У меня такая ситуация. Вирус-шифровщик. Открыл почтовый файл 19.01.2016 года и он начал шифровать файлы на компе. Вирус нашёл, удалил он перестал шифровать, но половина успел зашифровать. Что делать?
Printable View
У меня такая ситуация. Вирус-шифровщик. Открыл почтовый файл 19.01.2016 года и он начал шифровать файлы на компе. Вирус нашёл, удалил он перестал шифровать, но половина успел зашифровать. Что делать?
Уважаемый(ая) [B]Андрей Кочнев[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','');
QuarantineFile('C:\Program Files\Reimage\Reimage Repair\ReimageReminder.exe','');
TerminateProcessByName('c:\program files (x86)\iobit\liveupdate\liveupdate.exe');
QuarantineFile('c:\program files (x86)\iobit\liveupdate\liveupdate.exe','');
TerminateProcessByName('c:\users\Дмитрий\appdata\roaming\acewebextension\updater\ace_web_extension.exe');
DeleteFile('c:\users\Дмитрий\appdata\roaming\acewebextension\updater\ace_web_extension.exe','32');
DeleteFile('c:\program files (x86)\iobit\liveupdate\liveupdate.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AceWebException');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AceWebExtensionUpdater');
DeleteFile('C:\Users\Дмитрий\AppData\Roaming\AceWebExtension\updater\ace_web_extension.exe','32');
DeleteFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','32');
DeleteFile('C:\Program Files\Reimage\Reimage Repair\ReimageReminder.exe','32');
DeleteFile('C:\windows\system32\Tasks\Reimage Reminder','64');
DeleteFile('C:\windows\system32\Tasks\ReimageUpdater','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.
[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
новые логи
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Farbar Recovery Scan Tool
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Логи Farbar Recovery Scan Tool
Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.istartsurf.com/?type=hppp&ts=1431934046&from=xtab&uid=BAC8B6A2FAD34f66B03E0584D77C55CC
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.istartsurf.com/?type=hppp&ts=1431934046&from=xtab&uid=BAC8B6A2FAD34f66B03E0584D77C55CC
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1395820688&from=cor&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1395820688&from=cor&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hppp&ts=1431934046&from=xtab&uid=BAC8B6A2FAD34f66B03E0584D77C55CC
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.istartsurf.com/?type=hppp&ts=1431934046&from=xtab&uid=BAC8B6A2FAD34f66B03E0584D77C55CC
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1395820688&from=cor&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1395820688&from=cor&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
HKU\S-1-5-21-3333847349-855440895-2659428109-1001\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://search.delta-homes.com/web/?type=ds&ts=1431933976&z=a61a518f7c43a6efab48a4fg4zfc7g0t8cdc0t1mem&from=ient05180&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
HKU\S-1-5-21-3333847349-855440895-2659428109-1001\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://search.delta-homes.com/web/?type=ds&ts=1431933976&z=a61a518f7c43a6efab48a4fg4zfc7g0t8cdc0t1mem&from=ient05180&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1395820688&from=cor&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1395820688&from=cor&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
SearchScopes: HKLM -> {52db1893-8a90-4192-aede-08e00b8f8473} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=103&systemid=473&v=a12349-162&apn_uid=0951126104444112&apn_dtid=BND101&o=APN10640&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.delta-homes.com/web/?type=ds&ts=1431933976&z=a61a518f7c43a6efab48a4fg4zfc7g0t8cdc0t1mem&from=ient05180&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.delta-homes.com/web/?type=ds&ts=1431933976&z=a61a518f7c43a6efab48a4fg4zfc7g0t8cdc0t1mem&from=ient05180&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
SearchScopes: HKLM-x32 -> {52db1893-8a90-4192-aede-08e00b8f8473} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=103&systemid=473&v=a12349-162&apn_uid=0951126104444112&apn_dtid=BND101&o=APN10640&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKLM-x32 -> {cf6e4b1c-dbde-457e-9cef-ab8ecac8a5e8} URL = hxxp://search.tb.ask.com/search/GGmain.jhtml?p2=^HJ^man000^YYA^&ptb=FF637721-44DF-4252-90DA-61BBDE85F8DE&ind=2013102913&n=77fd8341&psa=&st=sb&searchfor={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> DefaultScope {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> 4487E5F364449817193020C90E60DEB7 URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> Software URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {0F89C940-C51B-4674-9427-1ACC2BE3BD0F} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {1E808738-F94A-4E90-94AA-2BF5FEBC815A} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {52db1893-8a90-4192-aede-08e00b8f8473} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {95B7759C-8C7F-4BF1-B163-73684A933233} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {cf6e4b1c-dbde-457e-9cef-ab8ecac8a5e8} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=&utm_campaign=install_ie&utm_content=ds&from=&uid=ST500DM002-1BC142_W2A27G6AXXXXW2A27G6A&ts=1420373293&type=default&q={searchTerms}
BHO: Apps Hat Mini -> {11111111-1111-1111-1111-110511031101} -> No File
BHO-x32: Apps Hat Mini -> {11111111-1111-1111-1111-110511031101} -> No File
BHO-x32: No Name -> {FE063DB1-4EC0-403e-8DD8-394C54984B2C} -> No File
Toolbar: HKLM-x32 - No Name - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - No File
Toolbar: HKU\.DEFAULT -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
Toolbar: HKU\.DEFAULT -> No Name - {FE063DB9-4EC0-403E-8DD8-394C54984B2C} - No File
Toolbar: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> No Name - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No File
Toolbar: HKU\S-1-5-21-3333847349-855440895-2659428109-1001 -> No Name - {48586425-6BB7-4F51-8DC6-38C88E3EBB58} - No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.delta-homes.com/?type=sc&ts=1431933976&z=a61a518f7c43a6efab48a4fg4zfc7g0t8cdc0t1mem&from=ient05180&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT
FF Plugin HKU\S-1-5-21-3333847349-855440895-2659428109-1001: @acestream.net/acestreamplugin,version=3.0.12 -> C:\Users\Дмитрий\AppData\Roaming\ACEStream\player\npace_plugin.dll [2015-09-24] (Innovative Digital Technologies)
FF Extension: No Name - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [not found]
FF Extension: No Name - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
FF Extension: No Name - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Program Files (x86)\IObit Apps Toolbar\FF [not found]
FF Extension: AS Magic Player - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-01-20] [not signed]
FF Extension: Quick Searcher - C:\Users\Дмитрий\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [2016-01-20] [not signed]
CHR DefaultSearchURL: Default -> hxxp://search.delta-homes.com/web/?type=ds&ts=1431933976&z=a61a518f7c43a6efab48a4fg4zfc7g0t8cdc0t1mem&from=ient05180&uid=TOSHIBAXMQ01ABD032_82TGC52LTXX82TGC52LT&q={searchTerms}
CHR DefaultSearchKeyword: Default -> delta-homes
CHR Extension: (fun4us) - C:\Users\Дмитрий\AppData\Local\Google\Chrome\User Data\Default\Extensions\figgekmbbegjkbppenaagmmepdgfbdif [2015-04-01]
CHR Extension: (Ace Stream Web Extension) - C:\Users\Дмитрий\AppData\Local\Google\Chrome\User Data\Default\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo [2016-01-26]
C:\ProgramData\help.bat
C:\Users\Все пользователи\help.bat
Task: {185BB770-3EB5-42C9-953E-8AEBB49D8721} - \ReimageUpdater -> No File <==== ATTENTION
Task: {3CEED240-F8EE-4BB7-AF1F-D95D78436448} - \Reimage Reminder -> No File <==== ATTENTION
Task: {44B3F1B8-5943-4072-8D8C-A9484676AC44} - \Microsoft\Windows\Live\Roaming\SynchronizeWithStorage -> No File <==== ATTENTION
Task: {A800277E-E202-4492-AD38-3312641CBC04} - \Microsoft\Windows\Live\Roaming\MaintenanceTask -> No File <==== ATTENTION
Task: {BB446142-7DF8-4D93-B8D5-2DF383030949} - \Программа онлайн-обновления Adobe. -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
логи
Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.