Вирус зашифровал Word файлы [HEUR:Trojan.Win32.Generic ]

Printable View

09.03.2017, 18:23
13dimon666q

Вложений: 1

Вирус зашифровал Word файлы [HEUR:Trojan.Win32.Generic ]

Добрый день , помогите , пожалуйста !
Вирус зашифровал Word файлы , лого прилогаю.
Заранее спасибо !
09.03.2017, 18:25
Info_bot

Уважаемый(ая) [B]13dimon666q[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.03.2017, 22:46
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
SetServiceStart('Coupons Browser Update Service', 4);
DeleteService('Coupons Browser Update Service');
TerminateProcessByName('c:\program files\ultimate-discounter browser\udservice.exe');
QuarantineFile('c:\program files\ultimate-discounter browser\udservice.exe','');
DeleteFile('c:\program files\ultimate-discounter browser\udservice.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
09.03.2017, 23:23
13dimon666q

Вот такое сообщение ещё нашёл

ALL YOUR IMPORTANT FILES STORED ON THIS COMPUTER AND ATTACHED DRIVES HAVE BEEN ENCRYPTED USING STRONG AES-256 + RSA-2048 CRYPTOGRAPHY ALGORITHMS

TO UNLOCK AND RESTORE FILES YOU MUST READ AND FOLLOW INSTRUCTIONS GIVEN IN APPLICATION WINDOW

If our application is not running, or you or your antivirus removed the file, then you need to:

1. download and install Tor Browser: [url]https://www.torproject.org/projects/torbrowser.html.en[/url]

2. open Tor Browser and visit this address: [url]http://nvj2dobr4fvhivnk.onion[/url]

3. enter 2fd842bd32334b0bb4e2814eb64d31e1 in the input box, click on submit button and download client application to your computer

4. if your antivirus flags and deletes the file, then disable your antivirus software for a while

5. run the application and wait until its window appears on your desktop

6. follow instructions and decrypt your files

If you need help you can contact us at [email][email protected][/email]

DECRYPTION IS POSSIBLE ONLY FROM THIS computer & account: ROSK\0019

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=thyrex;1439424]Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
SetServiceStart('Coupons Browser Update Service', 4);
DeleteService('Coupons Browser Update Service');
TerminateProcessByName('c:\program files\ultimate-discounter browser\udservice.exe');
QuarantineFile('c:\program files\ultimate-discounter browser\udservice.exe','');
DeleteFile('c:\program files\ultimate-discounter browser\udservice.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B][/QUOTE]
Всё сделал
09.03.2017, 23:47
thyrex

Не вижу новых логов Autologger
10.03.2017, 00:15
13dimon666q

[QUOTE=thyrex;1439438]Не вижу новых логов Autologger[/QUOTE]

я нажал Прислать запрошенный карантин - и там куда то отправилось...а как теперь файл прикрепить к сообщению ? не вижу скрепки...
10.03.2017, 00:42
thyrex

Кнопка Расширенный режим
10.03.2017, 00:51
13dimon666q

Вложений: 1

вот[QUOTE=thyrex;1439440]Кнопка Расширенный режим[/QUOTE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

не знаю имеет ли это значение , но заражённый винчестер сейчас стоит на другом компьютере.
10.03.2017, 18:10
thyrex

Тогда логи бесполезны.

Что стало с именами зашифрованных файлов?
11.03.2017, 11:58
13dimon666q

Вложений: 2

[QUOTE=thyrex;1439513]Тогда логи бесполезны.

Что стало с именами зашифрованных файлов?[/QUOTE]

ничего не изменилось , документы открываются , только там одни иероглифы
винчестер могу поставить назад на тот компьютер и прогнать этими прогами

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=thyrex;1439513]Тогда логи бесполезны.

Что стало с именами зашифрованных файлов?[/QUOTE]
вот логи с того компьютера на котором заразился вирусом

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=13dimon666q;1439560]ничего не изменилось , документы открываются , только там одни иероглифы
винчестер могу поставить назад на тот компьютер и прогнать этими прогами

[COLOR=silver]- - - - -Добавлено - - - - -[/COLOR]

вот логи с того компьютера на котором заразился вирусом[/QUOTE]

вот файл карантина
11.03.2017, 18:04
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\WiperSoft\WiperSoft.exe','');
QuarantineFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','');
QuarantineFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','');
QuarantineFile('E:\file6.exe','');
QuarantineFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','');
QuarantineFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','');
QuarantineFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','');
DeleteFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','60747');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Abjworks','command');
DeleteFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','32');
DeleteFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mscorsvw.exe','command');
DeleteFile('E:\file6.exe','32');
DeleteFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YPZPack','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Run','command');
DeleteFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','32');
DeleteFile('C:\Windows\system32\Tasks\UAC','32');
DeleteFile('C:\Program Files\Enigma Software Group\SpyHunter\Spyhunter4.exe','32');
DeleteFile('C:\Windows\system32\Tasks\SpyHunter4Startup','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
12.03.2017, 21:37
13dimon666q

[QUOTE=thyrex;1439650]Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\WiperSoft\WiperSoft.exe','');
QuarantineFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','');
QuarantineFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','');
QuarantineFile('E:\file6.exe','');
QuarantineFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','');
QuarantineFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','');
QuarantineFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','');
DeleteFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','60747');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Abjworks','command');
DeleteFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','32');
DeleteFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mscorsvw.exe','command');
DeleteFile('E:\file6.exe','32');
DeleteFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YPZPack','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Run','command');
DeleteFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','32');
DeleteFile('C:\Windows\system32\Tasks\UAC','32');
DeleteFile('C:\Program Files\Enigma Software Group\SpyHunter\Spyhunter4.exe','32');
DeleteFile('C:\Windows\system32\Tasks\SpyHunter4Startup','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B][/QUOTE]

отправил
12.03.2017, 22:12
thyrex

Про новые логи мне каждый раз напоминать нужно?
13.03.2017, 09:20
13dimon666q

Вложений: 1

[QUOTE=thyrex;1439830]Про новые логи мне каждый раз напоминать нужно?[/QUOTE]

извеняюсь ...
13.03.2017, 21:38
thyrex

Диванный комментатор откланивается и закрывает тему
13.03.2017, 21:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\0019\appdata\local\ypzpack\hgrharxz.dll - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Miuref.3 )[/LIST][/LIST]