Добрый день!
Подхватила какой то вирус. Помогите, пожалуйста, разобраться.
ОС Windows 8 64x
Почему то не создался архив AVZ - virusinfo_syscheck.zip.
Создался архив virusinfo_syscure.zip (в котором содержатся файлы avz_sysinfo.htm, avz_sysinfo.xml), файлы virusinfo_syscure.xml, virusinfo_syscure.htm, и архив virusinfo_autoquarantine.zip
Делала по инструкции: п.1 пропустила, AVZ размещала в отдельной папке.
Итого прилагаю 2 лога.
Уважаемый(ая) [B]Жанна83[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Users\Aijana\appdata\roaming\mail.ru newgamest\api.dll','');
QuarantineFile('C:\Users\Aijana\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('C:\Users\Aijana\AppData\Roaming\runWIN\Update.exe','');
QuarantineFile('C:\Users\Aijana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
DeleteFile('C:\Users\Aijana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\Aijana\AppData\Roaming\runWIN\Update.exe','32');
DeleteFile('C:\Users\Aijana\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Users\Aijana\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFileMask('C:\Users\Aijana\AppData\Roaming\Mail.RU NewGamesT','*',true);
DeleteDirectory('C:\Users\Aijana\AppData\Roaming\Mail.RU NewGamesT');
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/URL].
Прилагаю
Перетащите лог CheckBrowserLnk.log на [url=http://Dragokas.16mb.com/Safe/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.
Шифровальщик у Вас. Проверяйте, не зашифрованы ли документы, фотографии и пр. Расширение файлов меняется на AES256.
Сделала. Не нашла переименованные файлы.
На р.столе появился ярлык "Онлайн-консультант" ссылается на "C:\Users\Aijana\AppData\Roaming\Mail.RU NewGamesT\tiket.exe"
Еще вопрос. после запуска скриптов в AVZ и перезагрузки запускается командная строка (черный экранчик :-) ) с названием _uninst_46443787 . И закрыть его нельзя. Это как то связано?
Нет, это от AVP Tool хвосты.
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
готово. Опять поискала файлы с расширением AES256. По крайней мере стандартный поиск Windows не находит.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.2
v383c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.EXE.BAT
bl 848B4D97B94FD1F548081E3CE8A16DEE 79
delall %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.EXE.BAT
zoo %SystemDrive%\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.EXE.BAT
bl 14671A6A695EEFFB84D31F59FAB69A7B 82
delall %SystemDrive%\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.EXE.BAT
zoo %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IKJRO5L.EXE
bl 2D9E4FFB3DF6123B3C0894AA2B5042F2 544
delall %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IKJRO5L.EXE
zoo %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IP34FWZ.DLL
bl 26A2A0CBD3B3E4032C2E094FFD2DF279 544
delall %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IP34FWZ.DLL
zoo %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IP358AJ.EXE
bl BA004B9B6CE1A9579DEF99F062CE5628 544
delall %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IP358AJ.EXE
zoo %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IRJLLGQ.EXE
bl 3774560F5AEA0E82A26B6F1B8099E66B 544
delall %SystemDrive%\$RECYCLE.BIN\S-1-5-21-852553774-2101591227-3652742017-1001\$IRJLLGQ.EXE
dirzooex %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\RUNWIN
zoo %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\RUNWIN\API.DLL
bl A4055A00B7F3F4729DC69BA643A4B379 72704
delall %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\RUNWIN\API.DLL
czoo
restart[/CODE]
сделайте свежий образ автозапуска.
[quote="Жанна83;1169907"]Опять поискала файлы с расширением AES256. По крайней мере стандартный поиск Windows не находит.[/quote]видно не успел зашифровать.
Карантин залила. Образ не уместился. Вот ссылка: [url]http://rghost.ru/58443240[/url]
Выполните скрипт в uVS:[CODE];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.2
v383c
delref %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\MAIL.RU NEWGAMEST\TIKET.EXE
delref %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\MAIL.RU NEWGAMEST\ENCRYPT.EXE
del %SystemDrive%\USERS\AIJANA\DESKTOP\ОНЛАЙН КОНСУЛЬТАНТ.LNK
delall %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\TOR PROJECT\TOR.EXE
deldir %SystemDrive%\USERS\AIJANA\APPDATA\ROAMING\TOR PROJECT
deltmp
restart[/CODE]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
Вроде все ок. Нашлось 4 уязвимости.
Вопрос, после того, как подхватила вирус, в браузере Мозилла перестала корректно отображаться Рамблер-почта (т.е. нет ни списка папок с почтой, ни самих писем). В Иэксплорере отображается корректно. После последних скриптов ситуация не изменилось.
Мож это глюк самой Мозиллы? или Рамблера?
Спасибо за помощь!
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы FireFox[/URL].
Если не поможет - делайте следующее.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".
Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Очистка куки не помогла.
Отчеты прилагаю.
//Сохраните файл из вложений в папку с Farbar Recovery Scan Tool.
Не поняла что именно нужно сделать.
Уважаемые специалисты по борьбе с вирусами :) очень жду вашего ответа!
Спасибо за помощь.
Сохраните файл [B][ATTACH=CONFIG]501792[/ATTACH][/B] из вложений в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и проверьте проблему.
Все работает!!! :-) Вы волшебники :)
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
Спасибо! осталась одна уязвимость. С ней разберусь.Ну и антивирус поставлю.
Еще раз большая благодарность вам!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \api.dll._6b7b4ffa118fa420257a90f291c863eabae3086c - [B]Trojan-Ransom.MSIL.Lortok.p[/B][*] c:\users\aijana\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.p[/B][*] c:\users\aijana\appdata\roaming\mail.ru newgamest\encrypt.exe - [B]Trojan-Ransom.MSIL.Lortok.az[/B] ( BitDefender: Gen:Variant.Kazy.465958, AVAST4: Win32:Malware-gen )[*] c:\users\aijana\appdata\roaming\runwin\update.exe - [B]not-a-virus:RiskTool.MSIL.Agent.bv[/B][/LIST][/LIST]