Вирус зашифровал все файлы [Backdoor.Win32.Androm.gxcf, P2P-Worm.Win32.Palevo.hrlt ]

Printable View

19.05.2015, 14:42
art200

Вложений: 2

Вирус зашифровал все файлы [Backdoor.Win32.Androm.gxcf, P2P-Worm.Win32.Palevo.hrlt ]

Добрый день!
Вирус зашифровал все файлы.
[U][COLOR=#0066cc]id-9661064547_btcpay
aol.com[/COLOR][/U]
Прошу помощи в расшифровке.
19.05.2015, 14:43
Info_bot

Уважаемый(ая) [B]art200[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.05.2015, 22:50
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\ProgramData\CreativeAudio\rjrwzmzis.exe','');
QuarantineFile('C:\ProgramData\bett2f00\rjrwzmzis.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\downloader.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\ssndii.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\splwow64.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\hh.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\HelpPane.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\ververyunique_dir_name\my_hsvlbynasd.exe','');
QuarantineFile('C:\Users\Администратор\Documents\CommonData\Winhlp31.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\onvbx\onvbx.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\Ashwhw.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\x2ed.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\rdpdzohzppl.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\KB08108339.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\KB04520955.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-319234\1aj384x.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-17814835\e8rvrg1.exe','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
QuarantineFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','');
QuarantineFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe','');
DeleteFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32');
DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-17814835\e8rvrg1.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-319234\1aj384x.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\KB04520955.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\KB08108339.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\rdpdzohzppl.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\x2ed.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftDfCnt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftSrCnt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftStCnt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','rdpdzohzppl.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftSfCnt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','KB04520955.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','a1b34j4');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ek8rrgg');
DeleteFile('C:\Users\Администратор\AppData\Local\ok.bat','32');
DeleteFile('C:\Users\Администратор\AppData\Local\vk.bat','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\Ashwhw.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\onvbx\onvbx.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ashwhw');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe','32');
DeleteFile('C:\Users\Администратор\Documents\CommonData\Winhlp31.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\ververyunique_dir_name\my_hsvlbynasd.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft AMP');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft AMP');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Winhlp31');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ssndii.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','splwow64.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','hh.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','HelpPane.exe');
DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\HelpPane.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\hh.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\splwow64.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\ssndii.exe','32');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
DeleteFile('C:\Windows\system32\Tasks\extsetup','64');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','64');
DeleteFile('C:\Windows\system32\Tasks\appdistrib','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft Downloader','64');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\downloader.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
DeleteFile('C:\ProgramData\bett2f00\rjrwzmzis.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x04200134','64');
DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC','64');
DeleteFile('C:\ProgramData\CreativeAudio\rjrwzmzis.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением темы.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]
20.05.2015, 09:18
art200

Вложений: 2

Вот новые логи

Добрый день!
Файл в карантин отправил, новыеи логи сделал
Зловреда еще на компе, так как вчерашние логи уже зашифрованы
20.05.2015, 18:53
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
21.05.2015, 10:01
art200

Вложений: 1

Проверил

Добрый день!
Сделал проверку, логи прикладываю.
21.05.2015, 21:03
thyrex

Удалите в МВАМ все найденное
26.05.2015, 11:27
art200

Добрый день!
Все сделано.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Подскажите как убрать из браузера (IE) рекламу казино вулкан?
И как убрать заставку-сообщение о шифровании файлов, которая появляется каждый раз при загрузке.
26.05.2015, 16:06
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
27.05.2015, 09:33
art200

Вложений: 2

Новые файлы

Добрый день!
Все сделано по инструкции
27.05.2015, 23:06
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKU\S-1-5-21-680076848-2757899757-79060170-500\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2871808 2011-02-25] (Microsoft Corporation) <==== ATTENTION
FF Plugin: @microsoft.com/GENUINE -> disabled No File
FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll No File
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-04-13]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\baohinapilmkigilbbbcccncoljkdpnd [2015-04-22]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhloflhklmhfpedakmangadcdofhnnoh [2015-03-06]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-12-09]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\fnbdnhhicmebfgdgglcdacdapkcihcoh [2015-01-30]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\gmbgaklkmjakoegficnlkhebmhkjfich [2015-03-26]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\kejbdjndbnbjgmefkgdddjlbokphdefk [2015-03-16]
OPR Extension: (SL for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-05-19]
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README9.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README8.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README7.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README6.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README5.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README4.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README3.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README2.txt
2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README10.txt
2015-05-19 13:14 - 2015-05-19 13:14 - 00310662 _____ () C:\Users\Администратор\AppData\Roaming\btcpay.bmp
2015-05-19 13:13 - 2015-05-20 09:02 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2014-12-10 10:13 - 2014-12-10 10:13 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\380A.exe
2014-09-23 12:16 - 2014-09-23 12:16 - 0000395 _____ () C:\Users\Администратор\AppData\Roaming\51D3.exe
2014-11-28 13:29 - 2014-11-28 13:29 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\81BC.exe
2014-11-25 09:39 - 2014-11-25 09:39 - 0000000 _____ () C:\Users\Администратор\AppData\Roaming\B39A.exe
2015-05-19 13:14 - 2015-05-19 13:14 - 0310662 _____ () C:\Users\Администратор\AppData\Roaming\btcpay.bmp
2014-09-23 12:02 - 2014-09-23 12:02 - 0000395 _____ () C:\Users\Администратор\AppData\Roaming\C08A.exe
2014-12-10 10:00 - 2014-12-10 10:00 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\D61A.exe
2014-09-25 10:01 - 2014-09-25 10:01 - 0000285 _____ () C:\Users\Администратор\AppData\Roaming\F2F7.exe
2014-11-26 13:19 - 2014-11-26 13:19 - 0016352 _____ () C:\Users\Администратор\AppData\Roaming\F3C8.exe
2015-05-20 07:52 - 2015-05-20 07:52 - 6220854 _____ () C:\Users\Администратор\AppData\Roaming\FDAC20D5FDAC20D5.bmp
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
27.05.2015, 23:16
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\windows\csrss.exe - [B]Backdoor.Win32.Androm.gxcf[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\администратор\appdata\roaming\microsoft\windows\start menu\programs\startup\svchost.exe - [B]P2P-Worm.Win32.Palevo.hrlt[/B] ( AVAST4: Win32:Trojan-gen )[/LIST][/LIST]