/d/HE5ZmBskt2J8i

[thyrex]

Удалите в МВАМ все, кроме

PUP.Optional.WpaKill, D:\WINDOWS\system32\antiwpa.dll, , [91d63ae66733e94d0594860b18ec7c84], 
Trojan.I.Stole.Windows, D:\WINDOWS\system32\antiwpa.dll, , [7fe8e33dc7d30f2761a4ff1bf60d3cc4], 

PUP.Optional.WpaKill, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON\NOTIFY\Antiwpa, , [91d63ae66733e94d0594860b18ec7c84], 
Trojan.I.Stole.Windows, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON\NOTIFY\Antiwpa, , [7fe8e33dc7d30f2761a4ff1bf60d3cc4],

PUM.Optional.DisabledSecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|AntiVirusDisableNotify, 1, Хорошо: (0), Плохо: (1),,[47203fe17f1bb086b4bf0772cd372bd5]
PUM.Optional.DisabledSecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|FirewallDisableNotify, 1, Хорошо: (0), Плохо: (1),,[f86feb353c5ead890e66fc7d10f4a759]
PUM.Optional.DisabledSecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UpdatesDisableNotify, 1, Хорошо: (0), Плохо: (1),,[cb9c5ac6b4e62b0b561fda9f58ac02fe]

PUP.Optional.WpaKill, D:\WINDOWS\system32\antiwpa.dll, , [91d63ae66733e94d0594860b18ec7c84], 
Trojan.I.Stole.Windows, D:\WINDOWS\system32\antiwpa.dll, , [7fe8e33dc7d30f2761a4ff1bf60d3cc4],

и записей от ICQToolbar

[KRUCH]

Сделал Что еще от меня требуется сделать ???

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
6. Логи, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[KRUCH]

Готово

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
D:\Documents and Settings\1\haspaddr.dat
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{0a3f4dfe-fd14-49c7-9d51-748d15a767d2}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_3B_48.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{13cae5e0-317d-4dc4-9f06-a01ce92c698c}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_9_62.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{2438686b-f92e-4a29-8cc4-1c50ddea5370}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_476_54.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{60940425-4085-4f11-ab34-b9dacd636f4b}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_12_4b.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{61a955b5-06dc-4371-bae4-c228777d6d87}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_4_7d.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{680849bc-b86d-4669-9219-ad9ac13e4ddc}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_12_4b.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{6a8f8752-e2ec-485d-8e46-b2509f668d26}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_13_61.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{6b0424b6-7ac3-4521-8b5c-894cdaffd92e}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_9_62.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{6c8fcdeb-4c19-4d24-92e1-81ffc888ae3e}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_476_54.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{6da75278-e916-4a18-934f-1d90b2cebabd}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_13_61.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{7365bebe-ac14-47f3-bff2-252f9ead5c7b}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_3B_48.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{7446bb6e-5720-405b-8839-464d958a95d5}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_3B_48.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{7b7c1f93-8199-4da7-88eb-e25a222c7a15}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_12_4b.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{7baafa79-37ac-411c-88a9-573ae46e3065}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_9_62.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{9ee0a337-0726-4400-95e8-77e893ec681c}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_13_61.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{a70b6806-f2e5-44a5-abb2-14a63cedf752}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_13_61.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{a87602aa-13fc-4d6a-b2e8-e02787e59dad}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_3B_48.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{acad8a98-286a-420b-9fa3-02c0593917c9}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_12_4b.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{b524799f-1122-4978-ad75-514c406b08b5}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_4_7d.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{c127373e-5025-4630-a5be-23c4d86ac559}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_12_4b.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{cdfb4d3f-01e2-4259-b016-fd6ede8b8204}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_9_62.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{cfe33012-70f5-428e-bedc-b26bf237e21c}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_4_7d.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{d0b2a3c2-dda6-48d3-8193-a3bb748d6440}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_9_62.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{d95168b2-4440-4150-8161-b3ed0d69be17}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_476_54.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{e7727e52-306a-4026-a1f3-0a67008f443d}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_13_61.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{fb668c1b-efe4-457c-9923-e0144150e9e1}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_4_7d.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{fcc0de38-1341-430b-b063-69e0dc2114ab}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_476_54.tmp => No File
CustomCLSID: HKU\S-1-5-21-854245398-884357618-1801674531-1004_Classes\CLSID\{feebf6ac-dd33-43ed-864a-a4cd547a8f37}\InprocServer32 -> D:\Documents and Settings\1\Local Settings\Temp\v8_476_54.tmp => No File
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[KRUCH]

Сделал

- - - - -Добавлено - - - - -

Что ребят Все так плачевно ???

[thyrex]

Вы слишком быстро хотите получить результат.
Пока исследуется вирус.

[KRUCH]

Хорошо будем ждать с нетерпением ответа

[KRUCH]

Здравствуйте извините что беспокою нечего не ясно поповоду моей заявке ???

[thyrex]

Увы, ни единого шанса для расшифровки

[KRUCH]

Спасибо понял)))

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\documents and settings\1\главное меню\программы\автозагрузка\{j39sn47d-d83m-alr9-1i59-hw9r739vk1}.exe - Trojan.Win32.Agent.newigm