Помогите пожалуйста , вирус зашифровал файлы и добавил расширение .crime (Windows7 x64)

Printable View

17.02.2016, 19:26
zadalesk

Вложений: 2

Помогите пожалуйста , вирус зашифровал файлы и добавил расширение .crime (Windows7 x64)

[COLOR=#333333]На днях выхватил шифровальщика, по глупости, запустил неизвестное приложение. Все фотографии, текстовые документы получили расширение "crime". У меня стоял avast, которым я сделал полную проверку. Найдено была несколько вирусов. Проблема не решилась. После чего я удалил аваст, поставил касперского, провел полную проверку в безопасном режиме, так же было найдено и удалено несколько вирусов, однако проблему это опять не решило. Что можно сделать? Помогите пожалуйста.
Система 64-х разрядная[/COLOR]
17.02.2016, 19:27
Info_bot

Уважаемый(ая) [B]zadalesk[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.02.2016, 01:23
SQ

Здравствуйте,

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
QuarantineFile('C:\Users\Александр\AppData\Local\ProfitSaver\config.json','');
QuarantineFile('C:\Users\Александр\AppData\Local\ProfitSaver\stub.exe','');
QuarantineFile('C:\Users\Александр\AppData\Roaming\MyDesktop\linkme0120.exe','');
QuarantineFile('C:\Users\Александр\AppData\Roaming\tor\SSLEAY32.dll','');
QuarantineFile('C:\Users\Александр\AppData\Roaming\tor\libevent-2-0-5.dll','');
QuarantineFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','');
QuarantineFile('c:\users\Александр\appdata\roaming\tor\tor.exe','');
DeleteFile('C:\Users\Александр\AppData\Local\ProfitSaver\config.json','32');
DeleteFile('C:\Users\Александр\AppData\Local\ProfitSaver\stub.exe','32');
DeleteFile('C:\Users\Александр\AppData\Roaming\MyDesktop\linkme0120.exe','32');
DeleteFileMask('C:\Users\Александр\AppData\Roaming\MyDesktop', '*', true, ' ');
DeleteDirectory('C:\Users\Александр\AppData\Roaming\MyDesktop');
DeleteFileMask('C:\Users\Александр\AppData\Local\ProfitSaver', '*', true, ' ');
DeleteDirectory('C:\Users\Александр\AppData\Local\ProfitSaver');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyDesktop');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ProfitSaver');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(1);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте новый лог AVZ

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
18.02.2016, 13:34
zadalesk

Вложений: 2

Сделал
18.02.2016, 14:04
SQ

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
18.02.2016, 19:24
zadalesk

Вложений: 1

Вот
18.02.2016, 21:30
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
19.02.2016, 07:53
zadalesk

Вложений: 2

Есть
19.02.2016, 09:59
SQ

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
QuarantineFile('C:\Windows\taskmgr.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\Policies\Explorer: []
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: F - F:\AutoRun.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {0b368d53-6be0-11df-834f-00242159c07e} - K:\Setup.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {28f5da97-698f-11e3-ac47-00242159c07e} - L:\iLinker.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {5a228814-2aaa-11e5-b327-001e101f7fb6} - F:\AutoRun.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {94553a53-aca3-11e0-88f1-00242159c07e} - F:\fscommand\LS_Start_Launch.cmd
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {bf7ff3f5-2a11-11e5-bbe3-00242159c07e} - F:\AutoRun.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {bf7ff400-2a11-11e5-bbe3-00242159c07e} - F:\AutoRun.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {e2b19cd0-4c55-11e3-a400-00242159c07e} - F:\Startme.exe
HKU\S-1-5-21-202771895-2479421416-2840649287-1000\...\MountPoints2: {fe7204fa-4fd1-11e5-bf95-00242159c07e} - F:\fscommand\LS_Start_Launch.cmd
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
Toolbar: HKU\S-1-5-21-202771895-2479421416-2840649287-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
Toolbar: HKU\S-1-5-21-202771895-2479421416-2840649287-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
FF Extension: No Name - C:\Users\Александр\AppData\Roaming\Mozilla\Firefox\Profiles\ntl19pxj.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Александр\AppData\Roaming\Mozilla\Firefox\Profiles\ntl19pxj.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Александр\AppData\Roaming\Mozilla\Firefox\Profiles\ntl19pxj.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Александр\AppData\Roaming\Mozilla\Firefox\Profiles\ntl19pxj.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
CHR HKLM\...\Chrome\Extension: [lpeeaghdjmhlakojjcgfdhgcejdaefmi] - hxxps://chrome.google.com/webstore/detail/lpeeaghdjmhlakojjcgfdhgcejdaefmi
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lpeeaghdjmhlakojjcgfdhgcejdaefmi] - hxxps://chrome.google.com/webstore/detail/lpeeaghdjmhlakojjcgfdhgcejdaefmi
Folder: C:\Users\Александр\AppData\Roaming\CryptoDB
Folder: C:\Users\Александр\AppData\Roaming\Orion
2016-02-14 13:23 - 2016-02-14 13:23 - 00000189 _____ C:\Users\Александр\AppData\Local\Temp4dtdfqft.nb4.bat
2016-02-14 13:22 - 2016-02-14 17:36 - 00000000 ____D C:\Users\Александр\AppData\Roaming\FreeVPN
Folder: C:\Users\Александр\AppData\LocalLow\Unity
Folder: C:\Users\Александр\AppData\Local\Unity
2016-02-14 13:22 - 2016-02-14 13:22 - 00073216 _____ C:\Windows\taskmgr.exe
Folder: C:\Windows\PLAG
Folder: C:\Windows\Azart
2016-02-14 13:22 - 2016-02-14 13:22 - 00000000 ____D C:\Users\Александр\AppData\Roaming\MailProducts
2016-02-14 13:23 - 2016-02-14 13:23 - 0000189 _____ () C:\Users\Александр\AppData\Local\Temp4dtdfqft.nb4.bat
C:\Users\Александр\AppData\Local\Temp\AcDeltree.exe
C:\Users\Александр\AppData\Local\Temp\AmigoDistrib.exe
C:\Users\Александр\AppData\Local\Temp\CFD6.tmp.exe
C:\Users\Александр\AppData\Local\Temp\component.exe
C:\Users\Александр\AppData\Local\Temp\drm_dyndata_7380012.dll
C:\Users\Александр\AppData\Local\Temp\FNP_ACT_InstallerCA.dll
C:\Users\Александр\AppData\Local\Temp\FP_AX_MSI_INSTALLER.exe
C:\Users\Александр\AppData\Local\Temp\FreeVPNSetup.exe
C:\Users\Александр\AppData\Local\Temp\gert0.exe
C:\Users\Александр\AppData\Local\Temp\haspdinst_x64.exe
C:\Users\Александр\AppData\Local\Temp\hcv_mailruhomesearch (1).exe
C:\Users\Александр\AppData\Local\Temp\hcv_mailruhomesearch.exe
C:\Users\Александр\AppData\Local\Temp\installerdll1032015.dll
C:\Users\Александр\AppData\Local\Temp\installerdll1038156.dll
C:\Users\Александр\AppData\Local\Temp\installerdll1377281.dll
C:\Users\Александр\AppData\Local\Temp\installerdll1378937.dll
C:\Users\Александр\AppData\Local\Temp\installerdll1387109.dll
C:\Users\Александр\AppData\Local\Temp\installerdll2151453.dll
C:\Users\Александр\AppData\Local\Temp\InstallManager_GEN_GEN.exe
C:\Users\Александр\AppData\Local\Temp\jre_setup.exe
C:\Users\Александр\AppData\Local\Temp\MSN57C1.exe
C:\Users\Александр\AppData\Local\Temp\OriginLauncher1377281.exe
C:\Users\Александр\AppData\Local\Temp\ose00000.exe
C:\Users\Александр\AppData\Local\Temp\rootsupd.exe
C:\Users\Александр\AppData\Local\Temp\Setup-praetorian.exe
C:\Users\Александр\AppData\Local\Temp\Setup-yabrowser.exe
C:\Users\Александр\AppData\Local\Temp\Setup.exe
C:\Users\Александр\AppData\Local\Temp\stub.exe
C:\Users\Александр\AppData\Local\Temp\Uninstall.exe
C:\Users\Александр\AppData\Local\Temp\utt1BBE.tmp.exe
C:\Users\Александр\AppData\Local\Temp\utt4B8A.tmp.exe
C:\Users\Александр\AppData\Local\Temp\uttCCED.tmp.exe
C:\Users\Александр\AppData\Local\Temp\uttF1BA.tmp.exe
C:\Users\Александр\AppData\Local\Temp\vcredist_x64.exe
C:\Users\Александр\AppData\Local\Temp\vcredist_x86.exe
CustomCLSID: HKU\S-1-5-21-202771895-2479421416-2840649287-1000_Classes\CLSID\{6A221957-2D85-42A7-8E19-BE33950D1DEB}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2013\acad.exe => No File
CustomCLSID: HKU\S-1-5-21-202771895-2479421416-2840649287-1000_Classes\CLSID\{BD0DEB94-63DB-4392-9420-6EEE05094B1F}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2013\acad.exe /Automation => No File
AlternateDataStreams: C:\Program Files\Common Files\Microsoft Shared:uaKb93Zl9LcJckPPJXXhQREGi
AlternateDataStreams: C:\ProgramData\Microsoft:2R9oxfwqoA34iYfb
AlternateDataStreams: C:\ProgramData\Microsoft:QKSYvojdIe40ZliIMYP0
AlternateDataStreams: C:\Users\Александр\Cookies:i408kAx4PviBvW0YtNe60K
AlternateDataStreams: C:\Users\Все пользователи\Microsoft:2R9oxfwqoA34iYfb
AlternateDataStreams: C:\Users\Все пользователи\Microsoft:QKSYvojdIe40ZliIMYP0
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
19.02.2016, 11:47
zadalesk

Вложений: 1

Готово
19.02.2016, 13:05
SQ

Знаком ли Вам следующий каталог?
[QUOTE]C:\Users\Александр\AppData\Roaming\CryptoDB [/QUOTE]

Каталог со следующим содержимым:
[QUOTE]========================= Folder: C:\Users\Александр\AppData\Roaming\CryptoDB ========================

2016-02-14 17:29 - 2016-02-15 20:46 - 1186784 _____ () C:\Users\Александр\AppData\Roaming\CryptoDB\FindFILES
2016-02-14 17:26 - 2016-02-14 17:26 - 0000352 _____ () C:\Users\Александр\AppData\Roaming\CryptoDB\UserID
2016-02-14 17:25 - 2016-02-15 19:59 - 0000352 _____ () C:\Users\Александр\AppData\Roaming\CryptoDB\xRealIP
====== End of Folder: ======[/QUOTE]
19.02.2016, 13:22
zadalesk

Нет, не знаком
19.02.2016, 13:25
SQ

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
2016-02-14 17:25 - 2016-02-14 17:29 - 00000000 ____D C:\Users\Александр\AppData\Roaming\CryptoDB
2016-02-14 13:23 - 2016-02-14 13:23 - 00000000 ____D C:\Users\Александр\AppData\Roaming\Orion
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

С рашифровкой не поможем.
20.02.2016, 16:05
zadalesk

Вложений: 1

вот
20.02.2016, 16:15
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]