вирус зашифровал файлы и добавил расширение .crime [not-a-virus:PSWTool.Win32.NetPass.bsn ]

Printable View

Показывать 40 сообщений этой темы на одной странице

17.02.2016, 19:46
michael_mn

Вложений: 3

вирус зашифровал файлы и добавил расширение .crime [not-a-virus:PSWTool.Win32.NetPass.bsn ]

Здравствуйте, все ваши файлы зашифрованы, свяжитесь с нами для их восстановления.
1) Загрузите 'Tor Browser for Windows', скачать можно тут [url]https://www.torproject.org/download/download-easy.html.en[/url]
2) Установите и запустите 'Tor Browser'
3) Перейдите по ссылке [url]http://lmlxhqpsvdylun4v.onion[/url] в 'Tor Browser' - (ВНИМАНИЕ, САЙТ ДОСТУПЕН ТОЛЬКО ЧЕРЕЗ 'Tor Browser')
4) Следуйте инструкциям на сайте

--------------------------------------------------------------

Login: f9257403
Password: 55732b97fbd6ff82c1b8d1b0a52a225e
Внимание: выкладывать 'Password' в публичный доступ ЗАПРЕЩЕНО.
17.02.2016, 19:47
Info_bot

Уважаемый(ая) [B]michael_mn[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.02.2016, 01:32
SQ

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\content defender\condefclean.exe','');
QuarantineFile('C:\Program Files\content defender\contentdefenderps.dll','');
QuarantineFile('C:\Program Files\content defender\import_root_cert.exe','');
QuarantineFile('C:\Program Files\content defender\nfregdrv.exe','');
QuarantineFile('C:\Program Files\content defender\nss\certutil.exe','');
QuarantineFile('C:\Program Files\content defender\nss\mozcrt19.dll','');
QuarantineFile('C:\Program Files\content defender\nss\nspr4.dll','');
QuarantineFile('C:\Program Files\content defender\nss\nss3.dll','');
QuarantineFile('C:\Program Files\content defender\nss\plc4.dll','');
QuarantineFile('C:\Program Files\content defender\nss\plds4.dll','');
QuarantineFile('C:\Program Files\content defender\nss\smime3.dll','');
QuarantineFile('C:\Program Files\content defender\nss\softokn3.dll','');
QuarantineFile('c:\program files\ucbrowser\application\5.5.10106.5\ucagent.exe','');
QuarantineFile('c:\program files\ucbrowser\application\ucservice.exe','');
QuarantineFile('C:\Program Files\Windows Media Player\wmpnscfg.exe','');
QuarantineFile('C:\ProgramData\4WMi','');
QuarantineFile('C:\Users\ВАЛИК\AppData\Roaming\tor\LIBEAY32.dll','');
QuarantineFile('C:\Users\ВАЛИК\AppData\Roaming\tor\libevent-2-0-5.dll','');
QuarantineFile('C:\Users\ВАЛИК\AppData\Roaming\tor\SSLEAY32.dll','');
QuarantineFile('c:\users\ВАЛИК\appdata\roaming\tor\tor.exe','');
QuarantineFile('C:\Windows\system32\cpldapu\webbrowserpassview.exe','');
QuarantineFile('C:\Windows\system32\drivers\{d487b1e4-59cf-4940-87da-e7c5a283dab7}w.sys','');
DeleteFile('C:\Program Files\content defender\condefclean.exe','32');
DeleteFile('C:\Program Files\content defender\contentdefenderps.dll','32');
DeleteFile('C:\Program Files\content defender\import_root_cert.exe','32');
DeleteFile('C:\Program Files\content defender\nfregdrv.exe','32');
DeleteFile('C:\Program Files\content defender\nss\certutil.exe','32');
DeleteFile('C:\Program Files\content defender\nss\mozcrt19.dll','32');
DeleteFile('C:\Program Files\content defender\nss\nspr4.dll','32');
DeleteFile('C:\Program Files\content defender\nss\nss3.dll','32');
DeleteFile('C:\Program Files\content defender\nss\plc4.dll','32');
DeleteFile('C:\Program Files\content defender\nss\plds4.dll','32');
DeleteFile('C:\Program Files\content defender\nss\smime3.dll','32');
DeleteFile('C:\Program Files\content defender\nss\softokn3.dll','32');
DeleteFile('C:\ProgramData\4WMi','32');
DeleteFile('C:\Windows\system32\drivers\{d487b1e4-59cf-4940-87da-e7c5a283dab7}w.sys','32');
DeleteFileMask('C:\Program Files\content defender', '*', true, ' ');
DeleteDirectory('C:\Program Files\content defender');
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте новый лог AVZ

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
18.02.2016, 10:37
michael_mn

Вложений: 3

Новые логи

Новые логи
18.02.2016, 11:05
SQ

Знакома ли Вам следующее?
[CODE]C:\Windows\system32\cpldapu\webbrowserpassview.exe - not-a-virus:PSWTool.Win32.NetPass.bsn [/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\system32\migwiz\migwiz.exe','');
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
18.02.2016, 12:23
michael_mn

Вложений: 1

Отчет

Отчет
18.02.2016, 13:56
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
18.02.2016, 14:19
michael_mn

Вложений: 2

Отчет

Отчет
18.02.2016, 15:37
SQ

[QUOTE=SQ;1359420]Знакома ли Вам следующее?
[CODE]C:\Windows\system32\cpldapu\webbrowserpassview.exe - not-a-virus:PSWTool.Win32.NetPass.bsn [/CODE]
[/QUOTE]
Так и не уточнили ранее.
18.02.2016, 16:39
michael_mn

[QUOTE=SQ;1359497]Так и не уточнили ранее.[/QUOTE]
нет, что с ней делать?
18.02.2016, 16:59
SQ

[QUOTE=michael_mn;1359512]нет, что с ней делать?[/QUOTE]
Эта утилита для просмотра паролей, если Вам она не требуется, тогда могу прописать в фиксе ее удаление, уточните Ваше решение?
18.02.2016, 17:51
michael_mn

Не нужна! Удаляем!
18.02.2016, 21:08
SQ

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-879535978-213804393-1013254645-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-879535978-213804393-1013254645-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin HKU\S-1-5-21-879535978-213804393-1013254645-1000: @mail.ru/GameCenter -> C:\Users\ВАЛИК\AppData\Local\Mail.Ru\GameCenter\NPDetector.dll [No File]
CHR HKLM\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Quick Searcher) - C:\Users\ВАЛИК\AppData\Roaming\Opera Software\Opera Stable\Extensions\ecnphlgnajanjnkcmbpancdjoidceilk [2016-02-14]
S1 {d487b1e4-59cf-4940-87da-e7c5a283dab7}w; system32\drivers\{d487b1e4-59cf-4940-87da-e7c5a283dab7}w.sys [X]
2016-02-15 08:04 - 2016-02-15 08:04 - 00000000 ____D C:\Users\Все пользователи\vRdnpWeK
2016-02-15 08:04 - 2016-02-15 08:04 - 00000000 ____D C:\ProgramData\vRdnpWeK
Folder: C:\Users\ВАЛИК\AppData\Roaming\DoneLock
2016-02-14 22:03 - 2016-02-14 22:03 - 00000000 ____D C:\Users\Все пользователи\sqpvjZF
2016-02-14 22:03 - 2016-02-14 22:03 - 00000000 ____D C:\Users\Все пользователи\rSCMYUmo
2016-02-14 22:03 - 2016-02-14 22:03 - 00000000 ____D C:\Users\Все пользователи\NygUbpI
2016-02-14 22:03 - 2016-02-14 22:03 - 00000000 ____D C:\ProgramData\sqpvjZF
2016-02-14 22:03 - 2016-02-14 22:03 - 00000000 ____D C:\ProgramData\rSCMYUmo
2016-02-14 22:03 - 2016-02-14 22:03 - 00000000 ____D C:\ProgramData\NygUbpI
2016-02-14 14:03 - 2016-02-14 14:03 - 08332800 _____ C:\Users\ВАЛИК\AppData\Roaming\Update_6bAgdktq12Odnvf.exe
2016-02-14 14:03 - 2016-02-14 14:03 - 00025088 _____ C:\Users\ВАЛИК\AppData\Roaming\API.dll
2016-02-14 14:03 - 2016-02-14 14:03 - 00000000 ____D C:\Users\Все пользователи\XxcCnFAwh
Folder: C:\Users\ВАЛИК\AppData\Roaming\Orion
2016-02-14 14:03 - 2016-02-14 14:03 - 00000000 ____D C:\Users\ВАЛИК\AppData\Roaming\MyDesktop
2016-02-14 14:03 - 2016-02-14 14:03 - 00000000 ____D C:\ProgramData\XxcCnFAwh
2016-02-14 14:02 - 2016-02-15 13:54 - 00000000 ____D C:\Program Files\Defsoft
2016-02-14 14:02 - 2016-02-14 14:02 - 00000000 ____D C:\Users\Все пользователи\UdqqucYwu
2016-02-14 14:02 - 2016-02-14 14:02 - 00000000 ____D C:\Users\Все пользователи\RoZkDzjUK
2016-02-14 14:02 - 2016-02-14 14:02 - 00000000 ____D C:\Users\Все пользователи\KIvwFXW
2016-02-14 14:02 - 2016-02-14 14:02 - 00000000 ____D C:\ProgramData\UdqqucYwu
2016-02-14 14:02 - 2016-02-14 14:02 - 00000000 ____D C:\ProgramData\RoZkDzjUK
2016-02-14 14:02 - 2016-02-14 14:02 - 00000000 ____D C:\ProgramData\KIvwFXW
2016-02-16 10:41 - 2015-11-02 16:07 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MyBrowser
CustomCLSID: HKU\S-1-5-21-879535978-213804393-1013254645-1000_Classes\CLSID\{5A8FF410-F3CE-4844-B31B-F18D911239E8}\InprocServer32 -> C:\Users\ВАЛИК\AppData\Local\Mail.Ru\GameCenter\NPDetector.dll => No File
Task: {33FBBE72-7A5A-4375-976A-C15B4314CED0} - \Microsoft\Windows\Media Center\MediaCenterRecoveryTask -> No File <==== ATTENTION
Task: {3960452D-EA2A-4BA4-BCA8-3AA5B923A2D2} - \Microsoft\Windows\Media Center\PvrScheduleTask -> No File <==== ATTENTION
Task: {6EEB675A-4A87-48F0-9E7B-0C2A187773E7} - \Microsoft\Windows\Media Center\ObjectStoreRecoveryTask -> No File <==== ATTENTION
Task: {A84A0956-C8DB-4553-83F9-339D100664AB} - \SystemMonitor2016 -> No File <==== ATTENTION
Task: {FC369009-3098-4DDB-A603-77FE4CB46E2F} - \Microsoft\Windows\Media Center\SqlLiteRecoveryTask -> No File <==== ATTENTION
ShortcutWithArgument: C:\Users\ВАЛИК\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> "hxxp://ryskuro.ru/?utm_source=startlink03&utm_term=7DB44A8115B305E4ED754F9D4E12996F"
FirewallRules: [{04F367A0-F122-4970-B510-E74DB5DE5C29}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [{5EAD477F-5CD8-4774-B9F8-D90AC2563A5C}] => (Allow) C:\program files\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [{3A05877D-C072-4A45-B657-197E758DACDA}] => (Allow) C:\Program Files\Crossbrowse\Crossbrowse\Application\crossbrowse.exe
FirewallRules: [{BD0EC6FC-E895-4DEE-9232-D14FD4041700}] => (Allow) C:\Program Files\MyBrowser\MyBrowser\Application\mybrowser.exe
C:\Windows\system32\cpldapu\webbrowserpassview.exe
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
19.02.2016, 10:08
michael_mn

Вложений: 1

Лог

Лог
19.02.2016, 11:13
SQ

Знакома ли Вам?

[QUOTE]2016-02-14 14:03 - 2016-02-14 14:03 - 0000000 _____ () C:\Users\ВАЛИК\AppData\Roaming\Orion\orion_designer.exe[/QUOTE]

Если нет, то выполните следующие инструкции:

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantine;
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\ВАЛИК\AppData\Roaming\Orion\orion_designer.exe','');
QuarantineFile('C:\Users\ВАЛИК\AppData\Roaming\DoneLock','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
19.02.2016, 12:03
michael_mn

отправил!
19.02.2016, 13:19
SQ

Можно зачищать, так как файл обнулен.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
2016-02-14 14:03 - 2016-02-14 14:03 - 00000000 ____D C:\Users\ВАЛИК\AppData\Roaming\Orion
2016-02-15 10:35 - 2016-02-15 10:35 - 00000000 _____ C:\Users\ВАЛИК\AppData\Roaming\DoneLock
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
19.02.2016, 13:24
michael_mn

Вложений: 1

Лог

Лог
19.02.2016, 13:33
SQ

С рашифровкой не поможем.
19.02.2016, 13:40
michael_mn

[QUOTE=SQ;1359721]С рашифровкой не поможем.[/QUOTE]

А за деньги?

Показывать 40 сообщений этой темы на одной странице