На меня тоже напал AES256, помогите! [not-a-virus:HEUR:Downloader.Win32.LMN.gen, Trojan-Ransom.MSIL.Lortok.m ]

Printable View

15.10.2014, 23:58
Владик Осагин

Вложений: 3

На меня тоже напал AES256, помогите! [not-a-virus:HEUR:Downloader.Win32.LMN.gen, Trojan-Ransom.MSIL.Lortok.m ]

В папках с фотками и музыкой ВСЕ файлы стали *.aes25 и появился текстовый файл с содержанием:
"Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Ваш консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: [URL]https://www.torproject.org/[/URL] | Видео инструкция: [URL]http://youtu.be/43feBLwHzn0[/URL]
url_1: [URL]http://y6kpyefykdvswxps.onion:4567/pay.html[/URL]
url_2: [URL]http://gi3ruskskqzff2rw.onion:4567/pay.html[/URL]
HashKey: 66d33ad24629b43bbe96d8d44698cd3c
ID: 6342
"
15.10.2014, 23:59
Info_bot

Уважаемый(ая) [B]Владик Осагин[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.10.2014, 01:19
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFileF('%USERPROFILE%\appdata\roaming\Mail.RU NewGamesT', '*', true, ' ', 0, 0);
QuarantineFileF('%USERPROFILE%\AppData\Roaming\runWIN', '*', true, ' ', 0, 0);
QuarantineFileF('%USERPROFILE%\AppData\Roaming\ICL', '*', true, ' ', 0, 0);
QuarantineFileF('%USERPROFILE%\AppData\Roaming\GemWare', '*', true, ' ', 0, 0);
QuarantineFileF('%USERPROFILE%\AppData\Roaming\Microsoft DB', '*', true, ' ', 0, 0);
QuarantineFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Главное меню\Программы\Автозагрузка\runWIN.exe','');
DeleteFile('%USERPROFILE%\AppData\Roaming\runWIN\Update.exe','32');
DeleteFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Главное меню\Программы\Автозагрузка\runWIN.exe','32');
DeleteFile('%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
DeleteFileMask('%USERPROFILE%\appdata\roaming\Mail.RU NewGamesT', '*', true, ' ');
DeleteFileMask('%USERPROFILE%\AppData\Roaming\runWIN', '*', true, ' ');
DeleteFileMask('%USERPROFILE%\AppData\Roaming\ICL', '*', true, ' ');
DeleteFileMask('%USERPROFILE%\AppData\Roaming\GemWare', '*', true, ' ');
DeleteFileMask('%USERPROFILE%\AppData\Roaming\Microsoft DB', '*', true, ' ');
DeleteDirectory('%USERPROFILE%\appdata\roaming\Mail.RU NewGamesT');
DeleteDirectory('%USERPROFILE%\AppData\Roaming\runWIN');
DeleteDirectory('%USERPROFILE%\AppData\Roaming\ICL');
DeleteDirectory('%USERPROFILE%\AppData\Roaming\GemWare');
DeleteDirectory('%USERPROFILE%\AppData\Roaming\Microsoft DB');
TerminateProcessByName('c:\programdata\vkmusicupd\funspace.update.exe');
SetServiceStart('VKMusicUpdateService', 4);
StopService('VKMusicUpdateService');
QuarantineFile('C:\Users\1\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\Users\1\AppData\Local\Temp\lwpbv.exe','');
QuarantineFile('C:\Users\1\AppData\Roaming\Mediahit\MediaHitUpd\Mediahit.Update.Process.exe','');
QuarantineFile('C:\Users\1\AppData\Local\Temp\87.exe','');
QuarantineFile('C:\Users\1\AppData\Local\Microsoft\Extensions\safebrowser.exe.bat','');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe.bat','');
QuarantineFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat','');
QuarantineFile('C:\Program Files (x86)\ASUS\AsusVibe\AsusVibeLauncher.exe.bat','');
QuarantineFile('C:\Program Files (x86)\StartNow Toolbar\ToolbarUpdaterService.exe','');
QuarantineFile('c:\programdata\vkmusicupd\funspace.update.exe','');
QuarantineFile('C:\Windows\system32\drivers\{fef7f75c-f985-4250-96f9-8183cd04238b}Gw64.sys','');
DeleteFile('C:\Windows\system32\drivers\{fef7f75c-f985-4250-96f9-8183cd04238b}Gw64.sys','32');
DeleteFile('C:\ProgramData\VKMusicUpd\FunSpace.Update.exe','32');
DeleteFile('C:\Program Files (x86)\StartNow Toolbar\ToolbarUpdaterService.exe','32');
DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
DeleteFile('C:\Program Files (x86)\ASUS\AsusVibe\AsusVibeLauncher.exe.bat','32');
DeleteFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe.bat','32');
DeleteFile('C:\Users\1\AppData\Local\Microsoft\Extensions\safebrowser.exe.bat','32');
DeleteFile('C:\Users\1\AppData\Local\Temp\87.exe','32');
DeleteFile('C:\Users\1\AppData\Roaming\Mediahit\MediaHitUpd\Mediahit.Update.Process.exe','32');
DeleteFile('C:\Users\1\AppData\Local\Temp\lwpbv.exe','32');
DeleteFile('C:\Windows\Tasks\p5er.job','64');
DeleteFile('C:\Windows\system32\Tasks\ASP','64');
DeleteFile('C:\Windows\system32\Tasks\p5er','64');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
DeleteFile('C:\Users\1\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Updater');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Mediahit update process','command');
DeleteService('BAPIDRV');
DeleteService('Updater Service for StartNow Toolbar');
DeleteService('VKMusicUpdateService');
DeleteFileMask('c:\programdata\vkmusicupd', '*', true, ' ');
DeleteFileMask('C:\Users\1\AppData\Roaming\Mediahit', '*', true, ' ');
DeleteFileMask('C:\Users\1\AppData\Local\Microsoft\Extensions', '*', true, ' ');
DeleteDirectory('c:\programdata\vkmusicupd');
DeleteDirectory('C:\Users\1\AppData\Roaming\Mediahit');
DeleteDirectory('C:\Users\1\AppData\Local\Microsoft\Extensions');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d5d1503bd3f9ed91f9f9f441d9610d62&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d5d1503bd3f9ed91f9f9f441d9610d62&text={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://1kanal.org/?src=hp1
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d5d1503bd3f9ed91f9f9f441d9610d62&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d5d1503bd3f9ed91f9f9f441d9610d62&text=
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://qufontana.com/themes/fde.exg
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - Startup: Safebrowser.lnk = C:\Users\1\AppData\Local\Microsoft\Extensions\safebrowser.exe.bat

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[LIST=1][*]Скачайте [b][url=http://virusinfo.info/soft/tool.php?tool=FixerBro]FixerBro by glax 24[/url][/b] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]FixerBro[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы нажмите на кнопку [B]"Проверить"[/B][*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\FixerBro[/COLOR][/B] (лог в формате [b]FixerBro_yyyymmdd.txt[/b])[*]По окончанию сканирования нажмите на кнопку "[b]Отчет[/b]".[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]
16.10.2014, 08:12
Владик Осагин

Вложений: 5

Все сделал.. Новые логи:
17.10.2014, 00:55
mike 1

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[LIST=1][*]Запустите повторно [b][color="Blue"]FixerBro by glax24[/b][/color]. [INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать через правую кн. мыши [b]от имени администратора[/b], на [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]Нажмите на кнопку [b]"Проверить"[/b], а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку [b]Исправить[/b]. Дождитесь окончания удаления.

[code]
C:\Users\Public\Desktop\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1" - (Объект запуска не найден)]
C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe "http://google-poickcoms.ru" ]
C:\Users\1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1" - (Объект запуска не найден)]
C:\Users\1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe "http://google-poickcoms.ru" ]
C:\Users\1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\f4c81e200e049a9e\Yandex.lnk [C:\Users\1\AppData\Roaming\Browsers\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1" - (Объект запуска не найден)]
[/code]
[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [b][color="Blue"]C:\FixerBro[/b][/color]. (Лог в формате [b]FixerBro_yyyymmdd.txt[/b]).[*]По окончанию удаления нажмите на кнопку "[b]Отчет[/b]"[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

Удалите в браузере расширение desktopy.

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
17.10.2014, 10:12
Владик Осагин

Вложений: 5

Сделал все кроме "удалите desktopy".. ни в хроме ни в ИЕ не нашел его
17.10.2014, 14:53
mike 1

Удалите эти файлы и папки:

[QUOTE]
29.09.2014 19:08:06 ----D---- C:\Users\1\AppData\Roaming\Browsers
29.09.2014 18:32:14 ----A---- C:\Windows\System32\drivers\{fef7f75c-f985-4250-96f9-8183cd04238b}Gw64.sys - файл
29.09.2014 18:31:22 ----D---- C:\Program Files (x86)\360
29.09.2014 18:31:07 ----D---- C:\Users\1\AppData\Roaming\Pirates946
29.09.2014 18:29:33 ----D---- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MiPony
[/QUOTE]

Пересоздайте ярлык:

[QUOTE]C:\Users\Public\Desktop\ASUS Vibe Fun Center.lnk[/QUOTE]

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]
17.10.2014, 15:03
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\asus\asusvibe\asusvibelauncher.exe.bat - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] c:\program files (x86)\google\chrome\application\chrome.exe.bat - [B]Trojan-Clicker.BAT.Small.bo[/B] ( DrWEB: BAT.StartPage.42 )[*] c:\program files (x86)\kinoroom browser\kinoroom-browser.exe.bat - [B]Trojan-Clicker.BAT.Agent.an[/B][*] c:\programdata\vkmusicupd\funspace.update.exe - [B]not-a-virus:HEUR:Downloader.Win32.LMN.gen[/B][*] c:\users\1\appdata\local\microsoft\extensions\safebrowser.exe.bat - [B]Trojan-Clicker.BAT.Agent.an[/B][*] c:\users\1\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.m[/B] ( BitDefender: Trojan.Generic.11952734 )[*] c:\users\1\appdata\roaming\mediahit\mediahitupd\mediahit.update.process.exe - [B]not-a-virus:HEUR:Downloader.Win32.LMN.gen[/B] ( BitDefender: Adware.Generic.669314 )[/LIST][/LIST]