Помогите, нужна помощь! &am p;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;q uot; В

[COLOR=#333333][FONT=arial]Вечером я столкнулся с такой проблемой: Я играл в видео-игру, как вдруг она вылетела, у меня высветился рабочий стол, на котором написано это: "Внимание! Все важные файлы на всех дисках с вашего ПК были зашифрованы. Подробности вы можете прочитать в файлах Readme.txt,которые можно найти на любом из дисков. Ну, я открыл этот .txt,где было написано: [/FONT][/COLOR]

[COLOR=#333333][FONT=arial]Ваши файлы были зашифрованы.[/FONT][/COLOR]
[COLOR=#333333][FONT=arial]Чтобы расшифровать их, Вам необходимо отправить код:[/FONT][/COLOR]
[COLOR=#333333][FONT=arial]7FA2F2D94F81F6E027C4|0[/FONT][/COLOR]
[COLOR=#333333][FONT=arial]на электронный адрес [email][email protected][/email] или [email][email protected][/email] .[/FONT][/COLOR]
[COLOR=#333333][FONT=arial]Далее вы получите все необходимые инструкции. [/FONT][/COLOR]
[COLOR=#333333][FONT=arial]Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.[/FONT][/COLOR]

[COLOR=#333333][FONT=arial]Естественно я знаю, что если я отправлю им этот код, они мне вышлют инструкцию как сходить к банкомату и положить им денег. Потом, якобы, они мне дадут расшифровщик (Хотя не факт что дадут, гарантий никаких нет. А я не из богатой семьи, чтобы раздавать деньги каким-то жалким мошенникам). Но на самом деле важных файлов у меня нет, ибо я знаю все эту вакханалию с вирусами. Использую ПК чисто для того, чтобы пообщаться, поиграть. [/FONT][/COLOR]

[COLOR=#333333][FONT=arial]Лазил на всех форумах, помощи не нашел. Советовали мне обратиться на форум Dr.Web,скинуть им 2 файла Потом я узнал, что это не бесплатно и придется покупать их антивирус. Кстати, файлы он шифрует в расширение .xtbl[/FONT][/COLOR]

[COLOR=#333333][FONT=arial]Скачал Dr.Web Cureit и решил просканировать ПК. В итоге он нашел 21 угроз.Я их не лечил/не удалял. Хочу узнать,нужно ли их лечить/удалять? Или это все может навредить?

[/FONT][/COLOR][ATTACH=CONFIG]523724[/ATTACH][ATTACH=CONFIG]523725[/ATTACH][ATTACH=CONFIG]523726[/ATTACH]

Уважаемый(ая) [B]Domis[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Вот логи.Zip архивы отправил в "Прислать запрошенный карантин"

[QUOTE=Domis;1211711]Вот логи.Zip архивы отправил в "Прислать запрошенный карантин"[/QUOTE]
А я просил что-то грузить по красной ссылке? >:(

Остальные логи выкладывайте в вашей теме.

Приношу свои извинения,первый раз у вас на сайте...

Компьютер так загажен, что даже скрипт лень писать.

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserlnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы на рабочем столе будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

Загажен не то слово...

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

[NOTICE]
Если AdwCleaner повиснет при очистке, то тогда выполните очистку в безопасном режиме.
[/NOTICE]

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Готово.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://www.dropbox.com/s/fv5udu0pse3a82g/FRST_canned.png?dl=1[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]https://www.dropbox.com/s/bw0sjh213n7646i/FRST.png?dl=1[/img]

Готово.

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
() C:\Users\Samp\AppData\Roaming\cppredistx86.exe
() C:\ProgramData\Schedule\timetasks.exe
(Fpwgd Jqvrp) C:\ProgramData\Windows\csrss.exe
() C:\Users\Samp\AppData\Roaming\ssleas.exe
() C:\Users\Samp\AppData\Roaming\x11\engine.exe
HKLM-x32\...\Run: [ZaxarLoader] => "C:\Program Files (x86)\Zaxar\ZaxarLoader.exe" /verysilent
HKLM-x32\...\Run: [sCloudStatusCheck] => C:\ProgramData\Program status\scheck.exe [151040 2014-08-07] (Zaxar Ltd)
HKLM-x32\...\Run: [Schedule] => C:\ProgramData\Schedule\timetasks.exe [162816 2014-07-22] ()
HKLM-x32\...\Run: [ChromeExtensionUpdater] => C:\Users\Андрей\AppData\Local\extension\ChromeExtensionUpdater.exe [1946112 2014-09-13] ()
HKU\S-1-5-21-2052085383-3644012647-3568264177-1001\...\Run: [Client Server Runtime Subsystem] => C:\ProgramData\Windows\csrss.exe [887296 2015-01-14] (Fpwgd Jqvrp)
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\kbrowser-updater-utility.lnk
ShortcutTarget: kbrowser-updater-utility.lnk -> C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe (No File)
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO-x32: TinyBHO Class -> {00e71626-0bef-11dc-8314-0800200c9a66} -> No File
BHO-x32: Weatherbar x86 Class -> {17177FAA-3830-43D3-A70B-FDE532676B1E} -> No File
BHO-x32: No Name -> {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} -> No File
CHR Extension: (Стартовая — Яндекс) - C:\Users\Samp\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2015-01-01]
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - No Path
CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - No Path
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - No Path
R2 d3dadapter; C:\Windows\SysWOW64\d3dadapter.dll [183838 2014-03-04] () [File not signed]
R2 ir16_32; C:\Windows\SysWOW64\ir16_32.dll [337439 2010-11-20] () [File not signed]
R2 kbdmai; C:\Windows\SysWOW64\KBDMAI.dll [174625 2010-11-20] () [File not signed]
R2 wlanmgr; C:\Windows\SysWOW64\wlanmgr.dll [218643 2014-03-04] () [File not signed]
R2 BDMNetMon; C:\Windows\System32\DRIVERS\BDMNetMon.sys [109384 2014-06-19] (Baidu)
NETSVCx32: KBDMAI -> C:\Windows\SysWOW64\KBDMAI.dll ()
NETSVCx32: d3dadapter -> C:\Windows\SysWOW64\d3dadapter.dll ()
NETSVCx32: ir16_32 -> C:\Windows\SysWOW64\ir16_32.dll ()
NETSVCx32: wlanmgr -> C:\Windows\SysWOW64\wlanmgr.dll ()
2015-01-12 16:48 - 2015-01-12 16:48 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2015-01-12 16:48 - 2015-01-12 16:48 - 00000000 __SHD () C:\ProgramData\Windows
2015-01-10 13:24 - 2015-01-14 15:07 - 00442896 _____ () C:\Users\Samp\AppData\Roaming\data13.dat
2015-01-10 13:24 - 2015-01-14 15:07 - 00442880 _____ () C:\Users\Samp\AppData\Roaming\ssleas.exe
2014-12-26 23:55 - 2014-12-26 23:55 - 00004096 _____ () C:\Users\Все пользователи\tbythlfa.ktx
2014-12-26 23:55 - 2014-12-26 23:55 - 00004096 _____ () C:\ProgramData\tbythlfa.ktx
2014-12-26 23:41 - 2014-12-26 23:41 - 00005097 _____ () C:\Users\Все пользователи\hsqvmxbo.uxh
2014-12-26 23:41 - 2014-12-26 23:41 - 00005097 _____ () C:\ProgramData\hsqvmxbo.uxh
2014-12-26 23:26 - 2014-12-26 23:26 - 00004939 _____ () C:\Users\Все пользователи\cbkxtjjv.ukg
2014-12-26 23:26 - 2014-12-26 23:26 - 00004939 _____ () C:\ProgramData\cbkxtjjv.ukg
2014-12-26 22:56 - 2014-12-26 22:56 - 00005039 _____ () C:\Users\Все пользователи\wmzddnmb.cix
2014-12-26 22:56 - 2014-12-26 22:56 - 00005039 _____ () C:\ProgramData\wmzddnmb.cix
2014-12-22 14:44 - 2014-12-22 14:44 - 00000000 ____D () C:\Users\Samp\AppData\Roaming\x11
2014-12-20 21:52 - 2014-12-20 21:52 - 00000000 ____D () C:\Users\Samp\AppData\Roaming\x13
2014-12-19 20:00 - 2014-11-13 22:17 - 00428032 _____ () C:\Users\Samp\AppData\Roaming\cppredistx86.exe
2015-01-14 15:06 - 2014-08-18 11:48 - 00569836 _____ () C:\Windows\SysWOW64\ir16_32.dat
2015-01-14 15:06 - 2014-07-27 22:41 - 00000430 _____ () C:\Windows\Tasks\newSI_832602.job
2015-01-14 15:06 - 2014-07-27 22:41 - 00000422 _____ () C:\Windows\Tasks\newSI_4396.job
2015-01-14 15:06 - 2014-07-27 22:41 - 00000422 _____ () C:\Windows\Tasks\newSI_1799.job
Task: {0B1859C4-119C-48F8-BF88-2142C8ABD09D} - System32\Tasks\kbrowser-updater-utility => C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe
Task: {4EA7C790-6B7F-4559-A5C9-19A2F5C47EDF} - System32\Tasks\newSI_4396 => C:\Users\Андрей\AppData\Roaming\newSI_4396\s_inst.exe [2014-07-15] ()
Task: {8D110F0B-6082-4BCB-ADBD-9617AB3D9AB1} - System32\Tasks\newSI_1799 => C:\Users\Андрей\AppData\Roaming\newSI_1799\s_inst.exe [2014-07-02] ()
Task: {B1B27433-01AC-430A-8BF7-045C03C7FC21} - System32\Tasks\Safebrowser => C:\Users\Андрей\AppData\Local\Microsoft\Extensions\safebrowser.exe
Task: {BB40AD12-0E31-4366-8477-E9C429CD38A0} - System32\Tasks\newSI_832602 => C:\Users\Андрей\AppData\Roaming\newSI_832602\s_inst.exe [2014-07-15] ()
Task: C:\Windows\Tasks\newSI_1799.job => C:\Users\=4D59\AppData\Roaming\newSI_1799\s_inst.exe
Task: C:\Windows\Tasks\newSI_4396.job => C:\Users\=4D59\AppData\Roaming\newSI_4396\s_inst.exe
Task: C:\Windows\Tasks\newSI_832602.job => C:\Users\=4D59\AppData\Roaming\newSI_832602\s_inst.exe
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления [B][COLOR="#0000FF"]откажитесь[/COLOR][/B] от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]

Готово.

[QUOTE]
C:\FRST\Quarantine\C\Users\Все пользователи\Windows\csrss.exe
C:\Users\Samp\AppData\Local\Temp\202C.tmp
C:\Users\Samp\AppData\Local\Temp\5BA7.tmp
C:\Users\Samp\AppData\Local\Temp\C276.tmp
[/QUOTE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 5
HKCR\Typelib\{A8954909-1F0F-41A5-A7FA-3B376D69E226} (Trojan.BHO) -> Действие не было предпринято.
HKCR\Interface\{967A494A-6AEC-4555-9CAF-FA6EB00ACF91} (Trojan.BHO) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{83F2328D-0D6A-42B4-B0C4-02A929EDD4BE} (PUP.Optional.Highlightly) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\2BA01940-9A12-40CD-A9AD-F3E68C5E2918_is1 (Trojan.Agent) -> Действие не было предпринято.
HKLM\SOFTWARE\Highlightly (PUP.Optional.Highlightly) -> Действие не было предпринято.

Обнаруженные папки: 1
C:\Windows\System32\config\systemprofile\AppData\Local\XTRM Group Ltd\MySafeProxy (PUP.Optional.MySafeProxy.A) -> Действие не было предпринято.

Обнаруженные файлы: 53
C:\Users\Samp\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper_64.dll (Trojan.BHO) -> Действие не было предпринято.
C:\Program Files (x86)\14.11.2014 update\1e3f9a5c-2dae-4817-b2fe-d4774c972006.dll (PUP.Optional.Nova.A) -> Действие не было предпринято.
C:\Program Files (x86)\14.11.2014 update\ef0ef932-01b1-473d-a940-2c3a15fc9957.dll (PUP.Optional.Crossrider) -> Действие не было предпринято.
C:\Program Files (x86)\ef0ef932-01b1-473d-a940-2c3a15fc9957\9ece8453-29b7-4520-a60c-8718595e480e.dll (PUP.Optional.Nova.A) -> Действие не было предпринято.
C:\Program Files (x86)\ef0ef932-01b1-473d-a940-2c3a15fc9957\fafd3560-8950-4a6a-b7a2-df82e417e451.dll (PUP.Optional.Crossrider) -> Действие не было предпринято.
C:\Users\Samp\AppData\Local\Temp\202C.tmp (Trojan.MSIL.ED) -> Действие не было предпринято.
C:\Users\Samp\AppData\Local\Temp\5BA7.tmp (Trojan.MSIL.ED) -> Действие не было предпринято.
C:\Users\Samp\AppData\Local\Temp\C276.tmp (Trojan.MSIL.Agent) -> Действие не было предпринято.
C:\Users\Samp\AppData\Local\Temp\toolbar.exe (PUP.RuBar) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\BUMRP4FR\weather_toolbar[1].exe (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\H4LTBGLX\ZaxarSetup.4.001.28[1].exe (PUP.Optional.Zaxar.A) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\ZaxarSetup.4.001.28.exe (PUP.Optional.Zaxar.A) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\RarSFX0\starts.exe (Trojan.SMSHoax) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\{053EDD41-2261-49D2-ADA7-291BE4F1EA12}\Costmin KZ.exe (Adware.7Install) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\{2730DCBD-8A8F-4BB9-89AA-E3CE7092B1F7}\Launcher__2031_i1197680232_il1303193.exe (PUP.Optional.Amonetize) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\{2910939B-3C54-41C9-9FD3-5E285BF4FC22}\Launcher__2031_i1197684776_il1303193.exe (PUP.Optional.Amonetize) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\{68F9EF3D-65D3-4ABA-8622-00DB593FB96C}\Launcher__2031_i1197681322_il1303193.exe (PUP.Optional.Amonetize) -> Действие не было предпринято.
C:\Users\Андрей\AppData\Local\Temp\{BFC8DBAB-B5E9-48AA-82FD-37F16B75A175}\Launcher__2031_i1197687044_il1303193.exe (PUP.Optional.Amonetize) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Карантин отправил. Вот лог после удаления

[QUOTE]C:\Users\Samp\Desktop\Karantin\csrss.exe[/QUOTE]
Удалите. В остальном порядок в логах. С расшифровкой помочь не сможем.

Спасибо,что помогали.. Так проблема была в этом файле?

[QUOTE=Domis;1213480]Спасибо,что помогали.. Так проблема была в этом файле?[/QUOTE]
Это BackDoor через, который к вам удаленно зашли и запустили шифратор.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \csrss.exe - [B]Backdoor.Win32.Androm.fzss[/B] ( AVAST4: Win32:Malware-gen )[*] \c276.tmp - [B]Backdoor.Win32.Androm.fzss[/B] ( AVAST4: Win32:Malware-gen )[*] \202c.tmp - [B]Backdoor.Win32.Androm.fytb[/B] ( AVAST4: Win32:Malware-gen )[*] \5ba7.tmp - [B]Trojan-Ransom.Win32.Agent.iej[/B][/LIST][/LIST]