Все файлы зашифровались в XTBL [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen, not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ]

Printable View

28.01.2015, 15:26
BloodMan

Вложений: 2

Все файлы зашифровались в XTBL [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen, not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ]

Включил утром компьютер, но все файлы (документы, картинаки, музыка, видео и прочее) оказались зашифрованы и переименованы в файлы расширения ".XTBL".На фоне рабочего стола рисунок с требованием отправить специальный код на [email][email protected][/email] или [email][email protected][/email], чтобы получить дальнейшие инструкции.Пример зашифрованного файла [url]http://www.fayloobmennik.net/4541018[/url]
28.01.2015, 15:28
Info_bot

Уважаемый(ая) [B]BloodMan[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
28.01.2015, 18:28
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
QuarantineFile('C:\Users\Admin\appdata\roaming\x11\engine.exe','');
QuarantineFile('C:\Users\Admin\appdata\roaming\etranslator\etranslator.exe','');
DelBHO('{7CE987D5-11B3-44FC-9C3D-03069360D462}');
DelBHO('{cfda5cac-9fdf-4b62-a646-863ee01a031f}');
DelBHO('{80056886-ac51-49d4-b659-e87017e5e1b2}');
DelBHO('{3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6}');
QuarantineFile('C:\Program Files (x86)\ccOpuNko\nuRBOHcduH5YrA.dll','');
QuarantineFile('C:\Program Files (x86)\adsuy\0lyGtiZi7qFQ0W.dll','');
QuarantineFile('C:\Users\Admin\AppData\Roaming\GetNowUpdater\update.0\bin\GetNowUpdater.exe','');
DeleteService('PirritDesktop');
QuarantineFile('C:\Users\Admin\AppData\Local\PirritSuggestor\PirritService.exe','');
QuarantineFile('C:\Users\Admin\AppData\Local\ced660ad8659b41c9a2ecef2fdd87e61\FormatKernelProgram.exe','');
DeleteService('FormatKernelProgram.exe');
DeleteService('9d409da061bee9f.exe');
QuarantineFile('C:\Users\Admin\AppData\Local\6141a8c2bf46d55ce89489d967b73a2f\9d409da061bee9f.exe','');
QuarantineFile('C:\Users\Admin\AppData\Local\fb9ec59501b866b56573d61b41fc2b36\32e5b4cac2c4d13.exe','');
DeleteService('32e5b4cac2c4d13.exe');
SetServiceStart('Update Service for advPlugin', 4);
DeleteService('Update Service for advPlugin');
QuarantineFile('C:\Program Files (x86)\VK Downloader\Interfaces32.dll','');
QuarantineFile('C:\Program Files (x86)\VK Downloader\Toolbar32.dll','');
TerminateProcessByName('c:\users\admin\appdata\roaming\ssleas.exe');
QuarantineFile('c:\users\admin\appdata\roaming\ssleas.exe','');
TerminateProcessByName('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe');
QuarantineFile('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe','');
TerminateProcessByName('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe');
QuarantineFile('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
TerminateProcessByName('c:\users\admin\appdata\roaming\cppredistx86.exe');
QuarantineFile('c:\users\admin\appdata\roaming\cppredistx86.exe','');
TerminateProcessByName('c:\program files (x86)\vk downloader\backgroundsingleton.exe');
QuarantineFile('c:\program files (x86)\vk downloader\backgroundsingleton.exe','');
DeleteFile('c:\program files (x86)\vk downloader\backgroundsingleton.exe','32');
DeleteFile('c:\users\admin\appdata\roaming\cppredistx86.exe','32');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe','32');
DeleteFile('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe','32');
DeleteFile('c:\users\admin\appdata\roaming\ssleas.exe','32');
DeleteFile('C:\Program Files (x86)\VK Downloader\Toolbar32.dll','32');
DeleteFile('C:\Program Files (x86)\VK Downloader\Interfaces32.dll','32');
DeleteFile('C:\Users\Admin\AppData\Local\fb9ec59501b866b56573d61b41fc2b36\32e5b4cac2c4d13.exe','32');
DeleteFile('C:\Users\Admin\AppData\Local\6141a8c2bf46d55ce89489d967b73a2f\9d409da061bee9f.exe','32');
DeleteFile('C:\Users\Admin\AppData\Local\ced660ad8659b41c9a2ecef2fdd87e61\FormatKernelProgram.exe','32');
DeleteFile('C:\Users\Admin\AppData\Local\PirritSuggestor\PirritService.exe','32');
DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
DeleteFile('C:\Program Files (x86)\eDealsPop\eDealsPop.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eDealsPop','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Admin\AppData\Roaming\GetNowUpdater\update.0\bin\GetNowUpdater.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GetNowUpdater','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CMD','command');
DeleteFile('C:\Program Files (x86)\adsuy\0lyGtiZi7qFQ0W.dll','32');
DeleteFile('C:\Program Files (x86)\ccOpuNko\nuRBOHcduH5YrA.dll','32');
DeleteFile('C:\Users\Admin\appdata\roaming\etranslator\etranslator.exe','32');
DeleteFile('C:\Users\Admin\appdata\roaming\x11\engine.exe','32');
DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
29.01.2015, 09:53
BloodMan

Вложений: 3

Логи

Логи
29.01.2015, 13:13
thyrex

Ну раз сами все впихнули в карантин МВАМ, тогда сделайте новый лог RSIT
29.01.2015, 13:51
BloodMan

[QUOTE=thyrex;1221378]Ну раз сами все впихнули в карантин МВАМ, тогда сделайте новый лог RSIT[/QUOTE]
Извиняюсь, я не понял что от меня требуется, я создал логи info и log после того как засунул все в карантин, или этого не надо было делать? можете объяснить поподробнее ? :)
29.01.2015, 16:10
thyrex

Пофиксите в HIJack
[CODE]R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.qone8.com/web/?type=ds&ts=1399088981&from=sien&uid=WDCXWD10EZEX-00RKKA0_WD-WMC1S057597375973&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.qone8.com/web/?type=ds&ts=1399088981&from=sien&uid=WDCXWD10EZEX-00RKKA0_WD-WMC1S057597375973&q={searchTerms}
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:28666[/CODE]

Удалите вручную
[QUOTE]C:\Program Files (x86)\WasteNoTime
C:\Program Files (x86)\CopUnkk
C:\Program Files (x86)\ccOpuNko
C:\Program Files (x86)\couinssave
C:\ProgramData\lmcmhamjahflhjlghlkogbphidjmgaig
C:\Program Files (x86)\adsuy
C:\Program Files (x86)\ccoinsaVe
C:\Program Files (x86)\TampaGeneration
C:\ProgramData\14921784604832167312
C:\Program Files (x86)\unIIsalues
C:\ProgramData\flflgmbccgcihbpjaidkklapjhdlckpc
C:\ProgramData\goffjdnfbdljhomfdbpccaildhnjjmlc
C:\ProgramData\{5cb70d60-4f15-8724-5cb7-70d604f13581}
C:\Users\Admin\AppData\Roaming\data13.dat
C:\Users\Admin\AppData\Roaming\VK Downloader
C:\Program Files (x86)\VK Downloader
C:\Users\Admin\AppData\Roaming\advPlugin
C:\Program Files (x86)\Аудио и видео скачивание
C:\Program Files (x86)\advPlugin
C:\Users\Admin\AppData\Roaming\x11
C:\Users\Admin\AppData\Roaming\etranslator[/QUOTE]
30.01.2015, 05:33
BloodMan

Я все сделал
30.01.2015, 09:53
thyrex

С расшифровкой не поможем

[url]http://virusinfo.info/announcement.php?f=46&a=52[/url]
30.01.2015, 10:03
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\vk downloader\toolbar32.dll - [B]not-a-virus:WebToolbar.Win32.Agent.bgn[/B][*] c:\program files (x86)\аудио и видео скачивание\ie\x86\downloader.dll - [B]not-a-virus:Downloader.Win32.Agent.cvyt[/B] ( DrWEB: Trojan.Admess.4, BitDefender: Trojan.GenericKD.1996586 )[*] c:\programdata\windows\csrss.exe - [B]Backdoor.Win32.Androm.gcuz[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\admin\appdata\roaming\cppredistx86.exe - [B]not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen[/B] ( DrWEB: Trojan.Siggen6.20589, BitDefender: Trojan.Generic.11510469, AVAST4: Win32:Agent-ATWQ [Trj] )[*] c:\users\admin\appdata\roaming\x11\engine.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.wzo[/B] ( DrWEB: Tool.BtcMine.479, BitDefender: Trojan.Generic.12296710 )[/LIST][/LIST]