breaking bad шифровальшик [not-a-virus:Downloader.NSIS.Browex.c, Trojan-Ransom.Win32.Shade.vp ]

Printable View

11.02.2016, 17:38
Ruslan83

Вложений: 1

breaking bad шифровальшик [not-a-virus:Downloader.NSIS.Browex.c, Trojan-Ransom.Win32.Shade.vp ]

Вирус зашифровал практически все файлы. Ноутбук из детского сада много фотографий и документации за много лет. Заранее спасибо.
11.02.2016, 17:39
Info_bot

Уважаемый(ая) [B]Ruslan83[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
12.02.2016, 20:27
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\system32\loadd.dll','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','');
DelBHO('{fe063412-bea4-4d76-8ed3-183be6220d17}');
DelBHO('{79E1CFFB-E2E0-436C-B82A-9902BBEA6391}');
QuarantineFile('C:\Program Files\WebBars\Basement\Extension32.dll','');
QuarantineFile('C:\Program Files\BonanzaDeals\BonanzaDealsIE.dll','');
QuarantineFile('C:\Program Files\Kinoroom Browser\kinoroom-browser.exe','');
QuarantineFile('C:\Program Files\Common Files\Distribute Application\appdistrib.exe','');
QuarantineFile('C:\ProgramData\Drivers\csrss.exe','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Kometa\Panel\KometaLaunchPanel.exe','');
QuarantineFile('C:\ProgramData\Microsoft\Network\Downloader\downloader.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','');
DeleteFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Kometa\Panel\KometaLaunchPanel.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','KometaLaunchPanel');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Network Downloader');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
DeleteFile('C:\ProgramData\Drivers\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
DeleteFile('C:\Program Files\Mobogenie\DaemonProcess.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\newnext.me\nengine.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
DeleteFile('C:\Program Files\Common Files\Distribute Application\appdistrib.exe','32');
DeleteFile('C:\Program Files\Kinoroom Browser\kinoroom-browser.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет 2inf.net.lnk','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk','32');
DeleteFile('C:\Program Files\BonanzaDeals\BonanzaDealsIE.dll','32');
DeleteFile('C:\Program Files\WebBars\Basement\Extension32.dll','32');
DeleteFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
DeleteFile('C:\Windows\system32\Tasks\appdistrib','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineCore','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA','32');
DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft Network Downloader','32');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
DeleteFile('C:\Program Files\VuuPC\VuuPCUpdater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\VuuPCUpdate','32');
DeleteFile('C:\Windows\system32\Tasks\VuuPCUpdateLogin','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Temp\nsbC7E8.tmp\blowfish.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
17.02.2016, 12:32
Ruslan83

Вложений: 1

Новые логи
17.02.2016, 18:24
thyrex

У Вас что трафик лимитный, что Вы логи пакуете в один архив?

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
17.02.2016, 20:34
Ruslan83

Вложений: 1

Думал что вам будет проще скачать архив в один клик.
18.02.2016, 20:36
thyrex

Удалите в МВАМ все найденное
19.02.2016, 10:01
Ruslan83

Удалил
20.02.2016, 12:52
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
6. Логи, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
22.02.2016, 15:21
Ruslan83

Вложений: 3

новые логи
23.02.2016, 23:01
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3581556304-2451318682-1982156402-1003\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO: No Name -> {02478D38-C3F9-4efb-9B51-7695ECA05670} -> No File
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKLM - No Name - {0BF43445-2F28-4351-9252-17FE6E806AA0} - No File
Toolbar: HKU\S-1-5-21-3581556304-2451318682-1982156402-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
CHR HKLM\...\Chrome\Extension: [ablpcikjmhamjanpibkccdmpoekjigja] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gdljkkmghdkckhaogaemgbgdfophkfco] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-09-09]
OPR Extension: (SL for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\baohinapilmkigilbbbcccncoljkdpnd [2015-09-15]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-07-29]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2015-01-12]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\dmglolhoplikcoamfgjgammjbgchgjdd [2015-07-08]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\eignhdfgaldabilaaegmdfbajngjmoke [2015-03-25]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\fnbdnhhicmebfgdgglcdacdapkcihcoh [2015-01-22]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\kejbdjndbnbjgmefkgdddjlbokphdefk [2015-01-27]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-08-28]
S2 VuuPCConnectivity; C:\Program Files\VuuPC\Connectivity.exe [X]
2015-12-18 15:10 - 2016-02-17 13:05 - 00000000 __SHD C:\ProgramData\Drivers
2015-12-18 15:10 - 2015-12-18 15:10 - 00000000 ____D C:\ProgramData\Infosec
2015-12-18 15:09 - 2015-12-18 15:09 - 03072054 _____ C:\Users\Администратор\AppData\Roaming\C3A3E283C3A3E283.bmp
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README9.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README8.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README7.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README6.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README5.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README4.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README3.txt
2015-12-18 15:09 - 2015-12-18 15:09 - 00000845 _____ C:\Users\Администратор\Desktop\README2.txt
2015-12-18 13:16 - 2016-02-17 13:05 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Администратор\AppData\Local\Temp\5VMha1l4r5Tr.exe
C:\Users\Администратор\AppData\Local\Temp\841D855BE84B4E9BBC386272C233B451.exe
C:\Users\Администратор\AppData\Local\Temp\amigo_setup.exe
C:\Users\Администратор\AppData\Local\Temp\CwktOy3OKbER.exe
C:\Users\Администратор\AppData\Local\Temp\IMolXBtLmO5G.exe
C:\Users\Администратор\AppData\Local\Temp\NaLlDFiHp8ut.exe
C:\Users\Администратор\AppData\Local\Temp\nspDB12.tmp.exe
CustomCLSID: HKU\S-1-5-21-3581556304-2451318682-1982156402-1003_Classes\CLSID\{095A2EEC-F7FE-42E8-96FB-C20E53081908}\InprocServer32 -> C:\Users\Администратор\AppData\Local\Google\Update\1.3.21.99\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3581556304-2451318682-1982156402-1003_Classes\CLSID\{218D2740-5A50-42A8-AB9F-62FF1B168782}\InprocServer32 -> C:\Users\Администратор\AppData\Local\Google\Update\1.3.21.69\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3581556304-2451318682-1982156402-1003_Classes\CLSID\{320F0FDB-BE0A-4648-9D18-4A2C3448C007}\InprocServer32 -> C:\Users\Администратор\AppData\Local\Google\Update\1.3.21.79\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3581556304-2451318682-1982156402-1003_Classes\CLSID\{C5A2122B-A05B-4FD8-AE49-91990AE10998}\InprocServer32 -> C:\Users\Администратор\AppData\Local\Google\Update\1.3.21.115\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3581556304-2451318682-1982156402-1003_Classes\CLSID\{FB994D36-B312-46CE-A40B-CF63980641F9}\InprocServer32 -> C:\Users\Администратор\AppData\Local\Google\Update\1.3.21.111\psuser.dll => No File
Task: {1051E5DD-61C0-41A9-891A-2F875BC2661A} - \BonanzaDealsLiveUpdateTaskMachineUA -> No File <==== ATTENTION
Task: {7A489DBC-72EC-4599-94AA-503CF10D4FB2} - \Safebrowser -> No File <==== ATTENTION
Task: {84CABB6A-EA01-424C-9753-F0E4273F6D41} - \Microsoft Network Downloader -> No File <==== ATTENTION
Task: {9F8C36DB-C121-4794-BD96-AB1FEA88F779} - \BonanzaDealsLiveUpdateTaskMachineCore -> No File <==== ATTENTION
Task: {A29AC7C1-35D1-4487-AF00-D308B63FA230} - \Kbupdater Utility -> No File <==== ATTENTION
Task: {A3CD101D-D132-4A80-8D9F-1AAEE2B2AEF5} - \BonanzaDealsUpdate -> No File <==== ATTENTION
Task: {D632D016-BB55-4F8A-843E-DF6CA12B2FE2} - \appdistrib -> No File <==== ATTENTION
Task: {F61F8896-8813-42AB-9B2C-5E3D0F28A015} - \VuuPCUpdateLogin -> No File <==== ATTENTION
Task: {F69AE9E9-0C43-400D-AD22-167650351514} - \VuuPCUpdate -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
24.02.2016, 05:22
Ruslan83

Вложений: 1

новый лог
24.02.2016, 18:14
thyrex

С расшифровкой не поможем
24.02.2016, 20:49
Ruslan83

Есть ли какие нибудь варианты на платной основе или хотя бы совет что делать?
25.02.2016, 21:14
thyrex

Мы не поможем никоим образом
25.02.2016, 21:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]29[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\drivers\csrss.exe - [B]Trojan-Ransom.Win32.Shade.vp[/B] ( DrWEB: Trojan.DownLoader16.31036, BitDefender: Gen:Trojan.Heur.2mKfX4T81vac, AVAST4: Win32:Malware-gen )[*] c:\programdata\windows\csrss.exe - [B]Trojan.Win32.Agent.ihpg[/B][*] c:\users\администратор\appdata\local\microsoft\extensions\safebrowser.exe - [B]not-a-virus:Downloader.NSIS.Browex.c[/B] ( DrWEB: archive:, AVAST4: Win32:Malware-gen )[/LIST][/LIST]