Printable View
Вчера бухгатер получила письмо, открыла и началось!
1. Перестали открываться документы, переименовались в фалы вида:
inswbfjnrvaeimq.vze.id-{RVYBFIMPSVZCFJMPSWZCFJMPSWZCFJMPTWZC-20.11.2014 [email]12@49@521149630}[email protected][/email]
2. Слетела 1С. Выдает ошибку 70, 200, разрушен файл таблиц данных 1SSYSTEM
3. На рабочем столе вместо обоев - картинка с инструкцией по оплате.
Скрин прилагается вместе с логами.
P.S. письмо с вирем она с перепугу удалила :(
Уважаемый(ая) [B]advpost[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code] begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelBHO('{E33FF41E-53CB-4D93-885A-FFEFA04CD804}');
DelBHO('{BF1EC372-21A4-4DB3-8665-55024F7D50A6}');
QuarantineFile('D:\Program Files\Atarata Elements\ScriptHost.dll','');
QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
QuarantineFile('D:\Program Files\Adobe Flash Player\information.exe','');
DeleteFile('D:\Program Files\Adobe Flash Player\information.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
DeleteFile('D:\Program Files\Atarata Elements\ScriptHost.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=db87bdd7a9ca724c2f812eb39f1cb5eb&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=db87bdd7a9ca724c2f812eb39f1cb5eb&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=db87bdd7a9ca724c2f812eb39f1cb5eb&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=db87bdd7a9ca724c2f812eb39f1cb5eb&text=
O1 - Hosts: 184.82.252.233 m.ok.ru
O1 - Hosts: 184.82.252.233 www.odnoklassniki.ru
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=db87bdd7a9ca724c2f812eb39f1cb5eb&text=[/CODE]
Сделайте новые логи
Все сделал. Вот новые логи +логи RSIT
Содержимое папки D:\Program Files\Adobe Flash Player заархивируйте и прикрепите к сообщению
После этого папку удалите
В той папке 2 картинки и текстовый файл с содержимым:
{RVYBFIMPSVZCFJMPSWZCFJMPSWZCFJMPTWZC-20.11.2014 12@49@521149630}
{CRYPTFULLEND}
Это никак не поможет расшифровать документы?
Увы
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\program files\eset\tnod user & password finder\tnodup.exe - [B]HackTool.Win32.KeyFinder.j[/B] ( NOD32: Win32/RiskWare.HackAV.JA application )[/LIST][/LIST]