Вирус зашифровал файлы *.DrWeb [not-a-virus:AdWare.Win32.Agent.jmas, not-a-virus:RiskTool.NSIS.Agent.kc]

Printable View

15.12.2015, 21:25
Artem Efremenko

Вложений: 3

Вирус зашифровал файлы *.DrWeb [not-a-virus:AdWare.Win32.Agent.jmas, not-a-virus:RiskTool.NSIS.Agent.kc]

Здравствуйте! Вирус зашифровал файлы. К расширению плюсует .DrWeb, но удаление его не помогает.

В каждой папке появился файл с текстом:

"Внимание! Все Ваши файлы зашифрованы!
Чтобы восстановить свои файлы и получить к ним доступ,
отправьте письмо на почту [email][email protected][/email] с текстом "Имя пароля расшифровки: Od77rci6".
Мы вышлем вам требования, а после их исполнения сам пароль и образец вируса в который нужно вводить прароль."

Примеры файлов во вложении.

Буду благодарен за помощь!
15.12.2015, 21:27
Info_bot

Уважаемый(ая) [B]Artem Efremenko[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
15.12.2015, 21:30
thyrex

[url]http://virusinfo.info/pravila.html[/url]

И перестаньте меня терзать в ЛС. В следующий раз отвечу, когда найду время для этого
15.12.2015, 22:40
Artem Efremenko

Прошу прощения, подумал, что и в личке вы ответите, когда найдете время. :) Логи добавил в изначальный пост. Спасибо!
16.12.2015, 21:36
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Артем\AppData\Local\Touch Style\xBin\TouchStyle.dll','');
QuarantineFile('C:\ProgramData\NrmVLWpvt\wBUQGcRiO5.bat','');
QuarantineFile('C:\ProgramData\TQRByaVS\vaOxSriRbz0.bat','');
QuarantineFile('C:\Program Files (x86)\punto.bat','');
QuarantineFile('C:\Users\Артем\AppData\Roaming\daemon2.exe','');
QuarantineFile('C:\Users\Артем\AppData\Local\mdndbhepfbopchbgmdchaoflagepmehg\config.json','');
QuarantineFile('C:\Users\Артем\AppData\Local\mdndbhepfbopchbgmdchaoflagepmehg\stub.exe','');
QuarantineFile('C:\Users\Артем\AppData\Local\coprofit\config.json','');
QuarantineFile('C:\Users\Артем\AppData\Local\coprofit\coprofit_stb.exe','');
QuarantineFile('C:\Program Files (x86)\rec_en_77\rec_en_77.exe','');
TerminateProcessByName('c:\program files (x86)\manager\manager.exe');
QuarantineFile('c:\program files (x86)\manager\manager.exe','');
DeleteFile('c:\program files (x86)\manager\manager.exe','32');
DeleteFile('C:\Program Files (x86)\rec_en_77\rec_en_77.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','rec_en_77');
DeleteFile('C:\Users\Артем\AppData\Local\coprofit\coprofit_stb.exe','32');
DeleteFile('C:\Users\Артем\AppData\Local\coprofit\config.json','32');
DeleteFile('C:\Users\Артем\AppData\Local\mdndbhepfbopchbgmdchaoflagepmehg\stub.exe','32');
DeleteFile('C:\Users\Артем\AppData\Local\mdndbhepfbopchbgmdchaoflagepmehg\config.json','32');
DeleteFile('C:\Users\Артем\AppData\Roaming\daemon2.exe','32');
DeleteFile('C:\Users\Артем\AppData\Local\Mail.ru\Sputnik\ptls\mailruhomesearch.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mailruhomesearch');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Daemon');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mdndbhepfbopchbgmdchaoflagepmehg');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','coprofit');
DeleteFile('C:\Program Files (x86)\punto.bat','32');
DeleteFile('C:\ProgramData\TQRByaVS\vaOxSriRbz0.bat','32');
DeleteFile('C:\ProgramData\NrmVLWpvt\wBUQGcRiO5.bat','32');
DeleteFile('C:\Windows\Tasks\Uniblue SpeedUpMyPC Nag.job','32');
DeleteFile('C:\Windows\Tasks\Uniblue SpeedUpMyPC.job','32');
DeleteFile('C:\Windows\system32\Tasks\Uniblue SpeedUpMyPC','64');
DeleteFile('C:\Windows\system32\Tasks\Uniblue SpeedUpMyPC Nag','64');
DeleteFile('C:\Users\Артем\AppData\Local\Touch Style\xBin\TouchStyle.dll','32');
DeleteFile('C:\Windows\system32\Tasks\Touch Style','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
17.12.2015, 22:51
Artem Efremenko

Вложений: 3

Всё сделал. Прикладываю логи.
18.12.2015, 19:00
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]

3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

+ Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
22.12.2015, 11:39
Artem Efremenko

Вложений: 2

Готово.
22.12.2015, 16:10
thyrex

Удалите в МВАМ все, [B]кроме[/B]
[CODE]Trojan.Upatre, C:\Users\Артем\AppData\Roaming\Thinstall\Driver Genius Professional Edition\SKEL\fec1010aa8e56ac47a5e3c246f512428dc53c7.Console.EXE, , [45768f18ed9ea49216303f3a7c8804fc],
PUP.Optional.OpenCandy, C:\Users\Артем\Downloads\SaveFromNet-Helper-Setup.exe, , [63587433abe066d0d4d6533a48b9d32d],
PUP.Optional.OpenCandy, C:\Users\Артем\Downloads\SaveFromNetHelper-Web-44b62b8536-[338] (1).exe, , [a51606a16229171f737f967fa85a35cb],
PUP.Optional.OpenCandy, C:\Users\Артем\Downloads\SaveFromNetHelper-Web-44b62b8536-[338].exe, , [c5f66245424945f142b04dc8ff031ee2],
CrackTool.Agent, C:\Users\Артем\Downloads\Adobe Photoshop CS6 Extended\DLL FILE\32bit\amtlib.dll, , [e3d817904d3e1c1ade729488010148b8],
CrackTool.Agent, C:\Users\Артем\Downloads\Adobe Photoshop CS6 Extended\DLL FILE\64bit\amtlib.dll, , [398291163c4f65d11060e83412f08779],
CrackTool.Agent, C:\Program Files\Adobe\Adobe Photoshop CS6 (64 Bit)\amtlib.dll, , [209ba8ff1d6e1620bbb528f4e41e45bb],
RiskWare.Tool.HCK, F:\разобрать\SONY Vegas Movie Studio 13.0 Build 185 (x86) Portable by punsh\MultiKeygen\Keygen.exe, , [01ba0b9c385344f2fdcce90ed927d12f],
RiskWare.Tool.HCK, F:\разобрать\Sony Vegas Pro 11 Build 594_595\vegaspro11_RePack.exe, , [f9c2efb8325926100dce2ccf58a8b34d],
CrackTool.Agent, F:\разобрать\Adobe Photoshop CS6 13.0.1 Final Multilanguage (cracked dll) [ChingLiu]\cracked dll\32 bit\amtlib.dll, , [4378b8ef06852f073a160715e81aed13],
CrackTool.Agent, F:\разобрать\Adobe Photoshop CS6 13.0.1 Final Multilanguage (cracked dll) [ChingLiu]\cracked dll\64 bit\amtlib.dll, , [39821295dead85b120507d9fef1336ca],
CrackTool.Agent, F:\разобрать\Adobe Photoshop CS6 (Patch + Instructions)\Adobe Photoshop CS6 (Patch + Instructions).rar, , [83384562deadb284bb95bc601ee4d22e],
RiskWare.Tool.HCK, F:\разобрать\Sony_Vegas_Pro_13.0_Build_310\Sony.Products.Multikeygen.v2.5.Keygen.and.Patch.Only-DI\Keygen.exe, , [28935d4ac0cb9d994287ed0a22de33cd], [/CODE]
23.12.2015, 16:54
Artem Efremenko

Сделал! :)
25.12.2015, 00:02
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
25.12.2015, 00:57
Artem Efremenko

Вложений: 2

Готово.
25.12.2015, 10:35
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM-x32\...\Run: [TaskTray] => [X]
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO-x32: No Name -> {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\8C57FE32A91424BAE01631F95FBE36C68C57 [2015-11-12] <==== ATTENTION
CHR NewTab: Default -> "chrome-extension://bpgangmffjcofiknibcmfjionicohfgj/visual-bookmarks.html"
CHR Extension: (Quick Searcher) - C:\Users\Артем\AppData\Local\Google\Chrome\User Data\Default\Extensions\nonjdcjchghhkdoolnlbekcfllmednbl [2015-11-12]
CHR HKLM-x32\...\Chrome\Extension: [adalmamknlbmfakldkganajlocnkkgff] - C:\Users\Артем\AppData\Local\Temp\adalmamknlbmfakldkganajlocnkkgff.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [bgeakjmfknncppbmgkkfbglnodccdecp] - C:\Users\Артем\AppData\Local\Temp\bgeakjmfknncppbmgkkfbglnodccdecp.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [hbpohbeflieibmcmohdnhfkigfmkmfgd] - C:\Users\Артем\AppData\Local\Temp\hbpohbeflieibmcmohdnhfkigfmkmfgd.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [ihngdfjnomkoonicfblffinangfafepk] - C:\Users\Артем\AppData\Local\Temp\ihngdfjnomkoonicfblffinangfafepk.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [jdnciihjakpbhinlgnmafklmngkccebp] - C:\Users\Артем\AppData\Local\Temp\jdnciihjakpbhinlgnmafklmngkccebp.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [keinkhgnlckanellohdllejmhipfocmi] - C:\Users\Артем\AppData\Local\Temp\keinkhgnlckanellohdllejmhipfocmi.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [lbhlpghmmkknfalanfimbfjlllianmdj] - C:\Users\Артем\AppData\Local\Temp\lbhlpghmmkknfalanfimbfjlllianmdj.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - C:\Program Files (x86)\Skype\Toolbars\ChromeExtension\skype_chrome_extension.crx [2015-10-12]
CHR HKLM-x32\...\Chrome\Extension: [lmkeljmlecjkakkekfebmhmahhhflonf] - C:\Users\Артем\AppData\Local\Temp\lmkeljmlecjkakkekfebmhmahhhflonf.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [nkcpopggjcjkiicpenikeogioednjeac] - C:\Users\Артем\AppData\Local\Temp\nkcpopggjcjkiicpenikeogioednjeac.crx <not found>
OPR Extension: (Куппоинт — бесплатные промокоды) - C:\Users\Артем\AppData\Roaming\Opera Software\Opera Stable\Extensions\mdndbhepfbopchbgmdchaoflagepmehg [2015-11-24]
OPR Extension: (Quick Searcher) - C:\Users\Артем\AppData\Roaming\Opera Software\Opera Stable\Extensions\nonjdcjchghhkdoolnlbekcfllmednbl [2015-11-12]
2015-11-26 08:03 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\xuTxxpJOiwxsC
2015-11-26 08:03 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\PhtuyWBrXjF
2015-11-26 08:03 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\xuTxxpJOiwxsC
2015-11-26 08:03 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\PhtuyWBrXjF
2015-11-26 08:03 - 2015-11-26 08:03 - 00000000 ____D C:\Users\Все пользователи\g
2015-11-26 08:03 - 2015-11-26 08:03 - 00000000 ____D C:\ProgramData\g
2015-11-24 16:03 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\ypiSwsTmapdvn
2015-11-24 16:03 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\Ohfnkoa
2015-11-24 16:03 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\ypiSwsTmapdvn
2015-11-24 16:03 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\Ohfnkoa
2015-11-24 12:04 - 2015-12-23 17:22 - 00001761 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\zf3i4r6e6f5o4x.lnk
2015-11-23 18:25 - 2015-11-23 18:25 - 00000000 ____D C:\Users\Артем\AppData\Roaming\Calculator
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\WGZsncCCSG
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\WfQEeXaU
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\vUcAn
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\Users\Все пользователи\TdMryyReDT
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\WGZsncCCSG
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\WfQEeXaU
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\vUcAn
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\ProgramData\TdMryyReDT
2015-11-23 18:23 - 2015-12-17 22:11 - 00000000 ____D C:\Program Files (x86)\Manager
2015-11-12 19:16 - 2015-11-12 18:48 - 00009434 _____ C:\Windows\system32\Drivers\etc\hp.bak
2015-11-12 18:55 - 2015-11-23 13:42 - 00000000 ____D C:\Users\Артем\AppData\Local\Hostinstaller
2015-11-12 18:54 - 2015-12-17 15:32 - 00000000 ____D C:\Users\Артем\AppData\Local\coprofit
2015-11-12 18:54 - 2015-11-23 03:18 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\application extension
2015-11-12 18:51 - 2015-11-23 03:14 - 00000000 ____D C:\Users\Артем\AppData\Roaming\MyDesktop
2015-11-12 18:48 - 2015-11-12 18:48 - 00000122 ____H C:\Program Files (x86)\WelcomeToPunto.bat
2015-11-12 18:48 - 2015-11-12 18:48 - 00000121 ____H C:\Program Files (x86)\layouts.bat
2015-11-12 18:48 - 2015-11-12 18:48 - 00000119 ____H C:\Program Files (x86)\diary.bat
2015-11-12 18:48 - 2015-11-12 18:48 - 00000116 ____H C:\Program Files (x86)\ps.bat
2015-11-12 18:48 - 2015-05-28 07:20 - 00770736 ____H (Microsoft Corporation) C:\iехplоrе.bаt.exe
2015-11-12 18:48 - 2015-02-04 12:35 - 01626424 ____H (ООО Яндекс) C:\Program Files (x86)\puntо.bаt.exe
2015-11-12 18:48 - 2015-02-04 12:35 - 00291128 ____H (ООО Яндекс) C:\Program Files (x86)\diаry.bаt.exe
2015-11-12 18:48 - 2015-02-04 12:35 - 00034104 ____H (ООО Яндекс) C:\Program Files (x86)\lаyоuts.bаt.exe
2015-11-12 18:47 - 2015-11-12 19:40 - 00000099 ____H C:\launcher.bat
2015-11-12 18:47 - 2015-11-12 19:39 - 00000104 ____H C:\firefox.bat
2015-11-12 18:47 - 2015-10-30 16:41 - 00948856 ____H (Opera Software) C:\lаunсhеr.bаt.exe
2015-11-12 18:47 - 2015-10-15 04:14 - 00377000 ____H (Mozilla Corporation) C:\firеfох.bаt.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
26.12.2015, 16:47
Artem Efremenko

Вложений: 1

Готово!
26.12.2015, 20:08
thyrex

Проверяйте ЛС
28.12.2015, 16:16
Artem Efremenko

[QUOTE=thyrex;1345560]Проверяйте ЛС[/QUOTE]

Все работает, спасибо огромное! С наступающим! :santa:
28.12.2015, 16:54
thyrex

Удалите МВАМ
28.12.2015, 17:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\manager\manager.exe - [B]not-a-virus:AdWare.Win32.Amonetize.bzmk[/B] ( DrWEB: Trojan.Amonetize.10301 )[*] c:\program files (x86)\punto.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\programdata\nrmvlwpvt\wbuqgcrio5.bat - [B]Trojan.BAT.StartPage.or[/B] ( DrWEB: BAT.Starter.145 )[*] c:\users\артем\appdata\local\coprofit\coprofit_stb.exe - [B]not-a-virus:RiskTool.NSIS.Agent.kc[/B] ( DrWEB: Adware.Shopper.1216, AVAST4: Win32:Adware-gen [Adw] )[*] c:\users\артем\appdata\local\touch style\xbin\touchstyle.dll - [B]not-a-virus:AdWare.Win32.Agent.jmas[/B][*] c:\users\артем\appdata\roaming\daemon2.exe - [B]not-a-virus:WebToolbar.Win32.Neobar.f[/B] ( DrWEB: Trojan.Amonetize.11311 )[/LIST][/LIST]