Printable View
Добрый день.
Пользователь открыл вложение из письма про судебных приставов, понеслась установка чего-то, после установки все файлы doc xls jpg зашифровались с расширением [email][email protected][/email]
Во вложении логи AVZ и HijackThis, пункт 1 не выполнял т.к. система х64, поэтому лога только два, а также для примера два зашифрованных файла.
Помоги пожалуйста, очень много документов рабочих.
Уважаемый(ая) [B]Женя Ку[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\svetlana\appdata\local\schedule\schedule.exe');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.url','');
QuarantineFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.url','');
QuarantineFile('c:\users\svetlana\appdata\local\schedule\schedule.exe','');
DeleteFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.url','32');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.url','32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
DeleteFile('C:\Users\Svetlana\AppData\Local\Schedule\Schedule.exe','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','64');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
DeleteFile('C:\Windows\system32\Tasks\DSite','64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Schedule');
DeleteFileMask('C:\Program Files (x86)\Zaxar', '*', true, ' ');
DeleteFileMask('c:\users\svetlana\appdata\local\schedule', '*', true, ' ');
DeleteDirectory('C:\Program Files (x86)\Zaxar');
DeleteDirectory('c:\users\svetlana\appdata\local\schedule');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O4 - HKLM\..\Run: [ZaxarLoader] "C:\Program Files (x86)\Zaxar\ZaxarLoader.exe" /verysilent
O4 - HKLM\..\Run: [Schedule] "C:\Users\Svetlana\AppData\Local\Schedule\Schedule.exe"
[/CODE]
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Добрый день.
Все сделал, как вы сказали.
Только строк для фикса не было.
Сканирование через Adwcleaner остановилось на моменте "Ожидание:Снимите галочки с элементов, которые удалять не нужно" на этом моменте я лог и приложил. Надо ли нажимать кнопку "очистить"?
Лог с именем R1, тк я первый раз запустил сканирование с диска Е и удалил лог, второй раз запустил сканирование с рабочего стола и лог уже был с именем R1.
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Папка Найдено : C:\Program Files (x86)\Mail.Ru
Папка Найдено : C:\Program Files (x86)\Yandex
Папка Найдено : C:\ProgramData\Yandex
Папка Найдено : C:\Users\Svetlana\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\Svetlana\AppData\Local\Yandex
Папка Найдено : C:\Users\Svetlana\AppData\LocalLow\Yandex
Папка Найдено : C:\Users\Svetlana\AppData\Roaming\Yandex
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Доброе утро.
Выполнил очистку, лог приложил.
Жду указаний.
Прикрепите в архиве несколько небольших зашифрованных файлов.
Сейчас нет возможности вложить файлы, но в первом сообщении есть два файла doc и xls зашифрованных, они подойдут?
Загрузите тогда на rghost архив с зашифрованными файлами и прикрепите полученную ссылку.
[url]http://rghost.ru/55270464[/url]
Нужного ключика не оказалось.
[QUOTE=mike 1;1117093]Нужного ключика не оказалось.[/QUOTE]
Больше Вы ни чем не можете помочь?
А те действия, которые я проделал почистили компьютер от всяких червей, я верно понял?
[QUOTE]А те действия, которые я проделал почистили компьютер от всяких червей, я верно понял?[/QUOTE]
Верно.
[QUOTE]Больше Вы ни чем не можете помочь?[/QUOTE]
В утилите Drweb которую я использую нужного ключа для полноценной расшифровки вашего варианта нет.
[QUOTE=mike 1;1117116]Верно.
В утилите Drweb которую я использую нужного ключа для полноценной расшифровки вашего варианта нет.[/QUOTE]
а это та утилита, которую на форуме дрвеб предлагают если купить лицензию? просто я там тоже зарегался и уже думаю купить лицензию. Компьютер рабочий и все файлы на нем по работе, а их оч много, очень нужны. Получается мне там тоже не помогут?
[QUOTE]а это та утилита, которую на форуме дрвеб предлагают если купить лицензию?[/QUOTE]
Да.
[QUOTE]Получается мне там тоже не помогут?[/QUOTE]
Возможно смогут только частично восстановить некоторые типы файлов.
зачем тогда покупать лицензию, если у вас та же утилита и вы не смогли помочь?))
Утилиту можно скачать в открытом доступе однако утилита не будет работать без специальных параметров запуска. Эти самые параметры запуска утилиты предоставляет техподдержка DrWeb своим лицензионным пользователям. Их утилита на текущий момент может расшифровать только 7 вариантов этого шифратора без лота.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]