Printable View
Здравствуйте.
[COLOR=#333333]Вирус зашифровал файлы документов, изображений и др. [/COLOR]
[COLOR=#333333]Зашифрованные файлы имеют формат Название_файла.Расширение_файла.f83d4db2 и в каждой папке с шифрованными файлами лежит документ ВНИМАНИЕ_ОТКРОЙТЕ-МЕНЯ.txt
[/COLOR][COLOR=#333333]При проверке системы антивирусом NOD32 был обнаружен вирус-шифровальщик(MSIL/Filecoder.AO).
Примеры файлов [/COLOR][URL="http://rghost.ru/8NB7NBmK8"]http://rghost.ru/8NB7NBmK8[/URL]
Заранее спасибо.
Уважаемый(ая) [B]danser666[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\windoweather\windoweather.exe','');
QuarantineFile('C:\Users\7739Z\appdata\roaming\newsi_6\s_inst.exe','');
QuarantineFile('C:\Users\7739Z\appdata\roaming\newsi_4\s_inst.exe','');
QuarantineFile('C:\Users\7739Z\appdata\roaming\aspackage\uninstall.exe','');
QuarantineFile('C:\Users\7739Z\AppData\Roaming\WindowsUpdater\Updater.exe','');
QuarantineFile('C:\Users\7739Z\AppData\Local\Component Food\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\zbitd.dll','');
QuarantineFile('C:\Users\7739Z\AppData\Local\Component Food\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\ComponentFood.dll','');
QuarantineFile('C:\Program Files\BonanzaDeals\BonanzaDealsUpdate.exe','');
QuarantineFile('C:\Users\7739Z\AppData\Local\Temp\launchie.vbs','');
QuarantineFile('C:\Users\Администратор\AppData\Local\King of Hunter\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\azfiqed.dll','');
QuarantineFile('C:\Users\Администратор\AppData\Local\King of Hunter\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\KingofHunter.dll','');
DelBHO('{50F4150A-48B2-417A-BE4C-C83F580FB904}');
QuarantineFile('C:\ProgramData\caMyciloP\DoubleKix.dll','');
QuarantineFile('C:\Users\7739Z\AppData\Roaming\MyDesktop\qweeeCL.exe','');
DeleteService('QMUdisk');
DeleteService('softaal');
DeleteService('TSSK');
DeleteService('Medlight');
DeleteService('dowuloadup');
DeleteService('cmdidx');
DeleteService('caMyciloP');
DeleteService('ApplicationHosting');
SetServiceStart('ApplicationHosting', 4);
QuarantineFile('C:\ProgramData\Medlight\Medlight.exe','');
QuarantineFile('C:\Users\7739Z\AppData\Local\Newfinhigh.exe','');
QuarantineFile('C:\Program Files\cmdidx\cmdidx.exe','');
QuarantineFile('C:\ProgramData\caMyciloP\caMyciloP.exe','');
QuarantineFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe','');
TerminateProcessByName('c:\users\7739z\appdata\local\amigo\application\45.0.2454.112\amigo_cr.exe');
DeleteFile('c:\users\7739z\appdata\local\amigo\application\45.0.2454.112\amigo_cr.exe','32');
DeleteFile('C:\Users\7739Z\AppData\Roaming\OdnUqnxVqtAcmfpq4n\tor\LIBEAY32.dll','32');
DeleteFile('C:\Users\7739Z\AppData\Roaming\OdnUqnxVqtAcmfpq4n\tor\SSLEAY32.dll','32');
DeleteFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe','32');
DeleteFile('C:\ProgramData\caMyciloP\caMyciloP.exe','32');
DeleteFile('C:\Program Files\cmdidx\cmdidx.exe','32');
DeleteFile('C:\Users\7739Z\AppData\Local\Newfinhigh.exe','32');
DeleteFile('C:\ProgramData\Medlight\Medlight.exe','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.1.16923.222\QMUdisk.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.1.16923.222\softaal.sys','32');
DeleteFile('C:\Windows\system32\tssk.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.1.16923.222\QQPCTRAY.EXE','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','QQPCTray');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amigo');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyDesktop');
DeleteFile('C:\Users\7739Z\AppData\Roaming\MyDesktop\qweeeCL.exe','32');
DeleteFile('C:\ProgramData\caMyciloP\DoubleKix.dll','32');
DeleteFile('C:\Users\7739Z\AppData\Roaming\newnext.me\nengine.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive','command');
DeleteFile('C:\Program Files\Common Files\Tencent\QQPhoneManager\2.0.201.3192\npQQPhoneManagerExt.dll','32');
DeleteFile('C:\Users\Администратор\AppData\Local\King of Hunter\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\KingofHunter.dll','32');
DeleteFile('C:\Users\Администратор\AppData\Local\King of Hunter\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\azfiqed.dll','32');
DeleteFile('C:\Windows\system32\Tasks\King of Hunter2','32');
DeleteFile('C:\Windows\system32\Tasks\King of Hunter','32');
DeleteFile('C:\Users\7739Z\AppData\Local\Temp\launchie.vbs','32');
DeleteFile('C:\Program Files\BonanzaDeals\BonanzaDealsUpdate.exe','32');
DeleteFile('C:\Users\7739Z\AppData\Local\Component Food\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\ComponentFood.dll','32');
DeleteFile('C:\Users\7739Z\AppData\Local\Component Food\{ECAE63BB-062F-251C-C0F8-982DDB62CA98}\zbitd.dll','32');
DeleteFile('C:\Windows\system32\Tasks\Component Food2','32');
DeleteFile('C:\Windows\system32\Tasks\Component Food','32');
DeleteFile('C:\Windows\system32\Tasks\RegClean Pro','32');
DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
DeleteFile('C:\Program Files\RCP\RegCleanPro.exe','32');
DeleteFile('C:\Users\7739Z\AppData\Roaming\WindowsUpdater\Updater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','32');
DeleteFile('C:\Users\7739Z\appdata\roaming\aspackage\uninstall.exe','32');
DeleteFile('C:\Users\7739Z\appdata\roaming\newsi_4\s_inst.exe','32');
DeleteFile('C:\Users\7739Z\appdata\roaming\newsi_6\s_inst.exe','32');
DeleteFile('C:\Program Files\windoweather\windoweather.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9);
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.
[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
Карантин отправил, новые логи.
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделал
Удалите в МВАМ все найденное
Удалил
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Сделал, только забыл выключить Eset Smart Security
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-4106255664-1208794437-3714373842-1000 -> 1B9CD042D8BEF352CA1120C89CABA59A URL = hxxp://search.ticno.com/?c=t&q={searchTerms}
SearchScopes: HKU\S-1-5-21-4106255664-1208794437-3714373842-1000 -> {5C6AA9FA-2F15-4155-B7CC-534A03627092} URL = hxxp://www.search.ask.com/web?tpid=ORJ-SPE&o=APN11406&pf=V7&p2=^BBE^OSJ000^YY^UA&gct=&itbv=12.18.0.82&apn_uid=06FAE970-BE99-445E-B55E-0119C36B70D8&apn_ptnrs=BBE&apn_dtid=^OSJ000^YY^UA&apn_dbr=ie_11.0.9600.17344&doi=2014-10-27&trgb=IE&q={searchTerms}&psv=&pt=tb
BHO: No Name -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> C:\Program Files\Yandex\FastDial\fastdialhost.dll => No File
Toolbar: HKLM - No Name - {32099AAC-C132-4136-9E9A-4E364A424E17} - No File
Toolbar: HKLM - No Name - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - No File
Toolbar: HKLM - Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - C:\Program Files\Yandex\Elements\bartabhost.dll No File
Toolbar: HKU\S-1-5-21-4106255664-1208794437-3714373842-1000 -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - C:\Program Files\Yandex\Elements\bartabhost.dll No File
Handler: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - No File
FF Plugin HKU\S-1-5-21-4106255664-1208794437-3714373842-1000: ubisoft.com/uplaypc -> C:\Program Files\Ubisoft\Ubisoft Game Launcher\npuplaypc.dll [No File]
FF Plugin: @videolan.org/vlc,version=2.2.1 -> E:\VLC\npvlc.dll [No File]
FF Plugin: @qq.com/npAndroidAssistant -> C:\Program Files\Common Files\Tencent\QQPhoneManager\2.0.201.3192\npQQPhoneManagerExt.dll [No File]
FF SearchPlugin: C:\Users\7739Z\AppData\Roaming\Mozilla\Firefox\Profiles\tz3d22rn.default\searchplugins\ticno.xml [2014-09-24]
FF Extension: No Name - C:\Users\7739Z\AppData\Roaming\Mozilla\Firefox\Profiles\tz3d22rn.default\extensions\[email protected] [not found]
OPR Extension: (MySmartPrice) - C:\Users\7739Z\AppData\Roaming\Opera Software\Opera Stable\Extensions\bofbpdmkbmlancfihdncikcigpokmdda [2016-01-08]
OPR Extension: (Quick Searcher) - C:\Users\7739Z\AppData\Roaming\Opera Software\Opera Stable\Extensions\dighmiipfpfdfbfmpodcmfdgkkcakbco [2016-01-09]
2016-01-17 15:32 - 2016-01-17 15:32 - 00000000 ____D C:\Users\Администратор\AppData\Local\piiZkZdBEiw
2016-01-17 15:31 - 2016-01-29 15:50 - 00000000 ____D C:\Users\Администратор\AppData\Roaming\Systweak
2016-01-17 15:31 - 2016-01-26 08:27 - 00000000 ____D C:\Users\Администратор\AppData\Local\vxdwrlqywf
2016-01-10 18:55 - 2016-01-29 15:50 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\systweak
2016-01-10 18:39 - 2016-01-27 08:21 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\ASPackage
2016-01-10 18:39 - 2016-01-10 18:37 - 00001043 _____ C:\Windows\system32\Drivers\etc\hp.bak
2016-01-10 18:37 - 2016-01-26 11:35 - 00000000 ____D C:\Program Files\QualityChecker
2016-01-10 13:50 - 2016-01-10 15:02 - 00000000 ____D C:\Users\7739Z\mobogenieP2sp
2016-01-10 11:44 - 2016-01-27 08:20 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\tor
2016-01-10 11:40 - 2016-01-25 16:50 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\OdnUqnxVqtAcmfpq4n
2016-01-10 11:38 - 2016-01-10 11:56 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\Tencent
2016-01-09 17:30 - 2016-01-26 08:19 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\WindowsUpdater
2016-01-09 17:28 - 2016-01-25 16:52 - 00000000 ____D C:\Users\7739Z\AppData\Local\lkpedONatJFSSNd
2016-01-09 17:27 - 2016-01-21 00:14 - 00000000 ____D C:\Program Files\Oursoft
2016-01-09 17:27 - 2016-01-09 17:27 - 00000000 ____D C:\Users\7739Z\AppData\Roaming\MyDesktop
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\QQPCRTP => ""="service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\QQPCRTP => ""="service"
AlternateDataStreams: C:\Users\Администратор\Local Settings:wa
AlternateDataStreams: C:\Users\Администратор\AppData\Local:wa
AlternateDataStreams: C:\Users\Администратор\AppData\Local\Application Data:wa
Task: {0AA6771E-C266-4D25-8D87-7B6A463662FB} - System32\Tasks\{73128170-FD89-495A-8B43-AA0430278481} => c:\users\7739z\appdata\local\kometa\application\kometa.exe
Task: {24D9D71C-D783-4CFD-9589-B2077878B95F} - System32\Tasks\uodate => C:\Windows\system32\config\systemprofile\AppData\Local\Zone-Eco <==== ATTENTION
Task: {280B9494-21DF-4DB4-9C79-B8AE707928EE} - \psv_DentoLam -> No File <==== ATTENTION
Task: {373ADB58-22A8-4563-BD30-7CA0714A77D3} - \Soft installer -> No File <==== ATTENTION
Task: {3F7D6E0C-8067-44E6-AEEF-BD878B47AF6C} - \PC Performer -> No File <==== ATTENTION
Task: {487943AB-E761-4334-A0D2-101700E333F8} - \RegClean Pro -> No File <==== ATTENTION
Task: {62F42F87-6E9A-42BB-BC62-50AFC0185FE8} - \psv_Labcom -> No File <==== ATTENTION
Task: {63191F4B-B8CA-459F-AB27-249DCA54D07E} - System32\Tasks\{33D84461-BA5B-47D0-885F-5A80645B0BAB} => c:\users\7739z\appdata\local\kometa\application\kometa.exe
Task: {819C7963-7DAD-47A4-B8A5-C000A05F4A5C} - no filepath
Task: {8C6F7FB9-BBE9-4661-AD64-2EC655AE1B75} - \King of Hunter2 -> No File <==== ATTENTION
Task: {90D46A61-C3D7-49D0-BD04-960A11FF4D92} - System32\Tasks\{723B97DF-DEFE-4BBE-9E3F-B00094EB8663} => c:\users\7739z\appdata\local\kometa\application\kometa.exe
Task: {9FBE1B35-5D0B-4D27-98D6-72A73713C548} - System32\Tasks\0 => Iexplore.exe <==== ATTENTION
Task: {A0AE2E84-ABE2-49C9-8732-F0F76E98E745} - System32\Tasks\4489 => Wscript.exe C:\Users\7739Z\AppData\Local\Temp\launchie.vbs //B <==== ATTENTION
Task: {A3803ED6-9A68-4182-924B-6F2509AEA38E} - \psv_Zimex -> No File <==== ATTENTION
Task: {B08B1D8D-51E3-4844-87B4-E05FFC1815F0} - \psv_Tipin -> No File <==== ATTENTION
Task: {C79803C5-1189-4D42-9433-9A05CA3A3439} - \Component Food -> No File <==== ATTENTION
Task: {D47E98CF-81E4-4077-9F53-A8C71884CBF4} - \WindowsUpdater -> No File <==== ATTENTION
Task: {DFE08B8A-C5A9-472B-831A-9398DCA19535} - \BonanzaDealsUpdate -> No File <==== ATTENTION
Task: {E8B17B8A-7F66-4AC3-A95B-9DC3010B5FFD} - System32\Tasks\{2387BFFF-028A-4209-B40F-8E8AD97BC0F1} => c:\users\7739z\appdata\local\kometa\application\kometa.exe
Task: {F23B1B0D-5AC5-46B9-8796-A2F8AAACE688} - \King of Hunter -> No File <==== ATTENTION
Task: {FCB42225-57B2-4AF4-A858-ED6DEE379C78} - \Component Food2 -> No File <==== ATTENTION
CustomCLSID: HKU\S-1-5-21-4106255664-1208794437-3714373842-1000_Classes\CLSID\{1c492e6a-2803-5ed7-83e1-1b1d4d41eb39}\InprocServer32 -> C:\Program Files\Ubisoft\Ubisoft Game Launcher\npuplaypc.dll => No File
CustomCLSID: HKU\S-1-5-21-4106255664-1208794437-3714373842-1000_Classes\CLSID\{5157F497-D629-47A4-A73D-41ACE6766B0E}\localserver32 -> "C:\Users\7739Z\AppData\Local\Kometa\Application\45.0.2454.103\delegate_execute.exe" => No File
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
Есть
[b][color=#FF0000]Внимание![/color][/b] Данный дешифратор предназначен только для пользователя [b]danser666[/b]
Во избежание окончательной потери информации использовать данный дешифратор другим пострадавшим [COLOR="#FF0000"][B]не рекомендуется[/B][/COLOR].
1. Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.
2. [url=https://yadi.sk/d/C3BvfaUan5XG2]Дешифратор[/url]
Принцип работы с дешифратором:
1. Сохраните дешифратор в отдельно созданную папку.
2. Сохраните прикрепленное вложение в папку с дешифратором.
3. Распакуйте архив с ключом.
4. Запустите дешифратор и дождитесь окончания его работы.
Спасибо большое!! Помогло.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Возможно ли вам + в рейтинге поставить и где это делается?
На звездочку нажмите в левой части окна сообщения :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\администратор\appdata\local\king of hunter\{ecae63bb-062f-251c-c0f8-982ddb62ca98}\azfiqed.dll - [B]not-a-virus:WebToolbar.Win32.CrossRider.apmj[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\администратор\appdata\local\king of hunter\{ecae63bb-062f-251c-c0f8-982ddb62ca98}\kingofhunter.dll - [B]not-a-virus:WebToolbar.Win32.CrossRider.apmk[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\7739z\appdata\roaming\newsi_4\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B] ( DrWEB: Adware.Downware.11499 )[*] c:\users\7739z\appdata\roaming\newsi_6\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B] ( DrWEB: Adware.Downware.11499, AVAST4: Win32:Malware-gen )[/LIST][/LIST]