Здравствуйте, хэлперы!
Очень рассчитываю на вашу помощь!
Сегодня обнаружил зашифрованными все файлы *.doc, *.xls, *.rar, *.jpg и т.д.
Ссылка на примеры с зашифрованными файлами: [URL]https://yadi.sk/d/ICz0xDILe7sZ2[/URL]
Лечился антивирусом NOD32 Smart. Нашел вот это:
\AppData\Local\Temp\241900875.exe - Win32/Filecoder.DA троянская программа - очищен удалением - изолирован [1]
OS Win7, 64разр.
Если сможете помочь - буду молиться на вас и отблагодарю финансово.
Уважаемый(ая) [B]AlShoker[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Master\AppData\Local\Temp\driilrl.exe','');
DeleteFile('C:\Users\Master\AppData\Local\Temp\driilrl.exe','32');
DeleteFile('C:\Windows\system32\Tasks\qzrvuji','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Не удалось выполнить скрипт.
Делал от имени Администратора.
Комп перезагружался, но папка \avz4\Quarantine\2015-01-21 оставалась пустой.
В процессе выполнения скрипта были ошибки, посмотрите, пожалуйста скрин выполнения кода.
Попробовал через поиск на компе найти файл driilrl.exe - тоже не получилось. Нет такого файла.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Если поможет, могу прислать экзешник самого вируса: 241900875.exe
[quote="AlShoker;1216924"]могу прислать экзешник самого вируса: 241900875.exe[/quote]Присылайте архиве с паролем virus по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Ждем новые логи
Вирус выслал через "запрошенный карантин".
Уточните, пожалуйста:
Сделал обновление базы.
Перед выполнением в AVZ "Стандартного скрипта > №2", в "Области поиска" я включал чекбоксы на дисках С и D, но при выполнении скрипта чекбокс на диске D отключался сам. Когда оставлял чекбокс только на C, при выполнении чекбокс автоматом снимался с диска С.
Вариант, который я прислал с двумя выключенным чекбоксами.
[url]http://prntscr.com/5vj9lt[/url]
Толи баг, толи я что-то сделал не так?
Это нормальное поведение AVZ
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\PROGRA~3\Mozilla\lmwahmf.exe','');
DeleteFile('C:\PROGRA~3\Mozilla\lmwahmf.exe','32');
DeleteFile('C:\Windows\system32\Tasks\nggziml','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Добрый день!
Выполнил скрипт, но папка \avz4\Quarantine\2015-01-23 по прежнему пуста.
Возможно, в коде некорректно указана ссылка?
Таких папок и файлов нет на диске:
-------------------
QuarantineFile('C:\PROGRA~3\Mozilla\lmwahmf.exe','');
DeleteFile('C:\PROGRA~3\Mozilla\lmwahmf.exe','32');
DeleteFile('C:\Windows\system32\Tasks\nggziml','64');
-------------------
Добавить файл скрина загрузки через файловый менеджер не получилось (превыше лимит).
Выкладываю ссылку на скрин загрузки.
[url]http://prntscr.com/5w06bv[/url]
Может, что-то делаю не так?
Новые логи где?
Извините, думал без выполненного скрипта логи не нужны будут.
Новые логи в аттаче.
P.S. В Менеджере файлов лежит уже несколько старых файла с логами и картинками. Непонятно, как их удалить?
Плохого не видно
С расшифровкой не поможем
[url]http://virusinfo.info/announcement.php?f=46&a=52[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \241900875.exe - [B]Trojan.Win32.Vimditator.gkx[/B] ( AVAST4: Win32:Downloader-VQV [Trj] )[/LIST][/LIST]