зашифрованы файлы [not-a-virus:AdWare.Win32.Tameko.a, not-a-virus:AdWare.Win32.Vopak.ast ]

Printable View

13.10.2015, 16:46
last-77

зашифрованы файлы [not-a-virus:AdWare.Win32.Tameko.a, not-a-virus:AdWare.Win32.Vopak.ast ]

Добрый день, на почту пришел архив, в котором был docx документ, после запуска каким то образом на комп накачалась тонна вирусов, и все файлы зашифровались в "57-ph2p-zOOyy9g4CR6j80TaNNDWriGjPzAjvSPupIIzZM0G3a304o8ojZ6bm5m2QuHfErcpVgPYHRSfGJ4Pw==.4DCC470ED697A814BA8F.xtbl".
Прошелся Dr.Web CureIt, отловил 280 вирусов (цельный зоопарк), с момента заражения ни разу не перезагружался, проблема в том что зараженный компьютер находится территориально далеко, и подключение производится через LiteManager, опасаюсь что после перезагрузки машина либо вообще не запустится, либо будут проблемы.
Что посоветуйте в данной ситуации?

зашифрованный файл: [url]http://rghost.ru/869YQwczv[/url]
13.10.2015, 16:47
Info_bot

Уважаемый(ая) [B]last-77[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
13.10.2015, 18:09
thyrex

[url]http://virusinfo.info/pravila.html[/url]
13.10.2015, 20:58
last-77

Вложений: 2

прикрепляю логи, а что делать с зашифрованным файлом? есть также карантин CureIt.
13.10.2015, 21:31
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\utility.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-6.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-4.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-3.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-10.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-1-6.exe','');
QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\a7hlgQ9S4cO2QEdxchwzJBRzR6.exe','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\Browsers\exe.emorhc.bat','');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe','');
QuarantineFile('C:\Users\Inga\AppData\Local\525FACDF-1435596428-3945-5A46-4250F5867446\bnsxEAE6.exe','');
QuarantineFile('C:\Program Files (x86)\Zaxar\timetasks.exe','');
QuarantineFile('C:\supermegabest\run_setup.bat','');
QuarantineFile('C:\Users\Inga\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Program Files (x86)\skinapp\skinapp.exe','');
QuarantineFile('C:\Users\Inga\AppData\Local\Screeny\Screeny.exe','');
QuarantineFile('C:\Users\Inga\AppData\Local\Kometa\kometaup.exe','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
QuarantineFile('C:\Program Files (x86)\Silver\Radio.exe','');
QuarantineFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','');
SetServiceStart('BDMWrench_x64', 4);
DeleteService('{e2590817-40ca-4d03-8e1f-67fd8517bae9}Gw64');
DeleteService('{11944e07-3e46-4956-b8c7-7e52c7a44c1d}Gw64');
DeleteService('wsfd_1_10_0_19');
DeleteService('skinapp');
DeleteService('qrnfd_1_10_0_13');
DeleteService('illsmixw');
DeleteService('eecuuicx');
DeleteService('msgyigid');
DeleteService('innfd_1_10_0_14');
DeleteService('BDSafeBrowser');
DeleteService('BDEnhanceBoost');
DeleteService('bd0004');
DeleteService('bd0002');
DeleteService('bd0001');
DeleteService('BDMWrench_x64');
QuarantineFile('C:\Windows\system32\drivers\{e2590817-40ca-4d03-8e1f-67fd8517bae9}Gw64.sys','');
QuarantineFile('C:\Windows\system32\drivers\{11944e07-3e46-4956-b8c7-7e52c7a44c1d}Gw64.sys','');
QuarantineFile('C:\Windows\system32\drivers\wsfd_1_10_0_19.sys','');
QuarantineFile('C:\Windows\system32\drivers\qrnfd_1_10_0_13.sys','');
QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
SetServiceStart('zejytose', 4);
DeleteService('zejytose');
DeleteService('buwomyre');
DeleteService('IHProtect Service');
DeleteService('qiqejyse');
DeleteService('soxocusy');
DeleteService('vicoqudu');
QuarantineFile('C:\Users\Inga\AppData\Roaming\525FACDF-1435585581-3945-5A46-4250F5867446\hnsc8E73.tmp','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\525FACDF-1431592022-3945-5A46-4250F5867446\hnsm7E4D.tmp','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\525FACDF-1431592022-3945-5A46-4250F5867446\nsm8E97.tmp','');
QuarantineFile('C:\Program Files (x86)\XTab\ProtectService.exe','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\525FACDF-1431592022-3945-5A46-4250F5867446\jnsg6493.tmp','');
QuarantineFile('C:\Users\Inga\AppData\Roaming\525FACDF-1435585581-3945-5A46-4250F5867446\jnsm747B.tmp','');
TerminateProcessByName('c:\users\inga\appdata\roaming\525facdf-1435585581-3945-5a46-4250f5867446\jnsm747b.tmp');
QuarantineFile('c:\users\inga\appdata\roaming\525facdf-1435585581-3945-5a46-4250f5867446\jnsm747b.tmp','');
DeleteFile('c:\users\inga\appdata\roaming\525facdf-1435585581-3945-5a46-4250f5867446\jnsm747b.tmp','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\525FACDF-1435585581-3945-5A46-4250F5867446\jnsm747B.tmp','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\525FACDF-1431592022-3945-5A46-4250F5867446\jnsg6493.tmp','32');
DeleteFile('C:\Program Files (x86)\XTab\ProtectService.exe','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\525FACDF-1431592022-3945-5A46-4250F5867446\nsm8E97.tmp','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\525FACDF-1431592022-3945-5A46-4250F5867446\hnsm7E4D.tmp','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\525FACDF-1435585581-3945-5A46-4250F5867446\hnsc8E73.tmp','32');
DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
DeleteFile('C:\Windows\system32\drivers\qrnfd_1_10_0_13.sys','32');
DeleteFile('C:\Windows\system32\drivers\wsfd_1_10_0_19.sys','32');
DeleteFile('C:\Windows\system32\drivers\{11944e07-3e46-4956-b8c7-7e52c7a44c1d}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{e2590817-40ca-4d03-8e1f-67fd8517bae9}Gw64.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench_x64.sys','32');
DeleteFile('C:\Windows\system32\drivers\skinapp.sys','32');
DeleteFile('C:\Windows\system32\drivers\illsmixw.sys','32');
DeleteFile('C:\Windows\system32\drivers\msgyigid.sys','32');
DeleteFile('C:\Windows\system32\drivers\eecuuicx.sys','32');
DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','32');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_F2056C8F5FEB99E0A0ABDBF2FE3B28F3');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\3.0.0.3971\baiduAnTray.exe','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\1.8.0.1255\baidusdTray.exe','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','32');
DeleteFile('C:\Users\Inga\AppData\Local\Kometa\kometaup.exe','32');
DeleteFile('C:\Users\Inga\AppData\Local\Screeny\Screeny.exe','32');
DeleteFile('C:\Program Files (x86)\skinapp\skinapp.exe','32');
DeleteFile('C:\Users\Inga\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
DeleteFile('C:\supermegabest\run_setup.bat','32');
DeleteFile('C:\Program Files (x86)\Zaxar\timetasks.exe','32');
DeleteFile('C:\Users\Inga\AppData\Local\525FACDF-1435596428-3945-5A46-4250F5867446\bnsxEAE6.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WinCheck','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SuperMegaBest','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SmartWeb','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\skinapp','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Screeny','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kometaup','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gpuminer','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baiduAnTray','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windesk Winsearch','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YSetupDel','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe','32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\Browsers\exe.emorhc.bat','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\Inga\AppData\Roaming\a7hlgQ9S4cO2QEdxchwzJBRzR6.exe','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\a7hlgQ9S4cO2QEdxchwzJBRzR6.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-1-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-1-7.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-10.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-3.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-4.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-5.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV29.06\bb78e436-568c-4b08-b806-6f5547cf2f29-7.exe','32');
DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\utility.exe','32');
DeleteFile('C:\Windows\Tasks\Crossbrowse.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-7.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-6.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-5_user.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-5.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-4.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-3.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-10_user.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-1-7.job','32');
DeleteFile('C:\Windows\Tasks\bb78e436-568c-4b08-b806-6f5547cf2f29-1-6.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
DeleteFile('C:\Windows\system32\Tasks\Crossbrowse','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
14.10.2015, 14:16
last-77

Вложений: 2

Свежие логи.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Лечении окончено?
Мне удалось просканить диск на наличие удаленных файлов (программа Active@ File Recovery, полное сканирование), много нашел, но проблема с именами и версиями - придется потратить время на сортировку, можно начинать процедуру восстановления, не боясь повторного шифрования?
14.10.2015, 22:05
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
15.10.2015, 13:25
last-77

Вложений: 1

лог MBAM
15.10.2015, 19:47
thyrex

Удалите в МВАМ все, [B]кроме[/B]
[CODE]RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291801136_738.jpg, , [bb24dd798dfe81b5e274e496c43d34cc],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291821312_954.jpg, , [ebf497bf74172511bc9afc7e778ada26],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291826504_5296.jpg, , [d20d3026f19a1323470fe09af01134cc],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291831368_8925.jpg, , [d30c4b0b4e3d0f2723337dfdfc051ce4],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291834072_865.jpg, , [c41bb3a3e6a5de589cba3e3cea1732ce],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291832384_2591.jpg, , [1ac583d30b80b383183ea5d529d85da3],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_291835904_840.jpg, , [ac3375e14f3cfe385105245602ffbf41],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_494985592_2791.jpg, , [e6f93d19404b0d295ef839418f7248b8],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_495026976_3518.jpg, , [2eb1f561b1da0a2c8fc7a3d77d8429d7],
RiskWare.ExtensionMismatch, C:\восстановление файлов\Изображения и Raw-файлы с камер\jpg\Found_495031096_849.jpg, , [e1fe8ec8cbc02313bb9bec8e44bd3dc3],
Backdoor.IRCBot, C:\Users\Inga\Desktop\Мои документы Инга\Загрузки\Microsoft_update_xp_cd_key.exe, , [7867e0765338fc3a46a30e14ba4a7e82],
PUP.Optional.BundleInstaller, C:\Users\Inga\Downloads\RadiocentSetupRU.exe, , [af30fb5b9cef69cde5b83a1ca35e01ff],
PUP.Optional.InstallCore, C:\Users\Inga\Downloads\DownloadManagerSetup.exe, , [b8274d098efd41f583b0fffded167987],
PUP.Optional.InstallCore, C:\Users\Inga\Downloads\Flash_Player_Setup(1).exe, , [69763f174a4174c22af24e3431d0926e],
PUP.Optional.InstallCore, C:\Users\Inga\Downloads\Flash_Player_Setup.exe, , [6976a2b4cbc0cf6741db285af70a5ca4], [/CODE]
15.10.2015, 21:15
last-77

сделал, полагаю лечение окончено? Что подскажите по дешифрованию файлов? К сожалению восстановление файлов как удаленных, не дало ожидаемых успехов, примерно половину восстановил, больше всего жаль pstшку от оутлука.
16.10.2015, 20:28
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
17.10.2015, 21:48
last-77

Вложений: 2

log
17.10.2015, 23:03
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM-x32\...\Run: [] => [X]
Toolbar: HKU\S-1-5-21-1445629868-1139995561-1433607722-1000 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
Toolbar: HKU\S-1-5-21-1445629868-1139995561-1433607722-1000 -> No Name - {B4EFB02B-CD4A-44B9-B5D9-AA486CDFFAB6} - No File
Toolbar: HKU\S-1-5-21-1445629868-1139995561-1433607722-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
2015-10-14 04:25 - 2015-10-14 04:25 - 04320054 _____ C:\Users\Inga\AppData\Roaming\75EB02FA75EB02FA.bmp
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README9.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README8.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README7.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README6.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README5.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README4.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README3.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README2.txt
2015-10-14 04:25 - 2015-10-14 04:25 - 00000907 _____ C:\Users\Inga\Desktop\README10.txt
2015-10-13 10:47 - 2015-10-14 05:58 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-10-13 10:47 - 2015-10-14 05:58 - 00000000 __SHD C:\ProgramData\Windows
2015-10-15 21:06 - 2015-05-14 12:25 - 00000000 ____D C:\Program Files (x86)\globalUpdate
2015-10-15 21:06 - 2012-12-07 16:32 - 00000000 ____D C:\Program Files (x86)\Conduit
2015-10-13 12:16 - 2013-10-17 11:04 - 00000000 ____D C:\Users\Inga\AppData\Local\SwvUpdater
2015-05-14 11:25 - 2011-04-23 03:38 - 0274784 ____H (WildTangent) C:\Program Files (x86)\lаunсhеr.bаt.exe
Task: {B362D02C-60F2-47D7-89F2-5EF461178C55} - \SmartWeb Upgrade Trigger Task -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
17.10.2015, 23:26
last-77

Вложений: 1

Fixlog.txt
19.10.2015, 20:20
thyrex

Лицензия на антивирус действующая?
20.10.2015, 09:06
last-77

да, только установил, но в процессе сканирования отключал.
20.10.2015, 21:21
thyrex

тогда пишите в вирлаб Лаборатории Касперского на [email][email protected][/email]
К обращению приложите номер действующей лицензии и зашифрованные файлы
20.10.2015, 21:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\windows\csrss.exe - [B]Trojan.Win32.Fsysna.cjca[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\inga\appdata\local\kometa\kometaup.exe - [B]not-a-virus:AdWare.Win32.Tameko.a[/B] ( BitDefender: Gen:Variant.Graftor.165927 )[*] c:\users\inga\appdata\roaming\525facdf-1435585581-3945-5a46-4250f5867446\hnsc8e73.tmp - [B]not-a-virus:AdWare.Win32.Vopak.ast[/B][*] c:\users\inga\appdata\roaming\525facdf-1435585581-3945-5a46-4250f5867446\jnsm747b.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.awz[/B] ( AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]