Схлопотал вирус. На рабочем столе заменил обои на черный фон с красной надписью: ВНИМАНИЕ! Все важные файлы на всех дисках вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах RADME.txt, которые можно найти на любом из дисков.
Один раз перезагружал компьютер после попадания вируса. (проблемы железа)
Прилагаю логи.
Уважаемый(ая) [B]Lidnikzero[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\PROGRA~3\SysWOW64\wF4GP.cmd','');
QuarantineFile('C:\ProgramData\services\A86B5C6747183B1C9BBB4181C53F302D.dll','');
TerminateProcessByName('c:\programdata\services\csrss.exe');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
TerminateProcessByName('c:\programdata\drivers\csrss.exe');
TerminateProcessByName('c:\programdata\csrss\csrss.exe');
QuarantineFile('c:\programdata\csrss\csrss.exe','');
QuarantineFile('c:\programdata\drivers\csrss.exe','');
QuarantineFile('c:\programdata\windows\csrss.exe','');
QuarantineFile('c:\programdata\services\csrss.exe','');
DeleteFile('c:\programdata\services\csrss.exe','32');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('c:\programdata\drivers\csrss.exe','32');
DeleteFile('c:\programdata\csrss\csrss.exe','32');
DeleteFile('C:\ProgramData\services\A86B5C6747183B1C9BBB4181C53F302D.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Session Manager');
DeleteFile('C:\PROGRA~3\SysWOW64\wF4GP.cmd','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Command Line Support');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.
[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
Отправил.
Пока все без изменений.
Дочитать до конца не хватило сил? Новые логи Autologger где?
Простите.
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Отчеты из Farbar
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
CHR StartupUrls: Default -> "hxxps://www.google.ru/webhp?sourceid=chrome-instant&ion=1&espv=2&ie=UTF-8","hxxp://mail.ru/cnt/10445?gp=newcustom15","hxxp://www.istartsurf.com/?type=hp&ts=1445363835&z=b1dc3f48a3a8fe77f2be3d6g0z2z5w8cfq2c5w9tcq&from=cor&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.mystartsearch.com/?type=hp&ts=1445429460&z=ee79708d9339d90b7e6e3a6gdz8z9waz4oatao2oae&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartsurf.com/?type=hp&ts=1445507171&z=141469f1403f757a56e234bgdzazfwcw5e5qdteofb&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.mystartsearch.com/?type=hp&ts=1445518394&z=71046788de0ef3b8b6364f0gazazdwcw9g7b2gbw9g&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1448219023&z=e360377def5f98cc992ab89g6z4z7b5o4g2t1edo3c&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartsurf.com/?type=hp&ts=1448219200&z=e0e681c03d2104ecfc50ec6gdzdz0bfo4gab4bfb6m&from=ima&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450620019&z=a58dc82d501af0db7a2ebc6g9z5wdefq6o7e4e3ofe&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://mail.ru/cnt/10445?gp=789106","hxxp://www.yoursearching.com/?type=hp&ts=1450622476&z=19acd67f7682ba36686dec1g1z1weecq4o7o7zbm5q&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450624477&z=0dc14c0c55d56de115e5832g4zdwee4q8o1z9z0m9m&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450691235&z=9b8f2e555205096737b316fgczawbe3qdt1g7o1c6w&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450693031&z=89a6e4126a431f011ca002bgdz7w0e9q0t7ccefc2o&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450696188&z=eefcf1d463beca2baba75e3gcz5w1ecq9t8qeg3bdt&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450698889&z=f7417d95f415d8db3c6c5f0g5zcwbe6qat0b2b4b1t&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450721037&z=7b6bc1ac900037c92a043f2gdzawfebm5odgeefcdm&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450767738&z=2a66e01cc5138d56e87a705g4z2w5eem2q7m2mfc9m&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450770128&z=82559501444fd8a168e3366gaz2w0e9m9m7e2geofm&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450805629&z=0478c32b65fc28e8961e52bg6z1w3eeb9e9wfq3o8t&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450807638&z=44bd5950b0ec3a274e0da0cg2zew2e1b8e3mbq7c0b&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450810443&z=2da768c3e2a6215834ce412g6zcwaedb6gee7z4z5o&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","search.mpc.am","hxxp://www.istartpageing.com/?type=hp&ts=1450860252&z=98f35f8500820445ce1f8fcgbzdweeab4qee8o6weg&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450872121&z=4ccfcad94c23449a72e20f2g0z5w0e0bam8oag8o5g&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.yoursearching.com/?type=hp&ts=1450878613&z=dc9a5a6b23536c693603ec9gez6wfe1bam0baqbg8c&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450884362&z=5c3a86745bb8f6c48249684g3zaw7e5b4b6z4c9q1o&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://www.istartpageing.com/?type=hp&ts=1450895726&z=5c480211a1a649bd3d18c87g6zew7e7b2t9w4mco3m&from=cmi&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G","hxxp://mail.ru/cnt/10445?gp=801402","hxxp://mail.ru/cnt/10445?gp=820031","hxxp://mail.ru/cnt/10445","hxxp://www.yoursearching.com/?type=hp&ts=1454238268&z=a5738b89c5d95e2e4106a70g5z7w7z4o0c2b8o4q8q&from=face&uid=ST3500418AS_5VM1Q01GXXXX5VM1Q01G"
2017-07-25 22:17 - 2017-08-01 01:28 - 000000000 __SHD C:\Users\Все пользователи\SysWOW64
2017-07-25 22:17 - 2017-08-01 01:28 - 000000000 __SHD C:\Users\Все пользователи\services
2017-07-25 22:17 - 2017-08-01 01:28 - 000000000 __SHD C:\ProgramData\SysWOW64
2017-07-25 22:17 - 2017-08-01 01:28 - 000000000 __SHD C:\ProgramData\services
2017-07-25 22:15 - 2017-08-01 01:28 - 000000000 __SHD C:\Users\Все пользователи\Csrss
2017-07-25 22:15 - 2017-08-01 01:28 - 000000000 __SHD C:\ProgramData\Csrss
2017-07-25 19:34 - 2017-07-25 19:34 - 005292054 _____ C:\Users\Lidnik\AppData\Roaming\20CD2B8220CD2B82.bmp
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README9.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README8.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README7.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README6.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README5.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README4.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README3.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README2.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README10.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Public\Desktop\README1.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README9.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README8.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README7.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README6.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README5.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README4.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README3.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README2.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README10.txt
2017-07-25 19:34 - 2017-07-25 19:34 - 000004154 _____ C:\Users\Lidnik\Desktop\README1.txt
2017-07-24 16:27 - 2017-08-01 01:28 - 000000000 __SHD C:\Users\Все пользователи\Windows
2017-07-24 16:27 - 2017-08-01 01:28 - 000000000 __SHD C:\ProgramData\Windows
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README9.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README8.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README7.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README6.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README5.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README4.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README3.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README2.txt
2017-07-24 16:27 - 2017-07-24 16:27 - 000004154 _____ C:\README10.txt
2017-07-25 19:35 - 2017-07-25 19:35 - 001497600 _____ () C:\Users\Lidnik\AppData\Local\Temp\658BC339.exe
2017-07-25 22:23 - 2017-07-25 22:23 - 001012224 ___SH () C:\Users\Lidnik\AppData\Local\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
2017-07-25 19:34 - 2017-07-25 19:34 - 001032704 _____ (Microsoft Corporation) C:\Users\Lidnik\AppData\Local\Temp\A95A228D.exe
2017-07-25 19:35 - 2017-07-25 19:35 - 000887808 _____ (Microsoft Corporation) C:\Users\Lidnik\AppData\Local\Temp\F6578384.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
Лог файл
Мусор почистили.
С расшифровкой помочь не сможем
Спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\csrss\csrss.exe - [B]Trojan.Win32.Agent.nevnwq[/B] ( BitDefender: Gen:Trojan.Heur.@mKfX4Dtz1dc, AVAST4: Win32:Malware-gen )[*] c:\programdata\drivers\csrss.exe - [B]Trojan.Win32.Agent.nezeod[/B] ( BitDefender: Gen:Trojan.Heur.2mKfXadFIYgc )[*] c:\programdata\services\a86b5c6747183b1c9bbb4181c53f302d.dll - [B]Trojan-Ransom.Win32.Agent.ixi[/B][*] c:\programdata\services\csrss.exe - [B]Trojan-Ransom.Win32.Agent.ivl[/B] ( BitDefender: Gen:Trojan.Heur.GZ.BnGfbKTesYh )[*] c:\programdata\windows\csrss.exe - [B]Trojan.Win32.Fsysna.enlz[/B][/LIST][/LIST]