Вирус шифровальщик Filecoder.CB (ESET)

Добрый день! Схватил вирус, причина заражения мне не понятна. Никаких писем с решением суда .exe я не открывал. Возможно это скаченный файл - есть подозрение на word файл с резюме скаченный на форуме, после которого word долго что-то обновлял (макросы отключены с уведомлением). Кроме того, ESS5 находит только txt и htm с классификацией filecoder.CB. Файлы которые явно выдают источник заражения, на мой взгляд, не выявлены. Хотя новых заражений не происходит. Добавил текстовые уведомления о заражении и примеры зашифрованных файлов в архивах.

Уважаемый(ая) [B]asus04[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

В MBAM удалите все [B]кроме[/B]:

[CODE]
Обнаруженные файлы:
C:\Users\sham\Downloads\DTLite4471-0333.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\sham\Downloads\outlast-[torrentino].exe (PUP.Optional.ZvuZona) -> Действие не было предпринято.
C:\Users\sham\Downloads\PDFCreatorSetup.exe (PUP.Optional.Bundle) -> Действие не было предпринято.
C:\Users\sham\Downloads\PDFReaderSetup.exe (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
C:\Users\sham\Downloads\portal-2-_torrentino.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
D:\downloads\youtube-downloader.exe (PUP.Adware.Agent) -> Действие не было предпринято.
D:\downloads\torrent\bsplayer pro 2.57.1048 Final NNTT k236\Keygen\CORE10k.EXE (PUP.Keygen.Intro) -> Действие не было предпринято.
D:\work\888\ФПК2011\Программы\Снятие, подбор и опредление пароля\PassView 1.5\PassMaker.exe (PUP.PassView) -> Действие не было предпринято.
D:\work\888\ФПК2011\Программы\Снятие, подбор и опредление пароля\ProduKey v1.01\ProduKey.exe (PUP.PSWTool.ProductKey) -> Действие не было предпринято.
E:\Новая папка\Daemon Tools Pro Advanced v5.1.0.0333 Final ML_RUS\DAEMONToolsPro510-0333.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
E:\Новая папка\Winamp Pro v 5.622 Build 3189 Final\KeyGen by\CORE\CORE10k.EXE (PUP.Keygen.Intro) -> Действие не было предпринято.
E:\Новая папка\Winamp Pro v 5.622 Build 3189 Final\KeyGen by\CORE\keygen.exe (PUP.RiskwareTool.CK) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Сканировал еще раз, вот результат.

Это осталось:

[CODE]
Обнаруженные ключи в реестре: 6
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} (PUP.Optional.Qone8) -> Действие не было предпринято.
HKCU\Software\InstallCore\1I1T1Q1S (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Google\Chrome\Extensions\pelmeidfhdlhlbjimpabfcbnnojbboma (PUP.Optional.QuickStart.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} (PUP.Optional.Qone8) -> Действие не было предпринято.
HKLM\Software\awesomehpSoftware (PUP.Optional.Awesomehp.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 0H1L1J1L1S1R1N -> Действие не было предпринято.

Объекты реестра обнаружены: 6
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Default_Page_URL (PUP.Optional.Awesomehp.A) -> Плохо: (http://www.awesomehp.com/?type=hp&ts=1394667435&from=amt&uid=WDCXWD1001FALS-00E8B0_WD-WMATV691987319873) Хорошо: (http://www.google.com) -> Действие не было предпринято.
HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command| (PUP.Optional.Awesomehp.A) -> Плохо: (C:\Program Files\Internet Explorer\iexplore.exe http://www.awesomehp.com/?type=sc&ts=1394667435&from=amt&uid=WDCXWD1001FALS-00E8B0_WD-WMATV691987319873) Хорошо: (iexplore.exe) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Default_Search_URL (PUP.Optional.Awesomehp.A) -> Плохо: (http://www.awesomehp.com/web/?type=ds&ts=1394667435&from=amt&uid=WDCXWD1001FALS-00E8B0_WD-WMATV691987319873&q={searchTerms}) Хорошо: (http://www.google.com) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (PUP.Optional.Awesomehp.A) -> Плохо: (http://www.awesomehp.com/?type=hp&ts=1394667435&from=amt&uid=WDCXWD1001FALS-00E8B0_WD-WMATV691987319873) Хорошо: (http://www.google.com) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes|DefaultScope (PUP.Optional.Qone8) -> Плохо: ({33BB0A4E-99AF-4226-BDF6-49120163DE86}) Хорошо: ({0633EE93-D776-472f-A0FF-E1416B8B2E3A}) -> Действие не было предпринято.
HKLM\Software\Microsoft\Internet Explorer\Main|Default_Page_URL (PUP.Optional.Awesomehp.A) -> Плохо: (http://www.awesomehp.com/?type=hp&ts=1394667435&from=amt&uid=WDCXWD1001FALS-00E8B0_WD-WMATV691987319873) Хорошо: (http://www.google.com) -> Действие не было предпринято.
[/CODE]

Дождался окончания сканирования и удалил все. Видимо при открытии браузера оно опять себя в реестр прописывает. Вы думаете эти баннеры как то связаны с моим вирусом?

Просканировал быстрым после перезагрузки, реестр чист - но в мозиле все равно есть всплывающий баннер.

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

У меня никак не грузится самый посещаемый мною форум dnbarena.ru (на работе заходит спокойно)
Внизу (строка состояния вроде называется) появляется superfish.com затем baninj.com и пишет, что соединение нельзя установить. В разных браузерах пробовал - бесполезно. То, что меня там забанили по ip маловероятно т.к. я редко пишу там, только читаю. Да и немодерируется он почти.
Файл hosts чистый (закоменчен).

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Folder Found C:\Program Files (x86)\Mail.Ru
Folder Found C:\Users\sham\AppData\Local\Mail.Ru
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Сделал

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Сделал

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CMD','command');
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера.

Сделайте новые логи AVZ

Сделал

[list=1][*]Скачайте [url=http://oldtimer.geekstogo.com/OTM.exe]OTM by OldTimer[/url] или с [url=http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/]зеркала[/url] и сохраните на рабочий стол.[*]Запустите [B]OTM by OldTimer[/B] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B])[*][url=http://safezone.cc/threads/18577]временно выключите антивирус, firewall и другое защитное программное обеспечение[/url]. Выделите и скопируйте текст ниже (Ctrl+C)
[code]
:Processes
explorer.exe

:Services

:Files

:Reg
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CMD]

:Commands
[purity]
[start explorer]
[Reboot]
[/code][*]В OTM под панелью [b]"Paste Instructions for Items to be Moved"[/b] (под [color=yellow][b]желтой[/b][/color] панелью) вставьте скопированный текст и нажмите кнопку [b]"MoveIt!"[/b]. [*][B][I]Компьютер перезагрузится.[/I][/B][*]После перезагрузки откройте папку [b]"C:\_OTM\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), откройте и скопируйте текст из него в следующее сообщение.[/list]

========== PROCESSES ==========
No active process named explorer.exe was found!
========== SERVICES/DRIVERS ==========
========== FILES ==========
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CMD\ not found.
========== COMMANDS ==========

OTM by OldTimer - Version 3.1.21.0 log created on 04022014_214211

При перезагрузке появилось окошко командной строки, что то выполнилось и оно закрылось.
В msconfig есть запись "с:\ProgramData\Microsoft\Windows\Startmenu\Programs\Startup\API.exe" (Производитель "неизвестный").
Я перешел в папку по этой директории - там лежит фаил desktop.ini со следующим содержанием:

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787

Также появились на рабочем столе тоже 2 файла desktop.ini:

1)

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21799

2)

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21769
IconResource=%SystemRoot%\system32\imageres.dll,-183

Все файлы "скрытые".

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
BackupRegKey('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg','111');
end.
[/CODE]

В папке AVZ найдите папку Backup и прикрепите файл 111.

В папку backup только этот файл

[LIST][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]32 разрядная версия windows[/URL][/B], то скачайте [url=http://safezone.cc/random/RSIT.exe][B]Random's System Information Tool (RSIT)[/B][/url] или с [url="http://images.malwareremoval.com/random/RSIT.exe"]зеркала[/url] [*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]64 разрядная версия windows[/URL][/B], то необходимо скачать эту версию [URL="http://safezone.cc/random/RSITx64.exe"][B]Random's System Information Tool(RSIT)x64[/B][/URL] или с [URL="http://images.malwareremoval.com/random/RSITx64.exe"]зеркала[/URL][/LIST]
Запустите, выберите проверку файлов за последние три месяца и нажмите "Продолжить". Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=115256"]руководстве[/URL]

Сделал

Откройте редактор реестра найдите ключ реестра [B]HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg[/B] в нем удалите параметр [B]CMD[/B]

В остальном логи в порядке.

Без оригинального дешифратора файлы не получится расшифровать.