Дешифратор [email protected] [not-a-virus:AdWare.Win32.Goopdate.d, not-a-virus:WebToolbar.Win32.CrossRider.amqa ]

[COLOR=#282828][FONT=helvetica]День добрый,[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica] [/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]вчера обнаружил на своем серверном компьютере,[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]что все файлы эксель и фото переименованы в архивы [email][email protected][/email].........[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica] [/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]для распаковки просит ввести код,[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]понимаю, что произошло это в следствии атаки вируса,[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica] [/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]просьба помочь или перенаправить на уже существующую ветку[/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica] [/FONT][/COLOR]
[COLOR=#282828][FONT=helvetica]Всем премного благодарен![/FONT][/COLOR]

Уважаемый(ая) [B]toreo_v[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Определитесь, где продолжите: здесь или на [url=http://forum.kasperskyclub.ru/index.php?showtopic=50880]фан-клубе Лаборатории Касперского[/url]

[QUOTE=thyrex;1390167]Определитесь, где продолжите: здесь или на [url=http://forum.kasperskyclub.ru/index.php?showtopic=50880]фан-клубе Лаборатории Касперского[/url][/QUOTE]

прошу прощения, последняя ссылка правильная [url]http://ifolder.com.ua/fcr9kbqkktc0.html[/url]

Логи прикрепляют к сообщению, а не пихают на обменник с просмотром рекламы

Поймал вирус [email][email protected][/email], переименовало фото и многие файлы,
никакого окна с переводом денег не выскакивает,

логи во вложении,


буду признателен за помощь!

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdateres_en.dll','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdate.dll','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.exe','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-6.exe','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.exe','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.exe','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-10.exe','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.exe','');
QuarantineFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-6.exe','');
DelBHO('{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}');
QuarantineFile('C:\Program Files\Torrent Search\IEEF\e7TVy8wJY7.dll','');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','');
QuarantineFile('C:\Program Files\Google\chrome.bat','');
QuarantineFile('C:\Program Files\Security Administrator\newlock.exe','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','hjcflvvtwu');
DeleteFile('C:\Program Files\Google\chrome.bat','32');
DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','32');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\Program Files\Torrent Search\IEEF\e7TVy8wJY7.dll','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-6.exe','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.exe','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-10.exe','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.exe','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.exe','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.job','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.job','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-10_user.job','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.job','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-6.job','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-6.job','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-6.exe','32');
DeleteFile('C:\Program Files\CinemaPlus_1.3dV06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.exe','32');
DeleteFile('C:\WINDOWS\Tasks\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.job','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdate.dll','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdateres_en.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]

[B][COLOR="Red"]Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи[/COLOR][/B]

еще раз логи

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.


Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
6. Логи, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

вот это квест,
надеюсь с радостным исходом!:clapping:

C:\Program Files\Security Administrator - содержимое этой папки Вам знакомо?

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-839522115-776561741-725345543-1004\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-839522115-776561741-725345543-1006\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-839522115-776561741-725345543-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
FF Homepage: hxxp://orbevod.ru/?utm_source=startpage03&utm_content=13dd7a8326acd84a9379b6d992b4089c
FF Extension: NetFilterPRO - C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-05-07] [not signed]
FF Extension: TSearch - C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{6E727987-C8EA-44DA-8749-310C0FBE3C3E} [2015-05-07] [not signed]
FF Extension: SuperMegaBest.com - C:\Documents and Settings\User\Application Data\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2015-05-07] [not signed]
CHR HomePage: Default -> hxxp://www.search.ask.com/?gct=hp
CHR DefaultSearchURL: Default -> hxxp://www.search.ask.com/web?q={searchTerms}
CHR DefaultSearchKeyword: Default -> search.ask.com
CHR DefaultSuggestURL: Default -> hxxp://ssmsp.ask.com/query?sstype=prefix&li=ff&q={searchTerms}
CHR Extension: (CinemaPlus_1.3dV06.05) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\lkadffjmnaiokkdncgdlecdegajoiemi [2015-05-07]
CHR Extension: (NetFilterPRO) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-07]
CHR Extension: (No Name) - C:\Documents and Settings\User\Local Settings\Application Data\Video Ball\Component [2015-07-24]
CHR HKLM\...\Chrome\Extension: [aaaaahlfahldnilidgnlikdckbfehhca] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [aonedlchkbicmhepimiahfalheedjgbh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-839522115-776561741-725345543-1004\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (amhhdbdhoghppijbjfdkiaconkmfbbpa) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\amhhdbdhoghppijbjfdkiaconkmfbbpa [2015-05-11]
OPR Extension: (SuperMegaBest.com) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2015-05-07]
OPR Extension: (Универсальный перевод для Chrome) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\faminaibgiklngmfpfbhmokfmnglamcm [2015-05-07]
OPR Extension: (No Name) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\kcfefccmndghghcanogfebekgbajgibi [2015-05-07]
OPR Extension: (NetFilterPRO) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-07]
2016-07-01 10:13 - 2015-05-07 08:32 - 00000000 ____D C:\Program Files\Torrent Search
2015-05-07 17:55 - 2015-05-07 17:55 - 0000042 _____ () C:\Documents and Settings\User\Application Data\628614A6B22121
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]

Доброе утро,

содержимое не совсем знакомо (хотя мог и ставить какую то программулину)
компьютер находится в сети, доступы теоретически ограничены


файл прикрепил

Жду с нетерпением!

С разархивированием помочь не сможем

[QUOTE=thyrex;1391324]С разархивированием помочь не сможем[/QUOTE]

все файлы удалить с компьютера, они дальше компы могут заражать?

Активного вируса в логах нет. Дальше архивироваться ничего не будет.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]37[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-1-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.amqa[/B] ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.fv1@mCZSZwoO )[*] c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-3.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.amqa[/B] ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.qv1@mugD4RoO )[*] c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-5.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.amqa[/B] ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.iv1@m4YKIjjO )[*] c:\program files\cinemaplus_1.3dv06.05\9a3dc4f9-1a1e-47d4-801e-e23adeba94b8-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.amqa[/B] ( DrWEB: Trojan.Crossrider1.42770, BitDefender: Gen:Application.Heur.fv1@mCZSZwoO )[*] c:\program files\globalupdate\update\1.3.25.0\goopdate.dll - [B]not-a-virus:AdWare.Win32.Goopdate.c[/B] ( DrWEB: Adware.Boxore.20 )[*] c:\program files\globalupdate\update\1.3.25.0\goopdateres_en.dll - [B]not-a-virus:AdWare.Win32.Goopdate.d[/B] ( DrWEB: Adware.Boxore.20, BitDefender: Gen:Variant.Adware.Goopdate.2 )[*] c:\program files\google\chrome.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][/LIST][/LIST]