В результате неосторожного открытия вложений множество файлов оказалось зашифровано.
Вот несколько зашифрованных файлов: [URL]http://rghost.ru/57308672[/URL]
Инструкцию выполнил.
Также имеется предположительный источник заражения: [URL]http://rghost.ru/57308917[/URL] (пароль virus)
Прошу оказать помощь.
Уважаемый(ая) [B]eugenfs[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O20 - AppInit_DLLs: ???
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]
Здравствуйте!
Инструкции выполнил, файлы в приложении, карантин послал.
Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).
[CODE]
Обнаруженные ключи в реестре: 13
HKLM\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AppSvc32.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe (Trojan.Agent) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrssvc.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com (Security.Hijack) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Services\Driver (Trojan.Downloader) -> Действие не было предпринято.
Обнаруженные папки: 6
C:\Documents and Settings\Olga.ZAVOD-PSK\Application Data\cload (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Главное меню\Программы\Автозагрузка\ufr_reports (Trojan.Passwords) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0 (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
Обнаруженные файлы: 28
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\05I3WTUJ\idfili[1].bmp (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\05I3WTUJ\idfili[2].bmp (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\05I3WTUJ\igyelmle[1].gif (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8XUN4PUJ\igyelmle[1].bmp (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8XUN4PUJ\igyelmle[1].gif (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KTM74D23\igyelmle[1].bmp (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WPMZO5A3\idfili[1].gif (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WPMZO5A3\igyelmle[1].gif (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WPMZO5A3\yogymyxx[1].gif (Extension.Mismatch) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Temp\instl_tmp.exe (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Application Data\cload\chrome.dat (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Application Data\cload\firefox.dat (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Application Data\cload\opera_chrome.dat (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Temp\winlogon.exe (Trojan.Agent) -> Действие не было предпринято.
C:\WINDOWS\logfile32.txt (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Главное меню\Программы\Автозагрузка\ufr_reports\report_28-07-2014_16-00-41-E3F174D42B3FF85E7515C2A55B998538-EJDG.bin (Trojan.Passwords) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Главное меню\Программы\Автозагрузка\ufr_reports\report_29-07-2014_08-02-57-E3F174D42B3FF85E7515C2A55B998538-IABC.bin (Trojan.Passwords) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Главное меню\Программы\Автозагрузка\ufr_reports\report_29-07-2014_11-10-46-E3F174D42B3FF85E7515C2A55B998538-ONKE.bin (Trojan.Passwords) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\manifest.json (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-128.png (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-16.png (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-48.png (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\background.js (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\config.js (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\content.js (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\library.js (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
C:\Documents and Settings\Olga.ZAVOD-PSK\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\utils.js (PUP.Optional.CinemaLoad.A) -> Действие не было предпринято.
[/CODE]
Пароли смените
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
Запустил повторное сканирование.
А какие пароли? Пользовательский? Локального админа? Или администратора домена тоже?
Лучше от всех т.к. было найдено ПО, которое могло воровать пароли.
Здравствуйте!
Пересканировал - результат во вложении.
Пароли поменял.
[INFORMATION]
[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашим файлам.
Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].
Скачайте [URL="http://download.geo.drweb.com/pub/drweb/tools/te102decrypt.exe"]te102decrypt.exe[/URL] и сохраните [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B].
В командной строке введите:
[code]C:\te102decrypt.exe -k 567 -t 12[/code]
[B][COLOR="#FF0000"]Внимание!!![/COLOR][/B]
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет
2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION]
Спасибо!
О результатах доложу.
[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://virusinfo.info/soft/tool.php?tool=SecurityCheck"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]
Расшифровка закончилась. Поскольку файлов было относительно много, около 35000, все проверить не смог. Проверил примерно по сотне каждого типа. Те, что проверил, расшифровались правильно, так что скорее всего расшифровались все. Пользователь тоже говорит, что всё нормально. (Нашёлся один битый zip, но судя по всему, он был битый ещё до заражения, поскольку я его же нашёл внутри другого архива в том же точно состоянии).
SecurityCheck запустил. Результат во вложении.
Обновите:
Java(TM) 6 Update 16 v.6.0.160 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-7u67-windows-i586.exe)^[/b][/color]
Java(TM) 6 Update 24 v.6.0.240 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-7u67-windows-i586.exe)^[/b][/color]
Java(TM) 6 Update 22 v.6.0.220 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-7u67-windows-i586.exe)^[/b][/color]
Java 7 Update 25 v.7.0.250 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color]
[color=blue][b]^Скачайте jre-7u67-windows-i586.exe^[/b][/color]
Adobe Flash Player 11 ActiveX v.11.8.800.94 [color=red][b]Внимание! [url=http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_14_active_x.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 11 Plugin v.11.7.700.224 [color=red][b]Внимание! [url=http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_14_plugin.exe]Скачать обновления[/url][/b][/color]
Adobe Reader XI (11.0.03) v.11.0.03 [color=red][b]Внимание! [url=http://get.adobe.com/reader/]Скачать обновления[/url][/b][/color]
Adobe Reader 9.5.0 - Russian v.9.5.0 [color=red][b]Внимание! [url=http://get.adobe.com/reader/]Скачать обновления[/url][/b][/color]
Mozilla Firefox 25.0.1 (x86 ru) v.25.0.1 [color=red][b]Внимание! [url=http://www.mozilla.org/ru/firefox/fx]Скачать обновления[/url][/b][/color]
ESET NOD32 Antivirus v.4.2.67.10 - обновите до 7 версии
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Что мог обновил, к сожалению, обновление нода зависит не от меня.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]