Printable View
Добрый день, ситуация такая - в четверг половина файлов на компьютере оказалась зашифрованной (к наименованию файла добалось "расширение" .nks) в проводнике напротив файла - написано "crypted". Прикладываю 3 файла согластно инструкции. Может есть решение.
Уважаемый(ая) [B]Recon[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O20 - AppInit_DLLs: ,
[/CODE]
[LIST=1][*]Загрузите GMER по одной из указанных ссылок:
[B][URL="http://www.gmer.net/download.php"]Gmer со случайным именем[/URL][/B] [I](рекомендуется)[/I], [B][URL="http://www.gmer.net/gmer.zip"]Gmer в zip-архиве[/URL][/B] [I](перед применением распаковать в отдельную папку)[/I][*][B]Временно[/B] отключите драйверы эмуляторов дисков.[*]Запустите программу (пользователям [I]Vista/Seven[/I] запускать от имени [B]Администратора[/B] по правой кнопке мыши).[*]Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите [B]No[/B].[*]После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
[LIST][*][B][COLOR="Blue"]Sections[/COLOR][/B][*][B][COLOR="Blue"]IAT/EAT[/COLOR][/B][*][B][COLOR="Blue"]Show all[/COLOR][/B][/LIST][*]Из всех дисков оставьте отмеченным только системный диск (обычно [B]C:\[/B])[*]Нажмите на кнопку [B]Scan[/B] и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите [B]OK[/B].[*]После окончания проверки сохраните его лог (нажмите на кнопку [B]Save[/B]) и вложите в сообщение.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*]Подробную инструкцию читайте в [URL="http://virusinfo.info/showthread.php?t=40118"]руководстве[/URL][/LIST]
По инструкции подправил HiJackThis (да была такая строка). Далее Gmer - при сканировании вешает систему (WinServer03) с ошибкой Винды и восстановлением после сбоя, но перед этим в окне сканирования Gmer'а успел показать красной строкой Service c:\windows\system32\cbwfi.dll (***hidden***) - не знаю поможет или нет.
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
Добрый день. Результат работы uVs во вложении. Могу выложить закриптованный файл (любой текстовый док) если нужно.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83 BETA 22 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
delref %Sys32%\CBWFJ.DLL
delref %Sys32%\LREOMS.DLL[/code]
Перезагрузите сервер вручную, [B]обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Ок, все процедуры выполнил. Лог AVZ прикладываю.
[QUOTE]Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003 R2" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#1)
[/QUOTE]
Лог AVZ сделайте не через терминальную сессию. + Картинку зашифрованную пришлите.
Ок, лог выложу чуть позже (как доберусь до сервера с монитором и прочим). Вложение не могу прикрепить - ограничение на вложение. (картинка на 700кб, но мои вложения уже занимают 350кб из разрешенных 950кб). Во файлам - зашифрованы оказались только те файлы, что были в расшареной папке (картинки, пдф, текстовики, архивы), диск с: и документы не затронуты, скорей всего пролезла зараза по сети от кого то из клиентов. Расшаренная папка на диске Д:
Выложите на rghost.ru и дайте ссылку в теме.
Спасибо за совет. Даю ссылку.[url]http://rghost.ru/57699516[/url]
Пробуйте рекомендации из [URL="http://virusinfo.info/showthread.php?t=165542&p=1152868&viewfull=1#post1152868"]этого сообщения[/URL].
Спасибо большое, все супер. Расшифровал 8285 файлов. Ребята молодцы!!! Отличный сайт, отличная команда профессионалов.
Пароли от RDP и учетных записей поменяйте на более стойкие.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:
[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Спасибо. Будем лечить :)