Printable View
Здравствуйте и процветайте! Поймала Sporu, зашифровались все доки в сетевых папках.Знаю что дешифратора пока нет, но подскажите как поймать эту пакость. Проверила CureIt, AnVir,Касперским. Выдал несколько троянов но среди них не было 10.103. Посоветуйте что еще можно предпринять.
Уважаемый(ая) [B]Батаева[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url]http://virusinfo.info/pravila.html[/url]
исправилась
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
QuarantineFile('C:\Windows\c1.exe','');
QuarantineFile('C:\Windows\cuda.exe','');
QuarantineFile('C:\Program Files\WiperSoft\WiperSoft.exe','');
QuarantineFile('C:\Users\ksanka.VRPM\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('c:\windows\core.exe','');
QuarantineFile('C:\Program Files\Common Files\Distribute Application\appdistrib.exe','');
QuarantineFile('C:\Users\ksanka.VRPM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Twilight Pretty Search.lnk','');
QuarantineFile('C:\Users\ksanka.VRPM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Kinoroom Browser.lnk','');
QuarantineFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','');
DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','32');
DeleteFile('C:\Users\ksanka.VRPM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Kinoroom Browser.lnk','32');
DeleteFile('C:\Users\ksanka.VRPM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Twilight Pretty Search.lnk','32');
DeleteFile('C:\Program Files\Common Files\Distribute Application\appdistrib.exe','32');
DeleteFile('C:\Windows\system32\Tasks\appdistrib','32');
DeleteFile('c:\windows\core.exe','32');
DeleteFile('C:\Windows\system32\Tasks\UpCH','32');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','32');
DeleteFile('C:\Users\ksanka.VRPM\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
DeleteFile('C:\Windows\cuda.exe','32');
DeleteFile('C:\Windows\c1.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.
[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
результат
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
готово
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{0000002F-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{00020421-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{00020422-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{00020423-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{00020425-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{0002E005-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{0BE35203-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{0BE35204-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{1423F872-3F7F-4E57-B621-8B1A9D49B448}\InprocServer32 -> C:\Users\ksanka.VRPM\AppData\Local\Google\Update\1.3.27.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{1EFB6596-857C-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{2C247F23-8591-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{35053A22-8589-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{46763EE0-CAB2-11CE-8C20-00AA0051E5D4}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{5C8C2A98-6133-4EBA-BBCC-34D9EA01FC2E}\InprocServer32 -> C:\Users\ksanka.VRPM\AppData\Local\Google\Update\1.3.28.1\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{66833FE6-8583-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Users\ksanka.VRPM\AppData\Local\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{8E3867A3-8586-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{BDD1F04B-858B-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE32-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE33-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE34-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE35-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE36-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE37-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE39-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE3A-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE3B-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE3C-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE3D-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE3E-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE3F-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE40-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE41-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C27CCE42-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C3BC25C0-FCD3-4F01-AFDD-41373F017C9A}\InprocServer32 -> C:\Users\ksanka.VRPM\AppData\Local\Google\Update\1.3.26.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{C74190B6-8589-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Users\ksanka.VRPM\AppData\Local\Google\Update\1.3.28.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{DD9DA666-8594-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3443611449-2964540119-3293674539-1111_Classes\CLSID\{F08DF954-8592-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
Task: {04C047DA-CFE2-4926-B7B1-154D5EB60C5B} - \appdistrib -> No File <==== ATTENTION
Task: {0D9B5D92-3A22-486D-A887-3AA21597CF27} - \Microsoft\Windows\Time Synchronization\SynchronizeTime -> No File <==== ATTENTION
Task: {2A9A6D01-80B7-43BE-85F2-84462F437774} - \Safebrowser -> No File <==== ATTENTION
Task: {56DB3D8E-A29B-4CA8-A567-7157BC19BD8F} - \Kbupdater Utility -> No File <==== ATTENTION
Task: {6AEF0C98-2CB4-4B67-8C70-4C977C7355CC} - \Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {8A5ABFD7-2AD0-4CCF-A898-A2E63ECE6321} - \UpCH -> No File <==== ATTENTION
Task: {CD2C9B68-8198-4885-8D5C-B9DB84399AF4} - \UpnCH -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:1A15E356 [216]
AlternateDataStreams: C:\ProgramData\TEMP:2D6D1D25 [252]
AlternateDataStreams: C:\ProgramData\TEMP:5C353220 [136]
AlternateDataStreams: C:\ProgramData\TEMP:5F59E8EA [159]
AlternateDataStreams: C:\ProgramData\TEMP:638A134E [127]
AlternateDataStreams: C:\ProgramData\TEMP:6A0A47E7 [126]
AlternateDataStreams: C:\ProgramData\TEMP:6C3B8FB5 [370]
AlternateDataStreams: C:\ProgramData\TEMP:7B9BB187 [146]
AlternateDataStreams: C:\ProgramData\TEMP:87A3A233 [179]
AlternateDataStreams: C:\ProgramData\TEMP:890CC2F3 [127]
AlternateDataStreams: C:\ProgramData\TEMP:8A0EFC75 [138]
AlternateDataStreams: C:\ProgramData\TEMP:8E5EA40F [382]
AlternateDataStreams: C:\ProgramData\TEMP:A31FAD21 [178]
AlternateDataStreams: C:\ProgramData\TEMP:C0E4282C [117]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1A15E356 [216]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:2D6D1D25 [252]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:5C353220 [136]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:5F59E8EA [159]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:638A134E [127]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:6A0A47E7 [126]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:6C3B8FB5 [370]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:7B9BB187 [146]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:87A3A233 [179]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:890CC2F3 [127]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:8A0EFC75 [138]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:8E5EA40F [382]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A31FAD21 [178]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:C0E4282C [117]
AlternateDataStreams: C:\Users\Оксана\Local Settings:wa [146]
AlternateDataStreams: C:\Users\Оксана\AppData\Local:wa [146]
AlternateDataStreams: C:\Users\Оксана\AppData\Local\Application Data:wa [146]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\kbupdater utility\kbupdater-utility.exe - [B]not-a-virus:Downloader.Win32.Agent.dgwb[/B] ( DrWEB: Trojan.DownLoader11.64537 )[*] c:\windows\cuda.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.jtz[/B] ( DrWEB: Tool.BtcMine.243, BitDefender: Trojan.Generic.11901028 )[*] c:\windows\c1.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.msg[/B] ( DrWEB: Tool.BtcMine.277, BitDefender: Gen:Variant.Kazy.350301 )[/LIST][/LIST]