Printable View
[COLOR=#333333]Вирус переименовал файлы с расширением doc xls pdf jpg и зашифровал файлы.[/COLOR]
[COLOR=#333333]В конец каждого файла добавил [email protected]_707[/COLOR]
[COLOR=#333333]При загрузке выводил файл africa.jpg[/COLOR]
[COLOR=#333333]Как расшифровать файлы?[/COLOR]
Уважаемый(ая) [B]ИдельН[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Пока разберемся с другой имеющейся вирусятиной
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Администратор\Documents\Application Data\explorer.exe','');
DeleteFile('C:\Users\Администратор\Documents\Application Data\explorer.exe');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\3fe08.exe','');
QuarantineFile('C:\Windows\system32\explorer.dll','');
DeleteFile('C:\Windows\system32\explorer.dll','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\3fe08.exe','32');
DeleteFile('C:\Windows\system32\Tasks\ub7l7c.job','32');
DeleteFile('C:\Windows\system32\Tasks\ub7l7c','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://segambino.com/flow/lent.nok[/CODE]
Сделайте новые логи
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://segambino.com/flow/lent.nok[/CODE]
Сделайте новые логи[/QUOTE]
Можно поподробнее как это сделать? Не совсем понял. Полученные логи потом куда-то отправить?
[quote="ИдельН;1024575"]Пофиксите в HiJack[/quote][url]http://virusinfo.info/showthread.php?t=4491[/url]
[quote="ИдельН;1024575"]Полученные логи потом куда-то отправить?[/quote]Прикрепить к следующему сообщению
У меня нет кода R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = [url]https://segambino.com/flow/lent.nok[/url]
Что нужно сделать чтобы он появился
[quote="ИдельН;1024592"]Что нужно сделать чтобы он появился[/quote]Ничего ))
Делайте новые логи, проверим
Прикрепил
А логи AVZ новые где?
Да, в этом логе этой записи нет :)
Закачал. Как в приложении 2. Выкладываю еще здесь
Нужны логи AVZ, а не карантин
Логи AVZ
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
ЛОГ МВАМ
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные ключи в реестре: 2
HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\NEW11 1.05 (Trojan.Agent.VBS) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\New22 1.06 (Trojan.Agent) -> Действие не было предпринято.
Обнаруженные параметры в реестре: 3
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Параметры: 1 -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\New11 1.05|UninstallString (Trojan.Agent.VBS) -> Параметры: C:\Program Files\Compa1\New11\Uninstall.exe -> Действие не было предпринято.
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings|AutoConfigURL (Hijack.Autoconfig) -> Параметры: https://segambino.com/flow/lent.nok -> Действие не было предпринято.
Обнаруженные папки: 3
C:\Recycle.Bin (Trojan.Spyeyes) -> Действие не было предпринято.
C:\Program Files\Compa1\New11 (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa2\New22 (Trojan.Agent) -> Действие не было предпринято.
Обнаруженные файлы: 22
C:\Windows\System32\drivers\etc\hоsts (Hijack.Trace) -> Действие не было предпринято.
C:\Users\Администратор\Documents\Application Data\explorer.dat (Trojan.Explorer) -> Действие не было предпринято.
C:\Users\Администратор\Documents\Application Data\explorer.reg (Trojan.Explorer) -> Действие не было предпринято.
C:\Recycle.Bin\F9FEFBE6C016DC1 (Trojan.Spyeyes) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\ch092z.bat (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\kolupasi.vbs (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\silk.note (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\skak.riot (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\Uninstall.exe (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\Uninstall.ini (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa1\New11\zubizaba.vbs (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\ckon_pedofilz.bat (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\kiold.ll (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\kvsamolenei.vbs (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\Uninstall.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\Uninstall.ini (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\vaginariot.s (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Compa2\New22\zbarhotbarba.vbs (Trojan.Agent) -> Действие не было предпринято.[/code]
Удалил. Дальнейшие какие мои действия?
1. Где новый лог МВАМ после удаления? Об этом было написано по ссылке
2. Письмо с вложением, после открытия которого получили шифрование, сохранилось?
Логи МВАМ
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
2. Письмо не сохранилось
[quote="ИдельН;1024886"]2. Письмо не сохранилось[/quote]Можете найти пару файлов (лучше doc или xls): зашифрованный и его незашифрованная копия?
нашел. Только почему то не прицепляется. Есть какой-нибудь другой способ их переслать?
Выложите архив на rghost.ru и пришлите ссылку
[url]http://rghost.ru/47878719[/url] - файл до заражения
[url]http://rghost.ru/47878729[/url] - зараженный файл
Спасибо. [B]Попробую[/B] до вечера что-либо придумать
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\администратор\\documents\\application data\\explorer.exe - [B]Trojan.Win32.Cidox.ahoe[/B] ( DrWEB: Trojan.Mayachok.18634, BitDefender: Trojan.Generic.9471110, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\system32\\explorer.dll - [B]Trojan.Win32.Cidox.ahml[/B] ( BitDefender: Trojan.Generic.9467614, AVAST4: Win32:Injector-BHR [Trj] )[/LIST][/LIST]