Вирус Just зашифровал 1664 файла [not-a-virus:AdWare.NSIS.Adwapper.do ]

Printable View

10.12.2014, 19:10
reigun227

Вложений: 3

Вирус Just зашифровал 1664 файла [not-a-virus:AdWare.NSIS.Adwapper.do ]

Вирус Just зашифровал 1664 файла.
В основном это *.JPG.
Во всех папках появился файл message.txt со следующим содержанием:
Узнать стоимость декриптора можно, написав письмо на адрес:[email protected]В теме письма укажите ваш ID:5121981765
Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.Вы можете их окончательно испортить и даже оригинальный дешифровщик не поможет.Обращения принимаются до 13.12.2014
После 13.12.2014 любые обращения будут игнорироваться. Письма обрабатываются автоматической системой.Возможны задержки ответов Заранее спасибо.
10.12.2014, 19:11
Info_bot

Уважаемый(ая) [B]reigun227[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.12.2014, 19:30
thyrex

CinemaP-1.3cV10.12 удалите через Установку программ

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Reigun\AppData\Roaming\HGQF.exe','');
QuarantineFile('C:\Users\Reigun\AppData\Roaming\GIQYHLF.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-6.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-4.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-3.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-2.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-11.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\CinemaP-1.3cV10.12-codedownloader.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076.exe','');
DelBHO('{11111111-1111-1111-1111-110611571181}');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\CinemaP-1.3cV10.12-bho.dll','');
TerminateProcessByName('c:\program files (x86)\cinemap-1.3cv10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-6.exe');
QuarantineFile('c:\program files (x86)\cinemap-1.3cv10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-6.exe','');
TerminateProcessByName('C:\Program Files (x86)\CinemaP-1.3cV10.12\0b4b17df-f18c-4ebc-a1d6-70773a860f82.exe');
QuarantineFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\0b4b17df-f18c-4ebc-a1d6-70773a860f82.exe','');
TerminateProcessByName('c:\program files (x86)\cinemap-1.3cv10.12\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076.exe');
QuarantineFile('c:\program files (x86)\cinemap-1.3cv10.12\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076.exe','');
DeleteFile('c:\program files (x86)\cinemap-1.3cv10.12\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\0b4b17df-f18c-4ebc-a1d6-70773a860f82.exe','32');
DeleteFile('c:\program files (x86)\cinemap-1.3cv10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-6.exe','32');
DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\CinemaP-1.3cV10.12-bho.dll','32');
DeleteFile('C:\Windows\Tasks\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076.job','64');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076.exe','32');
DeleteFile('C:\Windows\Tasks\0b4b17df-f18c-4ebc-a1d6-70773a860f82.job','64');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\CinemaP-1.3cV10.12-codedownloader.exe','32');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-1.job','64');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-11.job','64');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-11.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-2.exe','32');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-2.job','64');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-3.job','64');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-3.exe','32');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-4.job','64');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-4.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-5.exe','32');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-5.job','64');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-5_user.job','64');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaP-1.3cV10.12\335c4f0f-ecff-4f38-a4d3-29c987d614af-7.exe','32');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-7.job','64');
DeleteFile('C:\Windows\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-6.job','64');
DeleteFile('C:\Users\Reigun\AppData\Roaming\GIQYHLF.exe','32');
DeleteFile('C:\Windows\Tasks\GIQYHLF.job','64');
DeleteFile('C:\Windows\Tasks\HGQF.job','64');
DeleteFile('C:\Users\Reigun\AppData\Roaming\HGQF.exe','32');
DeleteFile('C:\Windows\system32\Tasks\0205dfd6-6ca5-4d2a-ad32-4b32e3aab076','64');
DeleteFile('C:\Windows\system32\Tasks\0b4b17df-f18c-4ebc-a1d6-70773a860f82','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-1','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-11','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-2','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-3','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-4','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-5','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-6','64');
DeleteFile('C:\Windows\system32\Tasks\335c4f0f-ecff-4f38-a4d3-29c987d614af-7','64');
DeleteFile('C:\Windows\system32\Tasks\GIQYHLF','64');
DeleteFile('C:\Windows\system32\Tasks\HGQF','64');
DeleteFileMask('C:\Program Files (x86)\CinemaP-1.3cV10.12', '*', true);
DeleteDirectory('C:\Program Files (x86)\CinemaP-1.3cV10.12');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
11.12.2014, 13:05
reigun227

Вложений: 3

Всё сделал, как вы сказали. Логи прикрепляю.
11.12.2014, 18:56
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
11.12.2014, 22:05
reigun227

Вложений: 3

Прикрепляю вложения. Всё по инструкциям.
12.12.2014, 10:53
thyrex

Поместите в карантин МВАМ всё, кроме
[CODE]Trojan.Agent.CK, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\TNod, , [cff8bba580fc50e615371369c4410000],

Folders: 6
PUP.Optional.OpenCandy, C:\Users\Reigun\AppData\Roaming\OpenCandy, , [ab1c7ee24d2f8ea80c1f4fcb1be860a0],
PUP.Optional.OpenCandy, C:\Users\Reigun\AppData\Roaming\OpenCandy\BEF457BA1E8B45FDB1589D67868CA54C, , [ab1c7ee24d2f8ea80c1f4fcb1be860a0],
PUP.Optional.OpenCandy, C:\Users\Reigun\AppData\Roaming\OpenCandy\C321392E57164B7E9698375994216F25, , [ab1c7ee24d2f8ea80c1f4fcb1be860a0],

Files: 29
PUP.Optional.DownloadAdmin, C:\Users\Reigun\Desktop\???µ ??????N????µN??¶???µ?? 696415.crdownload, , [31964a16d9a31f17b4d918407b8535cb],
Trojan.Agent.CK, C:\Program Files\TNod User & Password Finder\uninst-tnod.exe, , [cff8bba580fc50e615371369c4410000],
PUP.Optional.InstallCore, D:\???????˜??\soft\??????N??°N?\wrar510ru_inst2.exe, , [ac1b4d134735ca6cee330ab5fd0433cd],
PUP.RiskwareTool.CK, D:\Downloads\Adobe After Effects CS6 11.0.2.12\???µ???°N?N?N????°\amtlib.dll, , [eed9352b7efea78f0d7fa8c7aa5810f0],
PUP.Keygen.Intro, D:\Downloads\Adobe After Effects CS6 11.0.2.12\???µ???°N?N?N????°\Keygen\keygen-CORE\CORE10k.EXE, , [15b2dd83e19b8fa7d8990a02a65f07f9],
RiskWare.Tool.CK, D:\Downloads\Adobe After Effects CS6 11.0.2.12\???µ???°N?N?N????°\Keygen\keygen-CORE\keygen.exe, , [77500f511b613402b7485e80f30e639d],
PUP.RiskwareTool.CK, D:\Downloads\Adobe After Effects CS6 11.0.2.12\???µ???°N?N?N????°\Keygen\keygen-X-FORCE\xf-mccs6.exe, , [1daac29ef38972c4ccacb01ed42cf10f],
PUP.RiskwareTool.CK, D:\Downloads\Adobe After Effects CS6 Full + Crack x32 & x64\Patch\32bit\amtlib.dll, , [9334e8786a1211256625155a2bd78080],
PUP.RiskwareTool.CK, D:\Downloads\Adobe After Effects CS6 Full + Crack x32 & x64\Patch\64bit\amtlib.dll, , [8146045c91eb52e4aae2e78861a1eb15],
PUP.Optional.OpenCandy, D:\Downloads\DAEMON Tools Ultra 2.4.0.0280\Standalone\DAEMONToolsUltra240-0280.exe, , [5374d28eef8d5cda906d236d699cc63a],
RiskWare.Tool.HCK, D:\Downloads\Xilisoft Audio Converter Pro v6.5.0 Build-20131129 Final Ml_Rus\patch_BBB\Xilisoft.4Media.ImToo.Multipatch.v0.4-BBB.exe, , [6067223ec9b357df308f12635ea4a25e],
[/CODE]
12.12.2014, 11:33
reigun227

Разобрался. Поместил. Что дальше?
12.12.2014, 18:31
thyrex

Новые логи RSIT сделайте
14.12.2014, 14:13
reigun227

Вложений: 1

Прикрепляю новый лог
14.12.2014, 15:34
thyrex

Удалите вручную
[QUOTE]C:\Users\Reigun\AppData\Roaming\Super Optimizer
C:\Program Files (x86)\globalUpdate
C:\Program Files (x86)\Super Optimizer
C:\Program Files (x86)\GU Player[/QUOTE]

С расшифровкой не поможем
14.12.2014, 15:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\reigun\appdata\roaming\giqyhlf.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.do[/B] ( BitDefender: Gen:Application.Heur.Cv1@kuzlwgcO )[*] c:\users\reigun\appdata\roaming\hgqf.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.do[/B] ( BitDefender: Gen:Application.Heur.5v1@kSq5pEmO, AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]