Недавно появилась заставка, как в заявке № 148969. Поскольку раньше с таким не сталкивалась, удалила ее с помощью антивирусника, но через пару дней файлы были зашифрованы. Можно ли их как то спасти? Примеры файлов [url]http://files.mail.ru/BCCC79247955480B83209E850F314A93[/url]
Очень надеюсь на Вашу помощь!
Уважаемый(ая) [B]Оксана Моисеева[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Ксюха\appdata\roaming\flash\cgminer-nogpu.exe','');
QuarantineFile('C:\Users\Ксюха\AppData\Local\Temp\jvese.exe','');
DeleteFile('C:\Users\613E~1\AppData\Local\Temp\23102094','32');
DeleteFile('C:\Windows\system32\Tasks\At1.job','64');
DeleteFile('C:\Users\Ксюха\AppData\Local\Temp\jvese.exe','32');
DeleteFile('C:\Windows\system32\Tasks\pcep38s8i.job','64');
DeleteFile('C:\Windows\system32\Tasks\At1','64');
DeleteFile('C:\Windows\system32\Tasks\pcep38s8i','64');
DeleteFile('C:\Users\Ксюха\appdata\roaming\flash\cgminer-nogpu.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://erterra.com/images/imglist.ebg[/CODE]
Сделайте новые логи
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Ксюха\appdata\roaming\flash\cgminer-nogpu.exe','');
QuarantineFile('C:\Users\Ксюха\AppData\Local\Temp\jvese.exe','');
DeleteFile('C:\Users\613E~1\AppData\Local\Temp\23102094','32');
DeleteFile('C:\Windows\system32\Tasks\At1.job','64');
DeleteFile('C:\Users\Ксюха\AppData\Local\Temp\jvese.exe','32');
DeleteFile('C:\Windows\system32\Tasks\pcep38s8i.job','64');
DeleteFile('C:\Windows\system32\Tasks\At1','64');
DeleteFile('C:\Windows\system32\Tasks\pcep38s8i','64');
DeleteFile('C:\Users\Ксюха\appdata\roaming\flash\cgminer-nogpu.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://erterra.com/images/imglist.ebg[/CODE]
Сделайте новые логи
Новые логи
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Результаты сканирования
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только
[CODE]C:\Users\Ксюха\AppData\Local\Temp\325.exe (Trojan.Agent.EDTT) -> Действие не было предпринято.
C:\Users\Ксюха\Documents\5214177.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Ксюха\Documents\AppData\exp.dat (Malware.Trace) -> Действие не было предпринято.
[/CODE]
сделайте новое сканирование MBAM только диска C:\ прикрепите новый лог.
новый лог
Ничего плохого
Дешифратором пока никто не поделился
Очень жаль:( Но спасибо за помощь
MBAM деинсталируйте
+ чтобы избежать повторных заражений
- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\ксюха\appdata\roaming\flash\cgminer-nogpu.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.hop[/B] ( DrWEB: Tool.BtcMine.190 )[/LIST][/LIST]