Файлы, заархивированные в cbf [not-a-virus:RiskTool.Win32.SearchProtect.a, Trojan-PSW.Win32.Ruftar.bcee ]

Printable View

16.02.2015, 12:30
Дмитрий Мышков

Вложений: 3

Файлы, заархивированные в cbf [not-a-virus:RiskTool.Win32.SearchProtect.a, Trojan-PSW.Win32.Ruftar.bcee ]

Имена стали примерно такого вида: ydgilortwybdhjloqtvyadfhlnpsvxzdgilnqsuwzbdfi.knq.id-{TVWXZAABCDEEFGHIJJKLMNNOPQRSSTUVWWXY-16.02.2015 [email]10@40@542148274}[email protected][/email]

example.zip - внутри один из зашифрованных документов.
Лечить компьютер пока не стал.
16.02.2015, 12:32
Info_bot

Уважаемый(ая) [B]Дмитрий Мышков[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.02.2015, 14:15
Дмитрий Мышков

Если нужно произвести лечение, просьба написать.
Не стал, мало ли - вдруг будет удален антивирем какой-либо файл, который понадобится при попытке восстановить файлы.
16.02.2015, 16:57
mike 1

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('D:\Users\007\AppData\Local\Temp\Adobe Flash Player\codec.exe','');
QuarantineFile('C:\PROGRA~2\SearchProtect\SearchProtect\bin\VC64Loader.dll','');
QuarantineFile('C:\PROGRA~2\SearchProtect\SearchProtect\bin\VC32Loader.dll','');
DeleteFile('C:\PROGRA~2\SearchProtect\SearchProtect\bin\VC32Loader.dll','32');
DeleteFile('C:\PROGRA~2\SearchProtect\SearchProtect\bin\VC64Loader.dll','32');
DeleteFile('D:\Users\007\AppData\Local\Temp\Adobe Flash Player\codec.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
ExecuteSysClean;
RebootWindows(true);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O20 - AppInit_DLLs: C:\PROGRA~2\SearchProtect\SearchProtect\bin\VC32Loader.dll

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/B92LqRQ.png[/img]
16.02.2015, 20:09
Дмитрий Мышков

Вложений: 3

Программа " Farbar Recovery Scan Tool" вылетает при начале сканирования. Лог ею создается, но на сколько он полный, не берусь судить.
разрядность этой app выбирал, исходя из разрядности своей ОС.

virus.zip отправил, нажав на ссылку "прислать запрошенный карантин", которая находится в заголовке этой темы, как и просили.

В евентлогах, при падении FRST, такая ошибка:
"Загрузка \??\C:\Windows\SysWow64\Drivers\uti3ndy3.sys заблокирована из-за несовместимости с данной системой. Обратитесь к поставщику программного обеспечения за совместимой версией драйвера."

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

2 [b]mike 1[/b]
Без шансов?
16.02.2015, 20:55
mike 1

[QUOTE]Программа " Farbar Recovery Scan Tool" вылетает при начале сканирования. Лог ею создается, но на сколько он полный, не берусь судить.[/QUOTE]
Сделайте скриншот ошибки. Утилита не пишет случайно, что "error line"?
16.02.2015, 21:40
Дмитрий Мышков

[URL=http://www.bild.me/bild.php?file=3094764______________2015-02-16___21.39.19.png] [IMG]http://s1.bild.me/bilder/120914/thumb_3094764______________2015-02-16___21.39.19.png[/IMG][/URL]
не. она вылетает, не помахав. винда, за нее, рассказывает, что вот так вот все плохо.
уведомлений потом от винды - евентлог в пред. моем посте:
"Загрузка \??\C:\Windows\SysWow64\Drivers\uti3ndy3.sys заблокирована из-за несовместимости с данной системой. Обратитесь к поставщику программного обеспечения за совместимой версией драйвера."
может, нужно прибить предварительно тот sys файл?
16.02.2015, 23:08
mike 1

Программу запускаете через контекстное меню проводника от имени Администратора?

[QUOTE]может, нужно прибить предварительно тот sys файл?[/QUOTE]
Это драйвер AVZ.
17.02.2015, 00:21
Дмитрий Мышков

[QUOTE=mike 1;1231290]Программу запускаете через контекстное меню проводника от имени Администратора?
[/QUOTE]

Да

[url]http://www.youtube.com/watch?v=Zdocgv3EE4s&spfreload=10[/url]
17.02.2015, 01:06
mike 1

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
17.02.2015, 01:15
Дмитрий Мышков

Распаковал в отдельный каталог, который был создан на рабочем столе.
Запустил исполняемый файл от имени администратора.
Выбрал сканирование за последние три месяца.
Нажал пуск
В самом конце сканирования программа вылетела:
[URL=http://www.bild.me][IMG]http://s1.bild.me/bilder/120914/1747545______________2015-02-17___1.12.53.png[/IMG][/URL]
17.02.2015, 01:37
mike 1

Ну тогда попробуем так.

[LIST][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]32 разрядная версия windows[/URL][/B], то скачайте [url="http://images.malwareremoval.com/random/RSIT.exe"]Random's System Information Tool (RSIT)[/url] [*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]64 разрядная версия windows[/URL][/B], то необходимо скачать эту версию [URL="http://images.malwareremoval.com/random/RSITx64.exe"]Random's System Information Tool(RSIT)x64[/URL][/LIST]
Запустите, выберите проверку файлов за последние три месяца и нажмите "Продолжить". Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=115256"]руководстве[/URL]
17.02.2015, 11:21
Дмитрий Мышков

Вложений: 2

да.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сделал
17.02.2015, 12:44
mike 1

Выполните скрипт в AVZ:

[CODE]
Procedure ScanDir(ADirName : string; AScanSubDir : boolean);
var FS : TFileSearch;
begin
ADirName := NormalDir(ADirName);
FS := TFileSearch.Create(nil);
FS.FindFirst(ADirName + '*.*');
while FS.Found do
begin
SetStatusBarText(ADirName + FS.FileName);
if FS.IsDir then
begin
if AScanSubDir and (FS.FileName <> '.') and (FS.FileName <> '..') then
ScanDir(ADirName + FS.FileName, AScanSubDir)
end
else
AddToLog(ADirName + FS.FileName + '__MD5= ' + CalkFileMD5(ADirName + FS.FileName)+ '__Size= '+ IntToStr(GetFileSize(ADirName + FS.FileName)));

FS.FindNext;
end;
FS.Free;
end;

begin
ClearLog;
ScanDir('C:\Program Files (x86)\Adobe Flash Player', true);
ScanDir('C:\Program Files (x86)\Письмо', true);
SaveLog(GetAVZDirectory + 'MD5&Size.txt');
end.
[/CODE]

прикрепите файл MD5&Size.txt из папки с AVZ.
17.02.2015, 19:08
Дмитрий Мышков

Вложений: 1

Сделал

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прикрепил файл MD5&Size.txt из папки с AVZ.
17.02.2015, 20:30
mike 1

[QUOTE]C:\Program Files (x86)\Adobe Flash Player
C:\Program Files (x86)\Письмо[/QUOTE]
Папки удаляйте. С расшифровкой не поможем. Обязательно смените все пароли.
17.02.2015, 23:40
Дмитрий Мышков

Все равно, Спасибо за помощь.
Не знаете, кто-нибудь вообще может помочь с этим вопросом? Помимо dr. web. те, пока им ключ шифрования не дашь, отказываются.
18.02.2015, 17:33
mike 1

[QUOTE=Дмитрий Мышков;1231832]Все равно, Спасибо за помощь.
Не знаете, кто-нибудь вообще может помочь с этим вопросом? Помимо dr. web. те, пока им ключ шифрования не дашь, отказываются.[/QUOTE]
Посмотрите эту [url]http://virusinfo.info/showthread.php?t=176901[/url] тему.
18.02.2015, 17:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\progra~2\searchprotect\searchprotect\bin\vc32loader.dll - [B]not-a-virus:RiskTool.Win32.SearchProtect.a[/B] ( BitDefender: Application.SearchProtect.AG )[*] c:\progra~2\searchprotect\searchprotect\bin\vc64loader.dll - [B]not-a-virus:RiskTool.Win32.SearchProtect.a[/B] ( BitDefender: Application.SearchProtect.AF )[*] d:\users\007\appdata\local\temp\adobe flash player\codec.exe - [B]Trojan-PSW.Win32.Ruftar.bcee[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]