Шифровальщик AES256 [not-a-virus:AdWare.Win32.Agent.jknn, Trojan-Downloader.Win32.Adload.idla ]

Printable View

10.01.2016, 14:05
ustasia

Шифровальщик AES256 [not-a-virus:AdWare.Win32.Agent.jknn, Trojan-Downloader.Win32.Adload.idla ]

Добрый день!
Компьютер заражен вот такой гадостью:
***
Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты:
1) Загрузите 'Tor Browser for Windows', скачать можно тут [url]https://www.torproject.org/download/download-easy.html.en[/url]
2) Установите и запустите 'Tor Browser'
3) Перейдите по ссылке 'http://3qo5aqjlesrudfm3.onion/?id=fce976ef&HashID=a4a343203a7ed7cfd3ff9d5f0d5e3640' в 'Tor Browser' - (ВНИМАНИЕ, САЙТ ДОСТУПЕН ТОЛЬКО ЧЕРЕЗ 'Tor Browser')
4) Следуйте инструкциям на сайте

--------------------------------------------------------------

ID: fce976ef
HashID: a4a343203a7ed7cfd3ff9d5f0d5e3640
***

Все файлы шифрованы расширением типа имя_файла.расширение.fce976ef

Помогите, пожалуйста!
10.01.2016, 14:06
Info_bot

Уважаемый(ая) [B]ustasia[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.01.2016, 14:40
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\video saver\tool\recover.exe','');
QuarantineFile('C:\Users\MAX\AppData\Roaming\WindowsUpdater\Updater.exe','');
QuarantineFile('C:\Users\MAX\AppData\Local\Oktoberfest\Bin\Oktoberfest.dll','');
QuarantineFile('C:\Users\MAX\AppData\Local\Temp\..\updt.js','');
QuarantineFile('C:\Program Files\Video Saver\zPnE_0l.exe','');
QuarantineFile('C:\Program Files\advPlugin\8Z1cz8R.exe.exe','');
QuarantineFile('C:\Program Files\Video Saver\tool\recover.exe','');
QuarantineFile('C:\Program Files\globalUpdate\Update\globalupdate.exe','');
QuarantineFile('C:\Users\MAX\AppData\Local\30383\a14761.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-7.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-6.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-5.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-4.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-3.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-11.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-10.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-7.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-6.exe','');
DelBHO('{7D1B27B2-3DE0-4F26-94A0-E14FDB06D292}');
QuarantineFile('C:\Program Files\SearchSnacks\IE\SearchSnacksClientIE.dll','');
QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','pntsyxgaxu');
DeleteFile('C:\Users\MAX\AppData\Roaming\OdnUqnxVqtAcmfpq4n\encrypter.exe','32');
DeleteFile('C:\Users\MAX\AppData\Roaming\AceWebExtension\updater\ace_web_extension.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AceWebExtensionUpdater','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\EncrypterEpta','command');
DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\TorProject','command');
DeleteFile('C:\Program Files\SearchSnacks\IE\SearchSnacksClientIE.dll','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-6.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-7.exe','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-6.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-7.job','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-10.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-11.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-3.exe','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-3.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-11.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-10_user.job','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-4.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-5.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-6.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV14.05\73e1d639-ef1c-422b-8891-9cb26a444f2e-7.exe','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-7.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-6.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-5_user.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-5.job','32');
DeleteFile('C:\Windows\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-4.job','32');
DeleteFile('C:\Users\MAX\AppData\Local\30383\a14761.exe','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32');
DeleteFile('C:\Program Files\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
DeleteFile('C:\Program Files\Video Saver\tool\recover.exe','32');
DeleteFile('C:\Windows\Tasks\Recovery Tool for Video Saver.job','32');
DeleteFile('C:\Windows\Tasks\Recovery Tool for Video Saver2.job','32');
DeleteFile('C:\Program Files\advPlugin\8Z1cz8R.exe.exe','32');
DeleteFile('C:\Windows\Tasks\Update Service for advPlugin.job','32');
DeleteFile('C:\Windows\Tasks\Update Service for advPlugin2.job','32');
DeleteFile('C:\Program Files\Video Saver\zPnE_0l.exe','32');
DeleteFile('C:\Windows\Tasks\Update Service for Video Saver.job','32');
DeleteFile('C:\Windows\Tasks\Update Service for Video Saver2.job','32');
DeleteFile('C:\Windows\Tasks\Update Service for VK Downloader.job','32');
DeleteFile('C:\Windows\Tasks\Update Service for VK Downloader2.job','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\..\updt.js','32');
DeleteFile('C:\Windows\system32\Tasks\$crrUnisntlDsply$ Updater','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-6','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-1-7','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-10_user','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-11','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-3','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-4','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-5','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-5_user','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-6','32');
DeleteFile('C:\Windows\system32\Tasks\73e1d639-ef1c-422b-8891-9cb26a444f2e-7','32');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','32');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','32');
DeleteFile('C:\Windows\system32\Tasks\Recovery Tool for Video Saver','32');
DeleteFile('C:\Windows\system32\Tasks\Recovery Tool for Video Saver2','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service for advPlugin','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service for advPlugin2','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service for Video Saver','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service for Video Saver2','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service for VK Downloader','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service for VK Downloader2','32');
DeleteFile('C:\Users\MAX\AppData\Roaming\WindowsUpdater\Updater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','32');
DeleteFile('C:\Windows\system32\Tasks\Yahoo! Search Updater','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nsb4D74.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nsbAB3A.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nshEB68.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nshEEDA.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nsr908C.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nss865F.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nst97AE.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nswDEBB.tmp\blowfish.dll','32');
DeleteFile('C:\Users\MAX\AppData\Local\Temp\nsz4AF6.tmp\blowfish.dll','32');
DeleteFile('C:\Program Files\video saver\tool\recover.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
10.01.2016, 15:34
ustasia

Спасибо за ответ! Сделала.
10.01.2016, 16:20
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
10.01.2016, 21:01
ustasia

Просканировала.
12.01.2016, 11:19
thyrex

Удалите в МВАМ все, [B]кроме[/B]
[CODE]HackTool.Agent, C:\Users\MAX\AppData\Local\Temp\AutoRunPro0\Activators\Windows_Loader_v1.9.7\Windows Loader.exe, , [00f9fb3c534696a05ff12cf813eebd43],
HackTool.Agent, C:\Users\MAX\AppData\Local\Temp\AutoRunPro0\KMS\miniKMS by Ivn78\mini-KMS Activator RU\mKMSAct.exe, , [30c963d4603949ed3a0e6b06fd0426da],
RiskWare.Tool.CK, C:\Users\MAX\AppData\Local\Temp\AutoRunPro0\KMS\SuperMini_KMS\Keygen.exe, , [37c26ec98811290d56754f064fb139c7],
PUP.Optional.InstallCore, D:\Games\[R.G. Mechanics] The Elder Scrolls V - Skyrim - Legendary Edition\setup.exe, , [11e8e057c2d71a1c11bd0c4943bef50b],
PUP.Optional.InstallCore, D:\torrent\Total War - Rome II_[RePack от Мехов_v.1.13.0]\setup.exe, , [dc1d45f23762082ecd010055c53cf709],
Trojan.Agent, D:\разное\Книги\КЛИК\Clickermann v3.1f\Clickermann.exe, , [9f5a23145148bb7b5fc2ef856e9230d0], [/CODE]
14.01.2016, 22:10
ustasia

Удалила. Пока все файлы все еще зашифрованы.
14.01.2016, 22:36
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
15.01.2016, 20:12
ustasia

Вложений: 1

готово
15.01.2016, 22:08
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D43} => No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-2906231346-2937079145-1765758882-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-2906231346-2937079145-1765758882-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF NewTab: hxxp://searchsimple-a.akamaihd.net/?m=tab&affID=mt-re
FF Homepage: user_pref("browser.startup.homepage","hxxp://traff-4.ru/go.php");
FF Extension: Универсальный перевод для FireFox - C:\Users\MAX\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [2015-09-22] [not signed]
FF Extension: No Name - C:\Users\MAX\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: wappalyzercrunchlabzcom - C:\Users\MAX\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-05-18] [not signed]
FF HKLM\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\MAX\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
FF Extension: SuperMegaBest.com - C:\Users\MAX\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2015-05-04] [not signed]
FF HKU\S-1-5-21-2906231346-2937079145-1765758882-1000\...\Firefox\Extensions: [[email protected]] - C:\Users\MAX\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi
FF Extension: Ace Stream Web Extension - C:\Users\MAX\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi [2015-12-18]
FF ExtraCheck: C:\Program Files\mozilla firefox\browser\defaults\preferences\prefs.js [2015-05-18] <==== ATTENTION (Points to *.cfg file)
FF ExtraCheck: C:\Program Files\mozilla firefox\cfg [2015-05-18] <==== ATTENTION
CHR Extension: (Quick Searcher) - C:\Users\MAX\AppData\Local\Google\Chrome\User Data\Default\Extensions\dighmiipfpfdfbfmpodcmfdgkkcakbco [2016-01-09]
CHR Extension: (Ace Stream Web Extension) - C:\Users\MAX\AppData\Local\Google\Chrome\User Data\Default\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo [2015-12-22]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-2906231346-2937079145-1765758882-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Quick Searcher) - C:\Users\MAX\AppData\Roaming\Opera Software\Opera Stable\Extensions\dighmiipfpfdfbfmpodcmfdgkkcakbco [2016-01-09]
OPR Extension: (Универсальный перевод для Chrome) - C:\Users\MAX\AppData\Roaming\Opera Software\Opera Stable\Extensions\japjgpmeoeppglkbnkcoocfecknldoba [2015-09-22]
OPR Extension: (Поделиться ВКонтакте) - C:\Users\MAX\AppData\Roaming\Opera Software\Opera Stable\Extensions\kneggodalbcmgdkkfhbhbicbbahnacjb [2015-02-03]
OPR Extension: (AS Magic Player) - C:\Users\MAX\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfhnkgpdlogbknkhlgdjlejeljbhflim [2015-05-28]
2016-01-09 19:34 - 2016-01-10 14:56 - 00000000 ____D C:\Users\MAX\AppData\Roaming\OdnUqnxVqtAcmfpq4n
2016-01-09 19:33 - 2016-01-09 19:33 - 00000000 ____D C:\Users\MAX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Амиго
2016-01-09 15:22 - 2016-01-09 15:22 - 00000000 ____D C:\Users\MAX\mobogenieP2sp
2016-01-09 15:22 - 2016-01-09 15:22 - 00000000 ____D C:\Users\MAX\AppData\Roaming\Mobogenie
2016-01-09 14:22 - 2016-01-10 14:56 - 00000000 ____D C:\Users\MAX\AppData\Roaming\WindowsUpdater
2016-01-09 14:19 - 2016-01-10 09:40 - 00000000 ____D C:\Users\MAX\AppData\Roaming\Browsers
2016-01-09 14:23 - 2016-01-14 22:04 - 00002192 _____ C:\Users\MAX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Интернет.lnk
2016-01-09 14:23 - 2016-01-14 22:04 - 00002173 _____ C:\Users\MAX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Одноклассники.lnk
2016-01-09 14:23 - 2016-01-14 22:04 - 00002173 _____ C:\Users\MAX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Вконтакте.lnk
C:\Users\MAX\AppData\Local\Temp\AmigoDistrib.exe
C:\Users\MAX\AppData\Local\Temp\amigo_setup.exe
C:\Users\MAX\AppData\Local\Temp\dfsd74hfgz_OrionInstaller.exe
C:\Users\MAX\AppData\Local\Temp\dist-X.Y.Z.exe
C:\Users\MAX\AppData\Local\Temp\fp_pl_pfs_installer.exe
C:\Users\MAX\AppData\Local\Temp\HamsterPDFReader-update.exe
C:\Users\MAX\AppData\Local\Temp\hcv_mailruhomesearch (1).exe
C:\Users\MAX\AppData\Local\Temp\hcv_mailruhomesearch.exe
C:\Users\MAX\AppData\Local\Temp\HgkmE7UufoM3.exe
C:\Users\MAX\AppData\Local\Temp\KB289358B22235077F.exe
C:\Users\MAX\AppData\Local\Temp\KB4E3FAF06DB60723.exe
C:\Users\MAX\AppData\Local\Temp\KB795CB3B47120D689.exe
C:\Users\MAX\AppData\Local\Temp\KBFBAC642271800AF.exe
C:\Users\MAX\AppData\Local\Temp\MobogenieSetup.exe
C:\Users\MAX\AppData\Local\Temp\QQPCMgr_Setup.exe
C:\Users\MAX\AppData\Local\Temp\SqCmJ3WAauyz.exe
C:\Users\MAX\AppData\Local\Temp\toh3WwOImtVz.exe
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{92FDEF05-B35E-4806-B87F-8B66AB649997}\localserver32 -> "C:\Users\MAX\AppData\Local\Yandex\Updater2\BrowserManagerShow.exe" => No File
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{9F0BF664-B611-4C53-AEEA-FDBFCE6E3CA3}\localserver32 -> "C:\Users\MAX\AppData\Local\Yandex\Updater2\BrowserManagerShow.exe" => No File
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29161}\localserver32 -> "C:\Users\MAX\AppData\Local\Amigo\Application\44.4.2403.3\delegate_execute.exe" => No File
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{A8BD93E8-F6AE-4F02-828D-DE47FEC4D375}\localserver32 -> "C:\Users\MAX\AppData\Local\Yandex\Updater2\BrowserManagerShow.exe" => No File
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{AD4409E5-23C2-412B-849D-8FC0635B4073}\localserver32 -> "C:\Users\MAX\AppData\Local\Yandex\Updater2\BrowserManagerShow.exe" => No File
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{AEE9D70C-6C9E-4B27-9F2C-8F14E95BEEF6}\localserver32 -> "C:\Users\MAX\AppData\Local\Yandex\Updater2\BrowserManagerShow.exe" => No File
CustomCLSID: HKU\S-1-5-21-2906231346-2937079145-1765758882-1000_Classes\CLSID\{DD20920E-515A-4342-85E3-FC9A9FDA55C2}\localserver32 -> "C:\Users\MAX\AppData\Local\Yandex\Updater2\BrowserManagerShow.exe" => No File
Task: {05C1923D-A73A-4376-B4DA-33F0B7EB7157} - \Yahoo! Search Updater -> No File <==== ATTENTION
Task: {2C319E58-C2A6-4454-9096-751A3A22DB72} - \Oktoberfest -> No File <==== ATTENTION
Task: {9B85E50D-C796-41CC-B01C-8073EB897EFA} - \WindowsUpdater -> No File <==== ATTENTION
Task: {A2FB9CDF-383D-4400-8CCF-6313AB57E52E} - \$crrUnisntlDsply$ Updater -> No File <==== ATTENTION
Task: {F9FEA071-020F-4EEB-A3CF-F7A1D6E331C0} - \SmartWeb Upgrade Trigger Task -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
16.01.2016, 01:49
mike 1

Зашифрованные файлы пришлите в архиве.
16.01.2016, 15:52
ustasia

Вложений: 2

сделано
16.01.2016, 16:23
mike 1

Вложений: 1

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Данный дешифратор предназначен только для пользователя [B]ustasia[/B]

Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим не рекомендуется

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

[URL="https://yadi.sk/d/C3BvfaUan5XG2"]Дешифратор[/URL]

Принцип работы с дешифратором:

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.
16.01.2016, 18:30
ustasia

Не получается: скачала один раз, запустила, нашел все файлы, как только началась дешифровка, дешифратор закрылся и сам .exe удалился начисто. Скачала еще раз, в ту же папку сохранить не дал (У вас нет разрешения на открытие данного файла), сохранила в другую папку, опять нашел все файлы и на дешифровке закрылся и удалился .exe
16.01.2016, 18:47
mike 1

Дешифратор не удаляется после окончания работы. Удаленно дадите компьютер посмотреть?
16.01.2016, 23:06
ustasia

Да, конечно, тимвьювер подойдет?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Отправила доступ в личные сообщения

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Спасибо Вам огромное, файлы расшифровались! Очень Вам благодарна, не знаю, что бы без Вас делала! Спасибо!!!
16.01.2016, 23:16
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]44[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\video saver\tool\recover.exe - [B]not-a-virus:WebToolbar.Win32.Agent.byp[/B][*] c:\users\max\appdata\local\oktoberfest\bin\oktoberfest.dll - [B]not-a-virus:AdWare.Win32.Agent.jknn[/B][*] c:\users\max\appdata\roaming\windowsupdater\updater.exe - [B]Trojan-Downloader.Win32.Adload.idla[/B][/LIST][/LIST]