Старый добрый AES256 [not-a-virus:AdWare.Win32.DealPly.w, not-a-virus:AdWare.Win32.SwiftBrowse.n ]

Printable View

14.10.2014, 20:14
ArmFox

Вложений: 2

Старый добрый AES256 [not-a-virus:AdWare.Win32.DealPly.w, not-a-virus:AdWare.Win32.SwiftBrowse.n ]

[COLOR=#282828][FONT=helvetica]"Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]Для этого откройте ярлык 'Ваш консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.[/FONT][/COLOR]

[COLOR=#282828][FONT=helvetica]Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]TOR: [URL]https://www.torproject.org/[/URL] | Видео инструкция: [URL]http://youtu.be/43feBLwHzn0[/URL][/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]url_1: [URL="http://y6kpyefykdvswxps.onion:4567/pay.html"]http://y6kpyefykdvsw...n:4567/pay.html[/URL][/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]url_2: [URL="http://gi3ruskskqzff2rw.onion:4567/pay.html"]http://gi3ruskskqzff...n:4567/pay.html[/URL]

[/FONT][/COLOR]
14.10.2014, 20:15
Info_bot

Старый добрый AES256 [not-a-virus:AdWare.Win32.DealPly.w, not-a-virus:AdWare.Win32.SwiftBrowse.n ]

Уважаемый(ая) [B]ArmFox[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
14.10.2014, 20:48
thyrex

[QUOTE]webget
vopackage[/QUOTE]удалите через Установку программ

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\webget\bin\{55685567-4840-4A91-962B-49A412E9485A}.dll','');
QuarantineFile('C:\Program Files\webget\bin\webget.browserfilter.helper.dll','');
QuarantineFile('C:\Program Files\webget\bin\webget.browseradapter.exe','');
QuarantineFile('C:\Program Files\webget\bin\webget.browseradapter64.exe','');
QuarantineFile('C:\Program Files\suptab\search~2.dll','');
QuarantineFile('C:\Program Files\suptab\search~1.dll','');
QuarantineFile('C:\Program Files\suptab\dpinterface32.dll','');
QuarantineFile('C:\Users\Анастасияо\appdata\roaming\update~1\update~1\update~1.exe','');
QuarantineFile('C:\Users\Анастасияо\appdata\roaming\mail.ru newgamest\api.dll','');
TerminateProcessByName('c:\program files\internet speed checker\dfa10732-efd7-430c-9f56-fd7f9a591b3e.exe');
DelBHO('{11111111-1111-1111-1111-110611171152}');
DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
QuarantineFile('C:\Program Files\SupTab\SupTab.dll','');
QuarantineFile('C:\Program Files\Internet Speed Checker\Internet Speed Checker-bho.dll','');
QuarantineFile('C:\Users\Анастасияо\AppData\Roaming\runWIN\update.exe','');
QuarantineFile('C:\Users\Анастасияо\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('C:\Users\Анастасияо\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('C:\Program Files\Twilight Tech\Pretty Search\dummyDlg.exe','');
QuarantineFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','');
QuarantineFile('C:\Windows\system32\drivers\{55685567-4840-4a91-962b-49a412e9485a}Gw.sys','');
QuarantineFile('C:\Windows\system32\drivers\{55685567-4840-4a91-962b-49a412e9485a}w.sys','');
SetServiceStart('{55685567-4840-4a91-962b-49a412e9485a}w', 4);
DeleteService('{55685567-4840-4a91-962b-49a412e9485a}w');
SetServiceStart('{55685567-4840-4a91-962b-49a412e9485a}Gw', 4);
DeleteService('{55685567-4840-4a91-962b-49a412e9485a}Gw');
SetServiceStart('Wpm', 4);
DeleteService('Wpm');
SetServiceStart('Util webget', 4);
DeleteService('Util webget');
SetServiceStart('Update webget', 4);
DeleteService('Update webget');
SetServiceStart('servervo', 4);
DeleteService('servervo');
TerminateProcessByName('c:\programdata\wpm\wprotectmanager.exe');
QuarantineFile('c:\programdata\wpm\wprotectmanager.exe','');
TerminateProcessByName('c:\users\Анастасияо\appdata\roaming\vopackage\vosrv.exe');
QuarantineFile('c:\users\Анастасияо\appdata\roaming\vopackage\vosrv.exe','');
TerminateProcessByName('c:\program files\webget\bin\utilwebget.exe');
TerminateProcessByName('c:\program files\webget\updatewebget.exe');
QuarantineFile('c:\program files\webget\updatewebget.exe','');
QuarantineFile('c:\program files\webget\bin\utilwebget.exe','');
QuarantineFile('c:\program files\internet speed checker\dfa10732-efd7-430c-9f56-fd7f9a591b3e.exe','');
DeleteFile('c:\program files\webget\bin\utilwebget.exe','32');
DeleteFile('c:\program files\webget\updatewebget.exe','32');
DeleteFile('c:\users\Анастасияо\appdata\roaming\vopackage\vosrv.exe','32');
DeleteFile('c:\programdata\wpm\wprotectmanager.exe','32');
DeleteFile('C:\Windows\system32\drivers\{55685567-4840-4a91-962b-49a412e9485a}w.sys','32');
DeleteFile('C:\Windows\system32\drivers\{55685567-4840-4a91-962b-49a412e9485a}Gw.sys','32');
DeleteFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','32');
DeleteFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat','32');
DeleteFile('C:\Users\Анастасияо\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
DeleteFile('C:\Users\Анастасияо\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
DeleteFile('C:\Users\Анастасияо\AppData\Roaming\runWIN\update.exe','32');
DeleteFile('C:\Program Files\SupTab\SupTab.dll','32');
DeleteFile('C:\Program Files\Internet Speed Checker\Internet Speed Checker-bho.dll','32');
DeleteFile('c:\program files\internet speed checker\dfa10732-efd7-430c-9f56-fd7f9a591b3e.exe','32');
DeleteFile('C:\Users\Анастасияо\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFile('C:\Users\Анастасияо\appdata\roaming\update~1\update~1\update~1.exe','32');
DeleteFile('C:\Program Files\suptab\dpinterface32.dll','32');
DeleteFile('C:\Program Files\suptab\search~1.dll','32');
DeleteFile('C:\Program Files\suptab\search~2.dll','32');
DeleteFile('C:\Program Files\webget\bin\webget.browseradapter64.exe','32');
DeleteFile('C:\Program Files\webget\bin\webget.browseradapter.exe','32');
DeleteFile('C:\Program Files\webget\bin\webget.browserfilter.helper.dll','32');
DeleteFile('C:\Program Files\webget\bin\{55685567-4840-4A91-962B-49A412E9485A}.dll','32');
DeleteFileMask('C:\Users\Анастасияо\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\Анастасияо\AppData\Roaming\runWIN');
DeleteFileMask('C:\Users\Анастасияо\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\Анастасияо\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('C:\Program Files\webget', '*', true);
DeleteDirectory('C:\Program Files\webget');
DeleteFileMask('C:\Program Files\suptab', '*', true);
DeleteDirectory('C:\Program Files\suptab');
DeleteFileMask('C:\Program Files\Internet Speed Checker', '*', true);
DeleteDirectory('C:\Program Files\Internet Speed Checker');
DeleteFileMask('c:\programdata\wpm', '*', true);
DeleteDirectory('c:\programdata\wpm');
DeleteFileMask('C:\Program Files\Twilight Tech', '*', true);
DeleteDirectory('C:\Program Files\Twilight Tech');
DeleteFileMask('c:\users\Анастасияо\appdata\roaming\vopackage', '*', true);
DeleteDirectory('c:\users\Анастасияо\appdata\roaming\vopackage');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Сделайте [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]такой лог[/url]
15.10.2014, 01:25
ArmFox

Вложений: 5

Готово
Файл сохранён как 141014_212227_virus_543d941357416.zip
Размер файла 2157075
MD5 b682229e53debbcdd874f3148fd16d60
15.10.2014, 19:04
thyrex

Поместите в карантин МВАМ все найденное

Удалите папки (что найдутся после карантина МВАМ)
[QUOTE]C:\Users\Анастасияо\AppData\Roaming\Mail.RU NewGamesT
C:\Users\Анастасияо\AppData\Roaming\Microsoft DB
C:\Users\Анастасияо\AppData\Roaming\ap_logs
C:\Users\Анастасияо\AppData\Roaming\VOPackage
C:\Program Files\globalUpdate
C:\Program Files\Internet Speed Checker
C:\Users\Анастасияо\AppData\Roaming\GemWare
C:\Users\Анастасияо\AppData\Roaming\ICL[/QUOTE]

Пересоздайте ярлыки
[QUOTE]C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
C:\Users\Анастасияо\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\Анастасияо\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk[/QUOTE]

Напишите ID и Hash, присвоенные Вам шифровальщиком
17.10.2014, 07:21
ArmFox

Вот
HashKey: 073c03cbbafd62a56d1241757f36f5ae
ID: 1947
17.10.2014, 11:30
thyrex

Опоздали.
Теперь ждем обновления утилиты от ЛК
17.10.2014, 14:59
ArmFox

Эм.. а яснее можно? :?
17.10.2014, 15:19
thyrex

[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] пробуйте
17.10.2014, 17:46
ArmFox

Вау! Огромное спасибо! Недуг излечен! :>
17.10.2014, 18:36
thyrex

Удалите МВАМ
17.10.2014, 18:37
regist

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
17.10.2014, 18:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\suptab\dpinterface32.dll - [B]not-a-virus:AdWare.Win32.Agent.aljt[/B] ( DrWEB: Adware.Mutabaha.60 )[*] c:\program files\suptab\search~2.dll - [B]not-a-virus:AdWare.Win32.Agent.aljt[/B] ( DrWEB: Adware.Mutabaha.50, BitDefender: Application.SearchProtect.I )[*] c:\program files\suptab\suptab.dll - [B]not-a-virus:AdWare.Win32.Agent.aljt[/B] ( DrWEB: Trojan.Click3.8536, BitDefender: Adware.Agent.OFO )[*] c:\program files\webget\bin\webget.browseradapter.exe - [B]not-a-virus:HEUR:AdWare.Win32.Kranet.heur[/B] ( DrWEB: Trojan.BPlug.218, BitDefender: Adware.Mplug.AF )[*] c:\program files\webget\bin\webget.browserfilter.helper.dll - [B]not-a-virus:AdWare.Win32.SwiftBrowse.b[/B] ( DrWEB: Trojan.BPlug.296, BitDefender: Adware.SwiftBrowse.AD )[*] c:\program files\webget\bin\{55685567-4840-4a91-962b-49a412e9485a}.dll - [B]not-a-virus:AdWare.Win32.SwiftBrowse.n[/B] ( DrWEB: Trojan.BPlug.283 )[*] c:\users\анастасияо\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.p[/B] ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )[*] c:\users\анастасияо\appdata\roaming\update~1\update~1\update~1.exe - [B]not-a-virus:AdWare.Win32.DealPly.w[/B] ( DrWEB: Trojan.Packed.28227 )[*] c:\users\анастасияо\applic~1\update~1\update~1\update~1.exe - [B]not-a-virus:AdWare.Win32.DealPly.w[/B] ( DrWEB: Trojan.Packed.28227 )[/LIST][/LIST]