Доброго времени суток
Зашифровались файлы с расширениями jpg, doc
Пользователь не сознается в результате чего это произошло
Подозреваю, что было открыто вложение из почты, которая была удалена без возможности восстановления
[COLOR=#333333]К расширению файла добавилось [/COLOR][email protected]_ysbM
Примеры файлов
[URL]https://yadi.sk/d/0SGPk9rqUnaoR[/URL]
[URL]https://yadi.sk/d/gtrb9YaxUnapC[/URL]
Прошу помощи.
Win XP SP3, NOD32 с обновлениями, MS Office 2003
Уважаемый(ая) [B]adm.spectr[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('D:\WINDOWS\apppatch\deinbvd.exe','');
QuarantineFileF('D:\Documents and Settings\Станислав.ASTRA.001\Application Data\ihcvqwlaqw', '*.exe', true, ' ', 0, 0);
DeleteFile('D:\Documents and Settings\Станислав.ASTRA.001\Application Data\ihcvqwlaqw\gvqsjjjdcjdiv.html','32');
DeleteFile('D:\WINDOWS\apppatch\deinbvd.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\0','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Load','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Run','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\userinit','command');
DeleteFileMask('D:\Documents and Settings\Станислав.ASTRA.001\Application Data\ihcvqwlaqw', '*', true, ' ');
DeleteDirectory('D:\Documents and Settings\Станислав.ASTRA.001\Application Data\ihcvqwlaqw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
все выполнил. карантин отправил.
повторно получил virusinfo_syscheck.zip и hijackthis.log
Логи в порядке. Ознакомьтесь [url]http://virusinfo.info/showthread.php?t=156694[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\documents and settings\станислав.astra.001\application data\ihcvqwlaqw\ngcxggphjsxcvkwvk.exe - [B]Trojan-Ransom.Win32.Rakhni.cz[/B] ( DrWEB: Trojan.Encoder.398, BitDefender: Gen:Variant.Graftor.144845 )[/LIST][/LIST]