зашифрованы файлы BETTER_CALL_SAUL после открытия архива по email

Printable View

26.04.2016, 14:16
Роман Жирненков

Вложений: 3

зашифрованы файлы BETTER_CALL_SAUL после открытия архива по email

[ATTACH=CONFIG]627520[/ATTACH][ATTACH=CONFIG]627523[/ATTACH][ATTACH=CONFIG]627524[/ATTACH]
26.04.2016, 14:17
Info_bot

Уважаемый(ая) [B]Роман Жирненков[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.04.2016, 22:47
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','');
DeleteService('iSafeNetFilter');
DeleteService('iSafeKrnlR3');
DeleteService('iSafeKrnlKit');
DeleteService('iSafeKrnlBoot');
DeleteService('iSafeKrnl');
DeleteService('iSafeService');
QuarantineFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe','');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\iSafeKrnlBoot.sys','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\iSafeNetFilter.sys','32');
DeleteFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
27.04.2016, 13:31
Роман Жирненков

Вложений: 3

новые логи
[ATTACH]627669[/ATTACH][ATTACH]627670[/ATTACH][ATTACH]627674[/ATTACH]
27.04.2016, 18:37
thyrex

Я еще один лог просил дополнительно
28.04.2016, 00:29
Роман Жирненков

Вложений: 1

дополнительный лог
[ATTACH=CONFIG]627761[/ATTACH]
29.04.2016, 14:14
Роман Жирненков

Вложений: 4

[QUOTE=thyrex;1378452]Я еще один лог просил дополнительно[/QUOTE]
вот дополнительный лог и первоначальные
[ATTACH=CONFIG]627898[/ATTACH][ATTACH=CONFIG]627899[/ATTACH][ATTACH=CONFIG]627900[/ATTACH][ATTACH=CONFIG]627901[/ATTACH]
30.04.2016, 07:03
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

+ Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
03.05.2016, 17:22
Роман Жирненков

Вложений: 1

[QUOTE=thyrex;1378909]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

+ Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url][/QUOTE]
Лог полного сканирования в тхт формате весит слишком много и не прикрепляется. что делать??[ATTACH=CONFIG]628196[/ATTACH]
04.05.2016, 19:02
thyrex

[quote="Роман Жирненков;1379343"]Лог полного сканирования в тхт формате весит слишком много[/quote]Заархивируйте
05.05.2016, 15:43
Роман Жирненков

Вложений: 1

[QUOTE=thyrex;1379505]Заархивируйте[/QUOTE]
За архивировал журнал [ATTACH=CONFIG]628366[/ATTACH]
07.05.2016, 10:12
thyrex

Удалите в МВАМ все найденное
10.05.2016, 01:14
Роман Жирненков

[QUOTE=thyrex;1379897]Удалите в МВАМ все найденное[/QUOTE]

Сделано. Что дальше?
10.05.2016, 10:11
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
11.05.2016, 15:08
Роман Жирненков

Вложений: 1

[QUOTE=thyrex;1380239]Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.[/QUOTE]
логи в архиве [ATTACH=CONFIG]628810[/ATTACH]
12.05.2016, 21:57
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\ProgramData\Windows
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README9.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README8.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README7.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README6.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README5.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README4.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README3.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README2.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README10.txt
S2 browserServer_2015.11.03.13.04.51; C:\Program Files (x86)\ghokswa Browser\ghokswa\bin\browserServer.exe [X]
S0 1EF66943; system32\drivers\1EF66943.sys [X]
S0 D92FB68B; system32\drivers\D92FB68B.sys [X]
CHR HomePage: Default -> hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z
CHR StartupUrls: Default -> "hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z"
CHR NewTab: Default -> "chrome-extension://nkcpopggjcjkiicpenikeogioednjeac/layout/newtab.html"
CHR DefaultSearchURL: Default -> hxxp://www.nicesearches.com/search.php?type=ds&ts=1457377818&from=zzgbkk123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=efbe68bed0eca9a43a6f6dfg5z4w8mbceb3g0zbofz&q={searchTerms}
CHR DefaultSearchKeyword: Default -> nice
BHO-x32: No Name -> {E33CF602-D945-461A-83F0-819F76A199F8} -> No File
Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
BHO-x32: No Name -> {73455575-E40C-433C-9784-C78DC7761455} -> No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {5564CC73-EFA7-4CBF-918A-5CF7FBBFFF4F} -> No File
BHO: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
CHR HKU\S-1-5-21-1362234709-1847172404-1144495601-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM-x32\...\Run: [] => [X]
Task: {BE7E2E97-861E-48C6-AC17-C6A72D7B358A} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {105CAF25-F8FA-4D15-8347-701490DABFF0} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
13.05.2016, 12:43
Роман Жирненков

Вложений: 1

[QUOTE=thyrex;1380758]1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-22 15:16 - 2016-04-22 22:00 - 00000000 __SHD C:\ProgramData\Windows
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README9.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README8.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README7.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README6.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README5.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README4.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README3.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README2.txt
2016-04-22 15:26 - 2016-04-22 15:26 - 00002734 _____ C:\README10.txt
S2 browserServer_2015.11.03.13.04.51; C:\Program Files (x86)\ghokswa Browser\ghokswa\bin\browserServer.exe [X]
S0 1EF66943; system32\drivers\1EF66943.sys [X]
S0 D92FB68B; system32\drivers\D92FB68B.sys [X]
CHR HomePage: Default -> hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z
CHR StartupUrls: Default -> "hxxp://www.nicesearches.com/search.php?q=keyword&type=hp&ts=1458539747&from=mych123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=7264c721310861651988b1fg9z3w2b5w1z2c4c8w8z"
CHR NewTab: Default -> "chrome-extension://nkcpopggjcjkiicpenikeogioednjeac/layout/newtab.html"
CHR DefaultSearchURL: Default -> hxxp://www.nicesearches.com/search.php?type=ds&ts=1457377818&from=zzgbkk123&uid=samsungxhn-m320mbb_s2tjj9cba04875&z=efbe68bed0eca9a43a6f6dfg5z4w8mbceb3g0zbofz&q={searchTerms}
CHR DefaultSearchKeyword: Default -> nice
BHO-x32: No Name -> {E33CF602-D945-461A-83F0-819F76A199F8} -> No File
Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
BHO-x32: No Name -> {73455575-E40C-433C-9784-C78DC7761455} -> No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {5564CC73-EFA7-4CBF-918A-5CF7FBBFFF4F} -> No File
BHO: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File
CHR HKU\S-1-5-21-1362234709-1847172404-1144495601-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM-x32\...\Run: [] => [X]
Task: {BE7E2E97-861E-48C6-AC17-C6A72D7B358A} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {105CAF25-F8FA-4D15-8347-701490DABFF0} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list][/QUOTE]
лог [ATTACH=CONFIG]629037[/ATTACH]
13.05.2016, 22:11
thyrex

С расшифровкой не поможем