Вирус-вымогатель поселился у меня. [not-a-virus:HEUR:AdWare.Win32.Mewishid.gen, Trojan-Ransom.Win32.Wanna.m ]

Printable View

15.05.2017, 20:17
Надеждазин

Вложений: 1

Вирус-вымогатель поселился у меня. [not-a-virus:HEUR:AdWare.Win32.Mewishid.gen, Trojan-Ransom.Win32.Wanna.m ]

Здравствуйте! Вчера,14 мая 2017 года комп перезагрузился сам и папки и файлы на рабочем столе были зашифрованы. Помогите пожалуйста вылечить мой компьютер. Прилагаю также первый карантин. [h=1][URL="https://virusinfo.info/showthread.php?t=212065"]Карантин 3D71AD61676D09570DDA4C5C6FC5EDEF [not-a-virus:HEUR:AdWare.Win32.Mewishid.gen ][/URL][/h] Результаты обследования: [url]https://virusinfo.info/virusdetector/report.php?md5=3D71AD61676D09570DDA4C5C6FC5EDEF[/url]
15.05.2017, 20:20
Info_bot

Уважаемый(ая) [B]Надеждазин[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
15.05.2017, 20:23
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','');
QuarantineFile('C:\Program Files\my web shield\mweshieldup.exe','');
QuarantineFile('C:\Windows\mssecsvc.exe','');
DeleteFile('C:\Windows\mssecsvc.exe','32');
DeleteFile('C:\Program Files\my web shield\mweshieldup.exe','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Kinoroom Browser','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
15.05.2017, 21:41
Надеждазин

Загрузила запрашиваемый карантин!
16.05.2017, 14:10
Надеждазин

Загрузила запрашиваемый карантин!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Загрузила запрашиваемый карантин!
19.05.2017, 21:26
thyrex

Новые логи где?
20.05.2017, 21:47
Надеждазин

Отправила..
21.05.2017, 12:21
thyrex

Логи прикрепляют к сообщению
21.05.2017, 12:46
Надеждазин

Вложений: 1

[QUOTE=thyrex;1450483]Логи прикрепляют к сообщению[/QUOTE]
Здравствуйте,уважаемый! Отправляю.
21.05.2017, 13:36
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
21.05.2017, 14:07
Надеждазин

Вложений: 1

Готово!
22.05.2017, 21:38
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\...\Policies\Explorer\Run: [DD695995-1119-408F-80D3-DC8D8A755D92] => C:\ProgramData\Microsoft\Adobe\Flash Player\DD695995-1119-408F-80D3-DC8D8A755D92\FBB97563-B36B-46A5-865E-B60A1EBBD2D9.exe
HKU\S-1-5-21-2776267880-3120739685-3102771516-1000\...\Run: [ZetaGamesViewer] => C:\Users\User\AppData\Local\ZetaGamesViewer\zetaviewer.exe --show-hidden
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.mylucky123.com/search/?type=ds&ts=1476181987&z=d73b3e5d4f883bce61104d7g6zem9qdg5bfgat0bdt&from=che0812&uid=ST1000DM003-1CH162_Z1D63BM9XXXXZ1D63BM9&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.mylucky123.com/search/?type=ds&ts=1476181987&z=d73b3e5d4f883bce61104d7g6zem9qdg5bfgat0bdt&from=che0812&uid=ST1000DM003-1CH162_Z1D63BM9XXXXZ1D63BM9&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mylucky123.com/search/?type=ds&ts=1476181987&z=d73b3e5d4f883bce61104d7g6zem9qdg5bfgat0bdt&from=che0812&uid=ST1000DM003-1CH162_Z1D63BM9XXXXZ1D63BM9&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mylucky123.com/search/?type=ds&ts=1476181987&z=d73b3e5d4f883bce61104d7g6zem9qdg5bfgat0bdt&from=che0812&uid=ST1000DM003-1CH162_Z1D63BM9XXXXZ1D63BM9&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mylucky123.com/search/?type=ds&ts=1476181987&z=d73b3e5d4f883bce61104d7g6zem9qdg5bfgat0bdt&from=che0812&uid=ST1000DM003-1CH162_Z1D63BM9XXXXZ1D63BM9&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2776267880-3120739685-3102771516-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d8b0c08c4703205d9181f1cbb33abf6a&text={searchTerms}
BHO-x32: No Name -> {8E8F97CD-60B5-456F-A201-73065652D099} -> No File
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
Toolbar: HKLM - Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - C:\Program Files (x86)\Yandex\Elements\bartab64host.dll No File
Toolbar: HKU\.DEFAULT -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - C:\Program Files (x86)\Yandex\Elements\bartab64host.dll No File
Toolbar: HKU\S-1-5-21-2776267880-3120739685-3102771516-1000 -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - C:\Program Files (x86)\Yandex\Elements\bartab64host.dll No File
FF Plugin HKU\S-1-5-21-2776267880-3120739685-3102771516-1000: @mail.ru/GameCenter -> C:\Users\User\AppData\Local\Mail.Ru\GameCenter\NPDetector.dll [No File]
CHR HKLM-x32\...\Chrome\Extension: [ahnphcmhmhcjjcjhmnnjjlbmaeljecga] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [dljdacfojgikogldjffnkdcielnklkce] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ehfjihahbphdpljpiadbkmgmhnfehhgi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hdpgllbnilfcbckbdchjcfgopijgllcm] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [necfmkplpminfjagblfabggomdpaakan] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Smart Browser) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2017-05-14]
S1 mwescontroller; \??\C:\Windows\system32\drivers\mwescontroller.sys [X] <==== ATTENTION
2017-05-14 14:34 - 2017-05-14 14:02 - 0000714 _____ () C:\Users\User\AppData\Local\@[email protected]
Task: {008E3C18-094D-4A17-97CD-26A2B25BF518} - System32\Tasks\Microsoft\Windows\ADD695995-1119-408F-80D3-DC8D8A755D92 => C:\ProgramData\Microsoft\Adobe\Flash Player\DD695995-1119-408F-80D3-DC8D8A755D92\FBB97563-B36B-46A5-865E-B60A1EBBD2D9.exe <==== ATTENTION
Task: {2B6A49A7-996F-4B92-85DB-2E66F80F650C} - System32\Tasks\Microsoft\Windows\DD695995-1119-408F-80D3-DC8D8A755D92 => C:\ProgramData\Microsoft\Adobe\Flash Player\DD695995-1119-408F-80D3-DC8D8A755D92\FBB97563-B36B-46A5-865E-B60A1EBBD2D9.exe <==== ATTENTION
Task: {5FE84F12-0CD1-4FB0-B1CD-ADFF884F95ED} - System32\Tasks\Kinoroom Browser => C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe
Task: {617254D1-0038-40B3-A011-CDCD943C8565} - System32\Tasks\APSnotifierPP1 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: {67DFD818-1817-4D4A-B567-768A4C233605} - System32\Tasks\APSnotifierPP2 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: {AD679634-B492-4457-B5B6-125422EED21E} - \journal-goodorgbtechsm -> No File <==== ATTENTION
Task: {BF6CD57A-2A1D-4246-97B3-704C9B43237F} - System32\Tasks\Advanced-PC-Care_Logon => C:\Program Files\Advanced-PC-Care\apc.exe <==== ATTENTION
Task: {DDE52D7D-35BE-4735-8233-C468532BB8C3} - System32\Tasks\APSnotifierPP3 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: C:\Windows\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: C:\Windows\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
22.05.2017, 23:29
Надеждазин

Вложений: 1

Комп почему-то не перезагрузился..
22.05.2017, 23:38
thyrex

С расшифровкой помочь не сможем
22.05.2017, 23:50
Надеждазин

Благодарю за участие!! Что мне сделать?Просто удалить файлы зашифрованные ?Переустанавливать операционную систему не нужно?
23.05.2017, 06:29
thyrex

Переустанавливать не нужно
23.05.2017, 06:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]93[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\my web shield\mweshieldup.exe - [B]not-a-virus:HEUR:AdWare.Win32.Mewishid.gen[/B][*] c:\windows\mssecsvc.exe - [B]Trojan-Ransom.Win32.Wanna.m[/B] ( BitDefender: Gen:Trojan.Heur.RP.JtW@aePsbmpi )[/LIST][/LIST]