Здравствуйте!
Непоможете справиться с заразой?.. а то все зараза пошифровал( в файлы с расширением *[B].AES256[/B] под раздачу попали mp3 jpeg mp4....
ОС - Windows 7 x64
Выложил два лога согласно 2, 3 пункту инструкции, и тот текстовый что был создан вирусом.
Уважаемый(ая) [B]alohaa[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Георгий\appdata\roaming\newsi_6\s_inst.exe','');
QuarantineFile('C:\Users\Георгий\AppData\Local\PriceMeter\pricemeter.exe','');
QuarantineFile('C:\Users\Георгий\AppData\Local\PriceMeter\pricemeterw.exe','');
QuarantineFile('C:\Program Files (x86)\Sonar Lite\snlsvc.exe','');
DeleteService('Adobe Licensing Console');
QuarantineFile('C:\Windows\system32\drivers\{7c722efd-1a40-4e08-aa0c-caa7161f7d43}Gw64.sys','');
TerminateProcessByName('c:\windows\temp\mrtbce8.tmp\stdrt.exe');
QuarantineFile('c:\windows\temp\mrtbce8.tmp\stdrt.exe','');
TerminateProcessByName('c:\windows\syswow64\lnsecsl.exe');
QuarantineFile('c:\windows\syswow64\lnsecsl.exe','');
DeleteFile('c:\windows\syswow64\lnsecsl.exe','32');
DeleteFile('c:\windows\temp\mrtbce8.tmp\stdrt.exe','32');
DeleteFile('C:\Windows\system32\drivers\{7c722efd-1a40-4e08-aa0c-caa7161f7d43}Gw64.sys','32');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe.bat','32');
DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','64');
DeleteFile('C:\Windows\system32\Tasks\pricemetertask','64');
DeleteFile('C:\Windows\system32\Tasks\pricemeterwatcher','64');
DeleteFile('C:\Users\Георгий\AppData\Local\PriceMeter\pricemeterw.exe','32');
DeleteFile('C:\Users\Георгий\AppData\Local\PriceMeter\pricemeter.exe','32');
DeleteFile('C:\Users\Георгий\appdata\roaming\newsi_6\s_inst.exe','32');
DeleteFileMask('C:\Users\Георгий\appdata\roaming\newsi_6', '*', true);
DeleteDirectory('C:\Users\Георгий\appdata\roaming\newsi_6');
DeleteFileMask('C:\Users\Георгий\AppData\Local\PriceMeter', '*', true);
DeleteDirectory('C:\Users\Георгий\AppData\Local\PriceMeter');
DeleteFileMask('c:\windows\temp\mrtbce8.tmp', '*', true);
DeleteDirectory('c:\windows\temp\mrtbce8.tmp');
DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделал, но не без нюансов, AVZ после первой попытки выполнения скрипта ничего несложил в карантин... И список был пуст, и в папку потом заглянул в ней тоже ничего небыло... После второй попытки выполнения вроде что-то уже было... Логи повторил, и просканировал MBAM. Так же на всякий случай прикрепил несколько зашифрованных файлов, может как то помогут...
Поместите в карантин МВАМ все найденное
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Лог RIST прикрепил, и карантин закачал.
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b3f239b099580fe31c1daf228a12b869&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b3f239b099580fe31c1daf228a12b869&text={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://startovka.ru
O2 - BHO: IEExtension.Extension - {d40c654d-7c51-4eb3-95b2-1e23905c2a2d} - mscoree.dll (file missing)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - (no file)
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - (no file)[/CODE]
Удалите файл C:\Program Files\firefox.exe.bat
Удалите папки
[QUOTE]C:\Program Files (x86)\Аудио и видео скачивание
C:\ProgramData\Systweak
C:\Users\Георгий\AppData\Roaming\Mail.RU NewGamesT
C:\Users\Георгий\AppData\Roaming\Microsoft DB
C:\Users\Георгий\AppData\Roaming\GemWare
C:\Users\Георгий\AppData\Roaming\ICL
C:\ProgramData\Kbupdater Utility
C:\Program Files (x86)\ШоппингГид
C:\Users\Георгий\AppData\Roaming\WebExtend
C:\Program Files (x86)\screentk2
C:\Users\Георгий\AppData\Roaming\SearchProtect
C:\Users\Георгий\AppData\Roaming\everysale
C:\Users\Георгий\AppData\Roaming\bafhhmlkbcigapgkfdgfikhkkaihpjjn[/QUOTE]
[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] пробуйте
[b]thyrex[/b], выполнил указанное. При попытке натравить RakhniDecryptor на зашифрованный файл выдает - "Невозможно подобрать пароль."
[ATTACH=CONFIG]500298[/ATTACH]"
:(
Увы, больше помочь нечем
А шанс что в будущем есть получиться расшифровать файлы, есть? Или полная безнадега?.. Просто огромный архив продает(..
[quote="alohaa;1169472"]А шанс что в будущем есть получиться расшифровать файлы[/quote]Сейчас для этого шифровальщика в утилите есть около 10000 ключей. Появятся ли еще и как скоро (окажется ли среди них подходящий Вам) - на это не ответят даже в вирлабе
[INFORMATION][color=#FF0000][b]Внимание![/b][/color] [color=#0000FF]Данный дешифратор предназначен только для пользователя [b]alohaa[/b]
Во избежание [u]окончательной потери информации[/u] использовать данный дешифратор другим пострадавшим [/color][color=#FF0000][b]не рекомендуется[/b][/color][/INFORMATION]
Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.
[url=http://rghost.ru/58393279]Дешифратор[/url]
[u]Принцип работы с дешифратором:[/u]
1. Сохраните дешифратор в отдельную созданную папку.
2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.
[B]Спасибо Вам Огромное![/B] Помогло, всё расшифровалось!
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:
[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Мы решили поступить более радикально, просто переустановить всю систему, главное файлы удалось спасти..
Спасибо еще раз!
[QUOTE=alohaa;1177113]Мы решили поступить более радикально, просто переустановить всю систему[/QUOTE]
Зачем мы тогда на вас тратили свое время?
[QUOTE=mike 1;1177122]Зачем мы тогда на вас тратили свое время?[/QUOTE]
Проблема заключалась в том что были зашифрованы файлы, их то с Вашей помощью и удалось вернуть. А со скомпрометировавшей себя системой решили несюсюкаться и заодно обновить до Windows 8.1, поставив последний софт и новый антивирус.
Ладно дело ваше, но жалко что все равно систему переустановили.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \alert.dll - [B]not-a-virus:WebToolbar.Win32.Agent.axf[/B][/LIST][/LIST]