Printable View
Добрый день!
Пришло на почту письмо с файлом akt_49764.zip, в котором был файл с расширением .js. К сожалению, по не знанию файл был запущен, после чего зашифровались некоторые файлы на ПК. Можно ли их расшифровать? Просьба помочь. Заранее спасибо!
Антивируса на ПК никакого нет.
Каспер ответил:
В следующих файлах обнаружен вредоносный код, определяемый продуктами с включенной технологией KSN:
Scan081.js - UDS:DangerousObject.Multi.Generic
Уважаемый(ая) [B]NeonoFF[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Ауууу, здесь кто-нибдь есть? )
На расшифровку можете не надеяться.
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.
[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
А может влиять то что я Autologger запускал в безопасном режиме Windows с загрузкой сетевых драйверов?
На невозможность расшифровки никак не влияет.
Выполняйте скрипт, собирайте новые логи
Добрый день!
Файл, который удаляет скрипт был удален ранее вручную, поэтому архив quarantine пустой, прикладывать не буду.
Новые логи во вложении.
Спасибо!
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Готово
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
FF Extension: (CinemaPlus-3.2cV14.04) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-04-16] [not signed]
FF Extension: (AdGuardOnline v15.4.14) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-04-16] [not signed]
FF Extension: (Advanced SystemCare Surfing Protection) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-04-16] [not signed]
FF Extension: (Torrent Search) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{05EB6920-D8AD-4350-BEF1-4F7107F70431} [2015-04-16] [not signed]
FF Extension: (Better Finder) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{142c88f6-8b34-46f3-938d-72ffd58238dc} [2015-01-08] [not signed]
FF Extension: (Search Enginer) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-04-16] [not signed]
FF Extension: (Adblock Plus) - C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2016-11-26]
FF SearchPlugin: C:\Users\shift\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\luckysearches.xml [2015-04-16]
FF HKU\S-1-5-21-204406768-1025767424-2064512561-1000\...\SeaMonkey\Extensions: [[email protected]] - C:\Program Files (x86)\Internet Download Manager\idmmzcc2.xpi => not found
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\istartsurf.xml [2015-04-14]
CHR Extension: (Ads Killer) - C:\Users\shift\AppData\Local\Google\Chrome\User Data\Default\Extensions\jjckigopagkhaikodedjnmbccfpnmiea [2017-04-16]
CHR HKLM\...\Chrome\Extension: [ngpampappnmepgilojfohadhhmbhlaek] - C:\Program Files (x86)\Internet Download Manager\IDMGCExt.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
2017-07-05 12:43 - 2017-07-05 21:12 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-07-05 12:43 - 2017-07-05 21:12 - 00000000 __SHD C:\ProgramData\Windows
2015-03-26 22:14 - 2015-03-26 22:14 - 0005542 ____N () C:\Users\shift\AppData\Roaming\XAVNJJZY
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
Сделано
Мусор почистили.
С расшифровкой помочь не сможем
Спасибо и на этом