Помогите пожалуйста! Зашифрованы файлы [not-a-virus:AdWare.NSIS.ConvertAd.xgw, Trojan.Win32.VBKryjetor.wqt ]

Printable View

09.12.2015, 22:57
Роберт Глухов

Вложений: 4

Помогите пожалуйста! Зашифрованы файлы [not-a-virus:AdWare.NSIS.ConvertAd.xgw, Trojan.Win32.VBKryjetor.wqt ]

[h=2]Помогите расшифровать файлы! Пожалуйста!
После получения почты с mail.ru было замечено изменение расширения файлов на рабочем столе. Все файлы оказались зашифрованы. Система была просканирована Dr.web на наличие вирусов, но файлы расшифровать не удалось. Сейчас, новые файлы, загружаемые на компьютер, остаются такие же, не зашифровываются. [COLOR=#555555][FONT=Arial] Вложил в сообщение файлы логов, полученных в процессе диагностики [/FONT][/COLOR][B](AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log). Заранее спасибо, очень надеюсь на вас.[/B][/h] Также во вложение вложил текстовые редакторы, которые прислали с зашифровкой, зашифрованные файлы сами, загружать сюда не хочет.
09.12.2015, 22:58
Info_bot

Уважаемый(ая) [B]Роберт Глухов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.12.2015, 22:39
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Robert\appdata\roaming\aspackage\aspackage.exe','');
QuarantineFile('C:\Users\Robert\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Users\Robert\AppData\Local\Balance Style\{0FE1A909-35F9-DEC1-3C8E-FE7A237FAB05}\ztnfpty.dll','');
QuarantineFile('C:\Users\Robert\AppData\Local\Balance Style\{0FE1A909-35F9-DEC1-3C8E-FE7A237FAB05}\BalanceStyle.dll','');
QuarantineFile('C:\Users\Robert\AppData\Local\sgyEIgRflCbDzu\XUaYccI1.bat','');
QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe','');
QuarantineFile('C:\Users\Robert\AppData\Local\Apworks\ttjwilmt.dll','');
QuarantineFile('C:\Users\Robert\AppData\Local\Ajjworks\ccgxoqvq.dll','');
SetServiceStart('nozefesy', 4);
DeleteService('nozefesy');
TerminateProcessByName('c:\program files\spacesoundpro\spacesoundpro.exe');
QuarantineFile('c:\program files\spacesoundpro\spacesoundpro.exe','');
TerminateProcessByName('c:\program files\feed notifier\notifier.exe');
QuarantineFile('c:\program files\feed notifier\notifier.exe','');
TerminateProcessByName('c:\program files\c2596078-1448809743-e111-b5f1-dc0ea13798fc\knsl5072.tmp');
QuarantineFile('c:\program files\c2596078-1448809743-e111-b5f1-dc0ea13798fc\knsl5072.tmp','');
TerminateProcessByName('c:\users\robert\appdata\local\ajjworks\5b9d8f58.exe');
QuarantineFile('c:\users\robert\appdata\local\ajjworks\5b9d8f58.exe','');
DeleteFile('c:\users\robert\appdata\local\ajjworks\5b9d8f58.exe','32');
DeleteFile('c:\program files\c2596078-1448809743-e111-b5f1-dc0ea13798fc\knsl5072.tmp','32');
DeleteFile('c:\program files\feed notifier\notifier.exe','32');
DeleteFile('c:\program files\spacesoundpro\spacesoundpro.exe','32');
DeleteFile('C:\Users\Robert\AppData\Local\Ajjworks\ccgxoqvq.dll','32');
DeleteFile('C:\Users\Robert\AppData\Local\Apworks\ttjwilmt.dll','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Apworks');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Orics');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ajjworks');
DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Timestasks');
DeleteFile('C:\Users\Robert\AppData\Local\sgyEIgRflCbDzu\XUaYccI1.bat','32');
DeleteFile('C:\Users\Robert\AppData\Local\Balance Style\{0FE1A909-35F9-DEC1-3C8E-FE7A237FAB05}\BalanceStyle.dll','32');
DeleteFile('C:\Users\Robert\AppData\Local\Balance Style\{0FE1A909-35F9-DEC1-3C8E-FE7A237FAB05}\ztnfpty.dll','32');
DeleteFile('C:\Windows\system32\Tasks\Balance Style2','32');
DeleteFile('C:\Windows\system32\Tasks\Balance Style','32');
DeleteFile('C:\Users\Robert\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','32');
DeleteFile('C:\Users\Robert\appdata\roaming\aspackage\aspackage.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
12.12.2015, 00:16
Роберт Глухов

Вложений: 3

Вот:
12.12.2015, 22:21
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
13.12.2015, 09:47
Роберт Глухов

Вложений: 1

Вот:
14.12.2015, 20:14
thyrex

Удалите в МВАМ все, [B]кроме[/B]
[CODE]HackTool.Agent, C:\Program Files\Microsoft Office\KMS\mKMSAct.exe, , [1e17a7fd3f4c0f27e0e8cba21ce57d83],
HackTool.Agent, C:\Program Files\Microsoft Office\KMS\mKMSAct_rus.exe, , [8fa6772d6229ec4a9a2ec6a7f50c6799], [/CODE]
15.12.2015, 18:44
Роберт Глухов

То есть удалить все то, что у меня в карантине? Или заново просканировать и удалить, кроме этих двух файлов?
15.12.2015, 19:08
thyrex

Сканировать заново и удалить, кроме этих двух файлов
16.12.2015, 08:37
Роберт Глухов

Сделал
16.12.2015, 21:52
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
17.12.2015, 22:51
Роберт Глухов

Вложений: 2

Вот:
18.12.2015, 18:56
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
ShellIconOverlayIdentifiers: [ SkyDrive1] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => No File
ShellIconOverlayIdentifiers: [ SkyDrive2] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => No File
ShellIconOverlayIdentifiers: [ SkyDrive3] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => No File
ShellIconOverlayIdentifiers: [KAVOverlayIcon] -> {014F27E2-6D75-4E42-A0E9-2A2C68498AFA} => No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
Toolbar: HKU\S-1-5-21-3823949570-350471123-3175724221-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
FF Extension: No Name - C:\Program Files\MediaPlayerV1\MediaPlayerV1alpha3141\ff [not found]
FF Extension: No Name - C:\Program Files\MediaViewerV1\MediaViewerV1alpha742\ff [not found]
FF Extension: No Name - C:\Program Files\MediaViewV1\MediaViewV1alpha2125\ff [not found]
FF Extension: No Name - C:\Program Files\MediaBuzzV1\MediaBuzzV1mode651\ff [not found]
FF Extension: No Name - C:\Program Files\RichMediaViewV1\RichMediaViewV1release3745\ff [not found]
FF Extension: No Name - C:\Program Files\TrustMediaViewerV1\TrustMediaViewerV1alpha4896\ff [not found]
FF Extension: No Name - C:\Users\Robert\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: Screeny - C:\Users\Robert\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{17238372-3743-33ab-8a9f-93722af74c79} [2014-02-05] [not signed]
CHR HomePage: Default -> hxxp://www.key-find.com/?type=hppp&ts=1423079640&from=cor&uid=TOSHIBAXMK6475GSX_22R3S037SXX22R3S037S
CHR StartupUrls: Default -> "hxxp://www.key-find.com/?type=hppp&ts=1423079640&from=cor&uid=TOSHIBAXMK6475GSX_22R3S037SXX22R3S037S"
CHR DefaultSearchURL: Default -> hxxp://www.istartpageing.com/web/?type=ds&ts=1448908031&z=70179a1af6a1c7575c09994gezbz0b3t4e1bce5c3e&from=cmi&uid=TOSHIBAXMK6475GSX_22R3S037SXX22R3S037S&q={searchTerms}
CHR DefaultSearchKeyword: Default -> istartpageing
StartMenuInternet: (HKLM) Opera - C:\Program Files\Opera\Opera.exe hxxp://isearch.omiga-plus.com/?type=sc&ts=1415114605&from=tugs&uid=TOSHIBAXMK6475GSX_22R3S037SXX22R3S037S
2015-12-05 13:44 - 2015-12-05 13:44 - 00000000 ____D C:\ProgramData\qpKmhMIZqefjor
2015-12-05 00:21 - 2015-12-05 00:21 - 00000000 ____D C:\Users\Все пользователи\jVSyvByMvoLkS
2015-12-05 00:21 - 2015-12-05 00:21 - 00000000 ____D C:\ProgramData\jVSyvByMvoLkS
2015-12-05 00:02 - 2015-12-05 00:02 - 00000000 ____D C:\Users\Все пользователи\nSoBfEkMhquW
2015-12-05 00:02 - 2015-12-05 00:02 - 00000000 ____D C:\Users\Все пользователи\ITgunPeXu
2015-12-05 00:02 - 2015-12-05 00:02 - 00000000 ____D C:\ProgramData\nSoBfEkMhquW
2015-12-05 00:02 - 2015-12-05 00:02 - 00000000 ____D C:\ProgramData\ITgunPeXu
2015-12-04 23:27 - 2015-12-11 22:48 - 00000000 ____D C:\Users\Robert\AppData\Local\Apworks
2015-12-04 23:26 - 2015-12-16 08:32 - 00000000 ____D C:\Users\Robert\AppData\Local\Ajjworks
2015-12-04 23:25 - 2015-12-04 23:25 - 03148854 _____ C:\Users\Robert\AppData\Roaming\C17C2341C17C2341.bmp
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README9.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README8.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README7.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README6.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README5.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README4.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README3.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README2.txt
2015-12-04 23:25 - 2015-12-04 23:25 - 00000839 _____ C:\Users\Robert\Desktop\README10.txt
2015-12-04 20:04 - 2015-12-05 16:53 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-12-04 20:04 - 2015-12-05 16:53 - 00000000 __SHD C:\ProgramData\Windows
2015-12-04 20:00 - 2015-12-04 20:00 - 00000000 ____D C:\Users\Все пользователи\hVpJztvJie
2015-12-04 20:00 - 2015-12-04 20:00 - 00000000 ____D C:\ProgramData\hVpJztvJie
2015-12-04 14:43 - 2015-12-04 14:43 - 00000000 ____D C:\Users\Все пользователи\ewxzMhAgSyxfVh
2015-12-04 14:43 - 2015-12-04 14:43 - 00000000 ____D C:\ProgramData\ewxzMhAgSyxfVh
2015-12-04 10:42 - 2015-12-04 10:42 - 00000000 ____D C:\Users\Все пользователи\wgwQEvmB
2015-12-04 10:42 - 2015-12-04 10:42 - 00000000 ____D C:\Users\Все пользователи\OfBXBoIvGwjZSY
2015-12-04 10:42 - 2015-12-04 10:42 - 00000000 ____D C:\ProgramData\wgwQEvmB
2015-12-04 10:42 - 2015-12-04 10:42 - 00000000 ____D C:\ProgramData\OfBXBoIvGwjZSY
2015-12-03 21:28 - 2015-12-03 21:28 - 00000000 ____D C:\Users\Robert\AppData\Roaming\cpuminer
2015-12-03 21:26 - 2015-12-05 00:00 - 00000008 _____ C:\END
2015-12-03 20:20 - 2015-12-03 20:20 - 00000000 ____D C:\Users\Все пользователи\KGFjyqN
2015-12-03 20:20 - 2015-12-03 20:20 - 00000000 ____D C:\ProgramData\KGFjyqN
2015-12-03 16:12 - 2015-12-03 16:12 - 00000000 ____D C:\Users\Все пользователи\MTVhYQE
2015-12-03 16:12 - 2015-12-03 16:12 - 00000000 ____D C:\ProgramData\MTVhYQE
2015-12-03 12:12 - 2015-12-03 12:12 - 00000000 ____D C:\Users\Все пользователи\mCTjfkykJSUdrq
2015-12-03 12:12 - 2015-12-03 12:12 - 00000000 ____D C:\ProgramData\mCTjfkykJSUdrq
2015-12-03 09:00 - 2015-12-03 09:00 - 00000000 ____D C:\Users\Все пользователи\nimnJb
2015-12-03 09:00 - 2015-12-03 09:00 - 00000000 ____D C:\ProgramData\nimnJb
2015-12-03 00:01 - 2015-12-03 00:01 - 00000000 ____D C:\Users\Все пользователи\lckJqRRlkumjk
2015-12-03 00:01 - 2015-12-03 00:01 - 00000000 ____D C:\ProgramData\lckJqRRlkumjk
2015-12-02 20:00 - 2015-12-02 20:00 - 00000000 ____D C:\Users\Все пользователи\kOdsTPl
2015-12-02 20:00 - 2015-12-02 20:00 - 00000000 ____D C:\ProgramData\kOdsTPl
2015-12-02 19:59 - 2015-12-02 19:59 - 00000000 ____D C:\Users\Все пользователи\BMMoguxOmt
2015-12-02 19:59 - 2015-12-02 19:59 - 00000000 ____D C:\ProgramData\BMMoguxOmt
2015-12-01 22:13 - 2015-12-01 22:13 - 00000000 ____D C:\Users\Все пользователи\KKUjWk
2015-12-01 22:13 - 2015-12-01 22:13 - 00000000 ____D C:\ProgramData\KKUjWk
2015-12-01 18:13 - 2015-12-01 18:13 - 00000000 ____D C:\Users\Все пользователи\liRropPXKpmPO
2015-12-01 18:13 - 2015-12-01 18:13 - 00000000 ____D C:\ProgramData\liRropPXKpmPO
2015-12-01 06:21 - 2015-12-01 06:21 - 00000000 ____D C:\Users\Все пользователи\zGkueaiJrAnFDMg
2015-12-01 06:21 - 2015-12-01 06:21 - 00000000 ____D C:\ProgramData\zGkueaiJrAnFDMg
2015-12-01 00:18 - 2015-12-01 00:18 - 00000000 ____D C:\Users\Все пользователи\WWGHTo
2015-12-01 00:18 - 2015-12-01 00:18 - 00000000 ____D C:\ProgramData\WWGHTo
2015-11-30 20:18 - 2015-11-30 20:18 - 00000000 ____D C:\Users\Все пользователи\eLvKd
2015-11-30 20:18 - 2015-11-30 20:18 - 00000000 ____D C:\ProgramData\eLvKd
2015-11-30 20:17 - 2015-11-30 20:17 - 00000000 ____D C:\Users\Все пользователи\INOUMQy
2015-11-30 20:17 - 2015-11-30 20:17 - 00000000 ____D C:\ProgramData\INOUMQy
2015-11-29 22:07 - 2015-11-29 22:07 - 00000000 ____D C:\Users\Все пользователи\KvrCdwl
2015-11-29 22:07 - 2015-11-29 22:07 - 00000000 ____D C:\Users\Все пользователи\akNTkIeD
2015-11-29 22:07 - 2015-11-29 22:07 - 00000000 ____D C:\ProgramData\KvrCdwl
2015-11-29 22:07 - 2015-11-29 22:07 - 00000000 ____D C:\ProgramData\akNTkIeD
2015-11-29 18:10 - 2015-11-29 18:10 - 00000177 _____ C:\Users\Robert\Desktop\Искать в Интернете.url
2015-11-29 18:09 - 2015-12-11 22:39 - 00000000 ____D C:\Users\Robert\AppData\Roaming\ASPackage
2015-11-29 18:09 - 2013-11-18 20:30 - 00000898 _____ C:\Windows\system32\Drivers\etc\hp.bak
2015-11-29 18:08 - 2015-12-16 08:34 - 00000933 _____ C:\Users\Robert\Desktop\Calculator.lnk
2015-11-29 18:08 - 2015-12-11 22:39 - 00000000 ____D C:\Users\Robert\AppData\Local\sgyEIgRflCbDzu
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\Users\Все пользователи\WPMjJiiP
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\Users\Все пользователи\UcrCfg
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\Users\Все пользователи\gCYWyhXYIS
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\Users\Все пользователи\aJEhyOVi
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\Users\Robert\AppData\Roaming\Calculator
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\ProgramData\WPMjJiiP
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\ProgramData\UcrCfg
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\ProgramData\gCYWyhXYIS
2015-11-29 18:08 - 2015-11-29 18:08 - 00000000 ____D C:\ProgramData\aJEhyOVi
2015-11-29 18:07 - 2015-12-01 18:17 - 00000000 ____D C:\Users\Robert\AppData\Local\Amigo
2015-11-29 18:06 - 2015-12-05 20:31 - 00000000 ____D C:\Program Files\Manager
C:\Users\Robert\AppData\Local\Temp\nsk2A1F.tmp.exe
C:\Users\Robert\AppData\Local\Temp\nsoCF43.tmp.exe
C:\Users\Robert\AppData\Local\Temp\nsyF949.tmp.exe
C:\Users\Robert\AppData\Local\Temp\A54B22DE-E883-A7D1-AF19-F49E0459FC50.exe
C:\Users\Robert\AppData\Local\Temp\amigo_setup.exe
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{08244EE6-92F0-47F2-9FC9-929BAA2E7235}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{16F3DD56-1AF5-4347-846D-7C10C4192619}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{2916C86E-86A6-43FE-8112-43ABE6BF8DCC}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{4E77131D-3629-431C-9818-C5679DC83E81}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{920E6DB1-9907-4370-B3A0-BAFC03D81399}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{99FD978C-D287-4F50-827F-B2C658EDA8E7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{AB5C5600-7E6E-4B06-9197-9ECEF74D31CC}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3823949570-350471123-3175724221-1000_Classes\CLSID\{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}\InprocServer32 -> no filepath
Task: {0B1065E8-7408-4069-A812-927595151F4D} - \PC Performer Logon Scan -> No File <==== ATTENTION
Task: {0EB45953-38BF-4BC6-BC7B-100030B1E1C9} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {6C3FE404-0767-4F79-82AA-540B0EBC5ACD} - System32\Tasks\WinThruster => C:\Program Files\WinThruster\WinThruster.exe <==== ATTENTION
Task: {794B8EC7-8BB4-43AC-A33B-38EB2E6E59F0} - \SmartWeb Upgrade Trigger Task -> No File <==== ATTENTION
Task: {7CE2481F-3135-4C4F-993D-BD36FAA430A0} - \PC Performer Scheduled Scan -> No File <==== ATTENTION
Task: {868DD50A-DA19-4658-9646-B476FFA2CF9D} - System32\Tasks\WinThruster_UPDATES => C:\Program Files\WinThruster\WinThruster.exe <==== ATTENTION
Task: {A5940016-3299-4967-A131-8D82FAFD6ECF} - System32\Tasks\WinThruster_DEFAULT => C:\Program Files\WinThruster\WinThruster.exe <==== ATTENTION
Task: {C7BCD8EA-244B-4B47-883E-629C28DFD0CF} - \Balance Style -> No File <==== ATTENTION
Task: {D682322B-538F-4614-B0E4-341688B63798} - \Balance Style2 -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
AlternateDataStreams: C:\Users\Robert\Local Settings:wa
AlternateDataStreams: C:\Users\Robert\Desktop\5vI382Qt4XWTA8wqUetuWCF-jnHakLN2A3V88eHxgDA=.D619E1B89A32FB198DD2.breaking_bad:3or4kl4x13tuuug3Byamue2s4b
AlternateDataStreams: C:\Users\Robert\Desktop\5vI382Qt4XWTA8wqUetuWCF-jnHakLN2A3V88eHxgDA=.D619E1B89A32FB198DD2.breaking_bad:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}
AlternateDataStreams: C:\Users\Robert\Desktop\87nweZIBfM8ZteE9s6KONrVJvIquPX-zM188KVpazX4=.D619E1B89A32FB198DD2.breaking_bad:3or4kl4x13tuuug3Byamue2s4b
AlternateDataStreams: C:\Users\Robert\Desktop\87nweZIBfM8ZteE9s6KONrVJvIquPX-zM188KVpazX4=.D619E1B89A32FB198DD2.breaking_bad:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}
AlternateDataStreams: C:\Users\Robert\Desktop\W-91NiSnT3wtJrTvJhyJ7ejYEku4PZZcKkaAQjsc7UE=.D619E1B89A32FB198DD2.breaking_bad:3or4kl4x13tuuug3Byamue2s4b
AlternateDataStreams: C:\Users\Robert\Desktop\W-91NiSnT3wtJrTvJhyJ7ejYEku4PZZcKkaAQjsc7UE=.D619E1B89A32FB198DD2.breaking_bad:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d}
AlternateDataStreams: C:\Users\Robert\AppData\Local:wa
AlternateDataStreams: C:\Users\Robert\AppData\Local\Application Data:wa
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
18.12.2015, 21:08
Роберт Глухов

Вложений: 1

Вот:
После перезагрузки я заметил, что какие-то файлы с рабочего стола удалились.
19.12.2015, 07:56
thyrex

С расшифровкой не поможем
19.12.2015, 08:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]34[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\robert\appdata\local\ajjworks\ccgxoqvq.dll - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.38436, AVAST4: Win32:Malware-gen )[*] c:\users\robert\appdata\local\ajjworks\5b9d8f58.exe - [B]Trojan.Win32.VBKryjetor.wqt[/B] ( BitDefender: Gen:Variant.Symmi.39147, AVAST4: Win32:Malware-gen )[*] c:\users\robert\appdata\local\apworks\ttjwilmt.dll - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.38296, AVAST4: Win32:Malware-gen )[*] c:\users\robert\appdata\roaming\aspackage\aspackage.exe - [B]not-a-virus:AdWare.NSIS.ConvertAd.xgw[/B] ( AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]