Зашифрованы файлы. Расширение ._crypt [Trojan-Dropper.Win32.Dorifel.alfo, Trojan.Win32.Yakes.fdlk ]

Printable View

08.07.2014, 23:59
Persey1985

Вложений: 1

Зашифрованы файлы. Расширение ._crypt [Trojan-Dropper.Win32.Dorifel.alfo, Trojan.Win32.Yakes.fdlk ]

Добрый вечер. Нужна Ваша помошь. Обнаружил на компьютере, что все документы MS Office, картинки .jpg и .jpeg, .pdf и т.д. зашифрованы, к текущему расширению файлов добавилось расширение ._crypt. В папках, где имеются зашифрованные файлы, появился файл !_READ_ME_.txt следующего содержания:
Ваши файлы зашифрованы.
Для восстановления файлов, зайдите на страницу:
[url]http://data-recovery-back-up.com:800[/url]

Your files was encrypted.
For recovery your files, visit web page:
[url]http://data-recovery-back-up.com:800[/url]

=== KEY ===
010200000266000000A40000604124B8733781D6
ABA3FB0D1B19A248FB17D61B8C1A7683DD73F149
36CAFD3710F6067B539A73DD59F8C6E60C75B5BC
603E26D5DBCEA2671D65C7F38FA9C206
=== END ===

Указанный файл содержал ссылку на ресурс, в котором находился такой текст:

Ваши файлы были зашифрованы криптостойким алгоритмом RSA-2048.
Для их восстановления, Вам необходимо приобрести наш дешифратор.
Для покупки дешифраторa, пополните QIWI кошелек номер 9636436967 на сумму 1000 рублей.
В примечании укажите код 1034306775. Данный код присвоен вашему компьютеру и понадобится для восстановления файлов.
После оплаты и получения нами платежа, Вы сможете скачать дешифратор с этой же страницы.

Скинул два файла на файлообменик (1-я ссылка с нормальным файлом, 2-ая с зашифрованным):
[URL]https://cloud.mail.ru/public/38937c81de01/%D0%A7%D1%82%D0%BE%20%D0%B4%D0%BE%D0%BB%D0%B6%D0%BD%D0%BE%20%D0%B1%D1%8B%D1%82%D1%8C.doc[/URL]
[URL]https://cloud.mail.ru/public/f4975eec6a78/%D0%A7%D1%82%D0%BE%20%D0%B4%D0%BE%D0%BB%D0%B6%D0%BD%D0%BE%20%D0%B1%D1%8B%D1%82%D1%8C.doc._crypt[/URL]

Пожалуйста, помогите.
09.07.2014, 00:00
Info_bot

Уважаемый(ая) [B]Persey1985[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.07.2014, 01:22
mike 1

[url]http://virusinfo.info/pravila.html[/url]
10.07.2014, 23:10
Persey1985

Вложений: 3

исправился
10.07.2014, 23:55
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('d:\documents and settings\user\local settings\application data\google\update\gupdate.exe');
QuarantineFile('D:\Documents and Settings\User\Мои документы\CommonData\Winhlp31.exe','');
QuarantineFile('D:\Documents and Settings\User\Local Settings\Application Data\NVIDIA Corporation\Update\daemonupd.exe','');
QuarantineFile('d:\documents and settings\user\local settings\application data\google\update\gupdate.exe','');
QuarantineFile('D:\Documents and Settings\User\cgxbdkoy.exe','');
DeleteFile('D:\Documents and Settings\User\cgxbdkoy.exe','32');
DeleteFile('D:\Documents and Settings\User\Local Settings\Application Data\Google\Update\gupdate.exe','32');
DeleteFile('D:\Documents and Settings\User\Local Settings\Application Data\NVIDIA Corporation\Update\daemonupd.exe','32');
DeleteFile('D:\Documents and Settings\User\Мои документы\CommonData\Winhlp31.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Google Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NvUpdService');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Winhlp31');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=cb6408348c429cbf045b704547485431&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=cb6408348c429cbf045b704547485431&text={searchTerms}
O4 - HKCU\..\Run: [Google Update] D:\Documents and Settings\User\Local Settings\Application Data\Google\Update\gupdate.exe /app 8ABA636AEEC312F2D5EB619E14343D57
O4 - Startup: winupdate.lnk = D:\Documents and Settings\User\Local Settings\Application Data\Microsoft\Windows\winupdate.exe

[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserlnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы на рабочем столе будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]
16.07.2014, 01:53
Persey1985

Вложений: 3

Доброй ночи, приношу извинения за столь долгий ответ...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

hijackthis.log и mbam-log-2014-07-16.txt пришлось запаковать. В управлении вложениями ругается из-за превышения объема. Как оттуда удалять ранее загруженные файлы? я как только не пробывал...
mbam-log-2014-07-16.txt - делал не полное сканирование "Threat scan".
Полное сканирование поставил на ночь, при необходимости пришлю результат позже.
16.07.2014, 10:53
mike 1

Логи AVZ старые прикрепили.
16.07.2014, 12:17
thyrex

+ [quote="Persey1985;1137710"]В управлении вложениями ругается из-за превышения объема. Как оттуда удалять ранее загруженные файлы? я как только не пробывал...[/quote]Мой кабинет - Вложения
16.07.2014, 13:26
Persey1985

Вложений: 1

исправился
16.07.2014, 18:44
mike 1

Удалите эти файлы:

[QUOTE]
D:\Program Files\Opera\opera.url
D:\Program Files\Internet Explorer\IEXPLORE.url
[/QUOTE]

[url=http://virusinfo.info/showthread.php?t=161289]Исправьте[/url] ярлыки:

[QUOTE]
D:\Documents and Settings\All Users\Главное меню\Программы\Opera.lnk
D:\Documents and Settings\User\Главное меню\Программы\Internet Explorer.lnk
D:\Documents and Settings\User\Главное меню\Программы\Стандартные\Служебные\Internet Explorer (без надстроек).lnk
D:\Documents and Settings\All Users\Рабочий стол\Opera.lnk
D:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\Запустить обозреватель Internet Explorer.lnk
[/QUOTE]

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Quarantine[/b]" ("[B]Карантин[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Ключи реестра: 6
PUP.Optional.BetterSurf.A, HKLM\SOFTWARE\CLASSES\CLSID\{8271B5D6-76D3-4ABF-AEB3-1721161C76BC}, , [09d0801f760564d29bf290c7e9199d63],
PUP.Optional.BetterSurf.A, HKU\S-1-5-21-527237240-1284227242-1606980848-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{8271B5D6-76D3-4ABF-AEB3-1721161C76BC}, , [09d0801f760564d29bf290c7e9199d63],
PUP.Optional.BetterSurf.A, HKU\S-1-5-21-527237240-1284227242-1606980848-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{8271B5D6-76D3-4ABF-AEB3-1721161C76BC}, , [09d0801f760564d29bf290c7e9199d63],
Backdoor.Agent.XN, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\Tumanni 1.21, , [7d5cecb3abd088ae17473a899d6542be],
Trojan.Agent.XN, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\Kak 1.22, , [6871277891ea5cda6cd9e733e321c43c],
PUP.Optional.BetterSurf.A, HKLM\SOFTWARE\GOOGLE\CHROME\EXTENSIONS\poheodfamflhhhdcmjfeggbgigeefaco, , [ce0be6b94f2c87af6208a038be44df21],

Значения реестра: 1
PUP.Optional.BetterSurf.A, HKLM\SOFTWARE\MOZILLA\FIREFOX\EXTENSIONS|[email protected], D:\Program Files\Better-Surf\ff, , [3a9ff8a7e19a87af6256dce5fd05669a]

Папки: 9
Backdoor.Agent.XN, D:\Program Files\Vecher\Tumanni, , [7d5cecb3abd088ae17473a899d6542be],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt, , [23b6e9b63c3f6acc9ee1786a37cba060],
Trojan.Agent.XN, D:\Program Files\Inst\Kak, , [6871277891ea5cda6cd9e733e321c43c],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ch, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome\content, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ie, , [6574920d3b4011255e3df9a88b77b34d],

Файлы: 41
Spyware.Zbot.VXGen, D:\Documents and Settings\User\Local Settings\Application Data\Microsoft\Windows\winupdate.exe, , [c019207f8cef9c9a57e68be60ff2f60a],
Spyware.Zbot.VXGen, D:\WINDOWS\system32\winboostspeed.exe, , [b326edb276053ef82a13c8a9cb361be5],
Trojan.Agent.ED, D:\WINDOWS\zdriver32.exe, , [efea603f116a999d750aa9eaed1415eb],
Trojan.Miner, D:\Documents and Settings\User\Application Data\Microsoft\sys32\minerd.exe, , [9247247b5b2035017eaef4ca0af8b848],
Backdoor.Agent.XN, D:\Program Files\Vecher\Tumanni\Uninstall.ini, , [7d5cecb3abd088ae17473a899d6542be],
Backdoor.Agent.XN, D:\Program Files\Vecher\Tumanni\alkohol.vbs, , [7d5cecb3abd088ae17473a899d6542be],
Backdoor.Agent.XN, D:\Program Files\Vecher\Tumanni\anarubek.bat, , [7d5cecb3abd088ae17473a899d6542be],
Backdoor.Agent.XN, D:\Program Files\Vecher\Tumanni\skapank.kjh, , [7d5cecb3abd088ae17473a899d6542be],
Backdoor.Agent.XN, D:\Program Files\Vecher\Tumanni\Uninstall.exe, , [7d5cecb3abd088ae17473a899d6542be],
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\8ssj99yu.default\searchplugins\webalta-search.xml, , [16c36d32730881b54220dfec3fc327d9],
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\b0k2m5u0.default\searchplugins\webalta-search.xml, , [9e3bd8c7ef8cad89abb79f2c7e847a86],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\manifest.json, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\128.png, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\16.png, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\48.png, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\content.js, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\MPGGZRdOQMFvseW.html, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\OCoZFMSiwivz.js, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\qgGTTrXryXRzs.js, , [23b6e9b63c3f6acc9ee1786a37cba060],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\xCDHbAoLugiwRh.js, , [23b6e9b63c3f6acc9ee1786a37cba060],
Trojan.Miner, D:\Documents and Settings\User\Application Data\Microsoft\sys32\Elevate.exe, , [9346405f73082a0cf2697e9439cb40c0],
Trojan.Miner, D:\Documents and Settings\User\Application Data\Microsoft\sys32\Elevate.pdb, , [3d9cfea14e2dfd3976e58191b84c946c],
Trojan.Miner, D:\Documents and Settings\User\Application Data\Microsoft\sys32\drive.exe, , [6376326d3f3ce452114bc2507e869c64],
Trojan.Miner, D:\Documents and Settings\User\Application Data\Microsoft\sys32\sys32.7z, , [429726799fdceb4b8ecfd33f12f29f61],
Misused.Legit, D:\Documents and Settings\User\Application Data\Microsoft\sys32\7za.exe, , [6475f1aed7a40f2727378290ba4abd43],
Trojan.Miner, D:\WINDOWS\system\sys32.7z, , [6a6f435c0b70dd59431c878b976dc53b],
Trojan.Agent.XN, D:\Program Files\Inst\Kak\Uninstall.ini, , [6871277891ea5cda6cd9e733e321c43c],
Trojan.Agent.XN, D:\Program Files\Inst\Kak\buhlo.vbs, , [6871277891ea5cda6cd9e733e321c43c],
Trojan.Agent.XN, D:\Program Files\Inst\Kak\cheburek.bat, , [6871277891ea5cda6cd9e733e321c43c],
Trojan.Agent.XN, D:\Program Files\Inst\Kak\Uninstall.exe, , [6871277891ea5cda6cd9e733e321c43c],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\Better-Surf.xpi, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\build.cmd, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome.manifest, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\install.rdf, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome\content\firefox.js, , [6574920d3b4011255e3df9a88b77b34d],
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\8ssj99yu.default\prefs.js, Good: (), Bad: (user_pref("browser.startup.homepage", "http://webalta.ru");), ,[f6e3acf35f1cf04699e9d4fe14f01fe1]
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\8ssj99yu.default\prefs.js, Good: (), Bad: (user_pref("keyword.URL", "http://webalta.ru/poisk?q=");), ,[f6e3108fcfac67cf354ff8da7a8abd43]
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\b0k2m5u0.default\prefs.js, Good: (), Bad: (user_pref("browser.startup.homepage", "http://webalta.ru");), ,[1ebb306f512a96a0cbb78250ec1830d0]
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\b0k2m5u0.default\prefs.js, Good: (), Bad: (user_pref("keyword.URL", "http://webalta.ru/poisk?q=");), ,[1abfc8d7413a8babbdc752803acab54b]
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
16.07.2014, 23:59
Persey1985

Вложений: 1

я ещё раз отсканировал в MBAM, то что он предложил я в Карантин отправил.
17.07.2014, 11:46
mike 1

Это удаляли в MBAM?

[CODE]
Ключи реестра: 4
PUP.Optional.BetterSurf.A, HKLM\SOFTWARE\CLASSES\CLSID\{8271B5D6-76D3-4ABF-AEB3-1721161C76BC}, , [47f0e2be8fecac8a47065bfd44bed12f],
PUP.Optional.BetterSurf.A, HKU\S-1-5-21-527237240-1284227242-1606980848-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{8271B5D6-76D3-4ABF-AEB3-1721161C76BC}, , [47f0e2be8fecac8a47065bfd44bed12f],
PUP.Optional.BetterSurf.A, HKU\S-1-5-21-527237240-1284227242-1606980848-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{8271B5D6-76D3-4ABF-AEB3-1721161C76BC}, , [47f0e2be8fecac8a47065bfd44bed12f],
PUP.Optional.BetterSurf.A, HKLM\SOFTWARE\GOOGLE\CHROME\EXTENSIONS\poheodfamflhhhdcmjfeggbgigeefaco, , [5add4957f08bec4ac51cbd1c9b67ec14],

Значения реестра: 1
PUP.Optional.BetterSurf.A, HKLM\SOFTWARE\MOZILLA\FIREFOX\EXTENSIONS|[email protected], D:\Program Files\Better-Surf\ff, , [9a9d7b257b001521cf69e8db0101da26]

Папки: 7
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ch, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome\content, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ie, , [78bf6d3391ea1224104b30723fc35da3],

Файлы: 20
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\8ssj99yu.default\searchplugins\webalta-search.xml, , [181f069a6318c76f3aa82ca0818141bf],
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\b0k2m5u0.default\searchplugins\webalta-search.xml, , [7eb90799e695d363974bdcf0ae5417e9],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\manifest.json, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\128.png, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\16.png, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\48.png, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\content.js, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\MPGGZRdOQMFvseW.html, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\OCoZFMSiwivz.js, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\qgGTTrXryXRzs.js, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSmile.A, D:\Documents and Settings\User\Application Data\smwdgt\xCDHbAoLugiwRh.js, , [a5928b15bcbf999d36c0984b44bea15f],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\Better-Surf.xpi, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\build.cmd, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome.manifest, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\install.rdf, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.BetterSurf, D:\Program Files\Better-Surf\ff\chrome\content\firefox.js, , [78bf6d3391ea1224104b30723fc35da3],
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\8ssj99yu.default\prefs.js, Good: (), Bad: (user_pref("browser.startup.homepage", "http://webalta.ru");), ,[0e29950b8cef68ce9aabeee620e43cc4]
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\8ssj99yu.default\prefs.js, Good: (), Bad: (user_pref("keyword.URL", "http://webalta.ru/poisk?q=");), ,[90a7534d186384b249fea430c0444db3]
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\b0k2m5u0.default\prefs.js, Good: (), Bad: (user_pref("browser.startup.homepage", "http://webalta.ru");), ,[b5824f51295261d5d66f19bb40c4a15f]
PUP.Optional.WebAlta.A, D:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\b0k2m5u0.default\prefs.js, Good: (), Bad: (user_pref("keyword.URL", "http://webalta.ru/poisk?q=");), ,[cd6a1d83225971c5380f736119eb48b8]
[/CODE]
17.07.2014, 23:27
Persey1985

Вложений: 1

нет (по умолчанию стояло с ними ничего не делать), вечером еще раз проверю и данные файлы удалю.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

всё что MBAM нашел (совпадало с тем что вы просили удалить), удалил
18.07.2014, 01:25
mike 1

В техподдержку DrWeb обращались?
18.07.2014, 13:27
Persey1985

[QUOTE=mike 1;1138649]В техподдержку DrWeb обращались?[/QUOTE]

Да, увы не помогли, цитирую: "На данный момент расшифровка нашими силами видится невозможной.
Таким образом, основная рекомендация : обратитесь с заявлением в территориальное управление "К" МВД РФ;
по факту несанкционированного доступа к компьютеру, распространения вредоносных программ и вымогательства.
Образцы заявлений, а также ссылка на госпортал ("Порядок приема сообщений о происшествии в органах внутренних дел РФ") есть на нашем сайте: [url]http://legal.drweb.com/templates[/url]
Возможно, в результате полицейской акции поймают автора/"хозяина" троянца и выяснят у него шифроключ.

Если у нас появится полезная для Вас информация, мы сами переоткроем запрос и сообщим вам ее, пока запрос можно закрыть.

С уважением,
служба технической поддержки компании "Доктор Веб"."

Но прочитав одну из похожих тем на вашем форуме, я увидел , что вам удалось выяснить шифроключ и поэтому к вам обратился в том числе.
18.07.2014, 19:34
mike 1

[QUOTE]Но прочитав одну из похожих тем на вашем форуме, я увидел , что вам удалось выяснить шифроключ и поэтому к вам обратился в том числе.[/QUOTE]
Это где вы такое прочитали? Прикрепите несколько зашифрованных файлов в архиве форматов doc, xls, jpg.
19.07.2014, 00:36
Persey1985

увидел вот в этой теме:
[url]http://virusinfo.info/showthread.php?t=162202&[/url]

когда создавал тему скинул вордовские файлы, вот еще раз ссылки:
[url]https://cloud.mail.ru/public/38937c81de01/%D0%A7%D1%82%D0%BE%20%D0%B4%D0%BE%D0%BB%D0%B6%D0%BD%D0%BE%20%D0%B1%D1%8B%D1%82%D1%8C.doc[/url]
[url]https://cloud.mail.ru/public/f4975eec6a78/%D0%A7%D1%82%D0%BE%20%D0%B4%D0%BE%D0%BB%D0%B6%D0%BD%D0%BE%20%D0%B1%D1%8B%D1%82%D1%8C.doc._crypt[/url]
19.07.2014, 22:32
mike 1

Пока без оригинального дешифратора не обойтись.
20.07.2014, 22:50
Persey1985

[QUOTE=mike 1;1139276]Пока без оригинального дешифратора не обойтись.[/QUOTE]

что делать? обращаться в полицию?
21.07.2014, 10:34
regist

[quote="Persey1985;1139534"]что делать? обращаться в полицию?[/quote]
Да, так как без заявления [U]от пострадавшего[/U] они даже не могут завести дело на автора этих шифровальщиков.
21.07.2014, 10:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\documents and settings\user\cgxbdkoy.exe - [B]Trojan-Dropper.Win32.Dorifel.alfo[/B] ( AVAST4: Win32:Inject-BIU [Trj] )[*] d:\documents and settings\user\local settings\application data\google\update\gupdate.exe - [B]Trojan.Win32.Yakes.fdlk[/B] ( BitDefender: Trojan.GenericKD.1721528, AVAST4: Win32:Dropper-gen [Drp] )[*] d:\documents and settings\user\local settings\application data\nvidia corporation\update\daemonupd.exe - [B]Trojan.Win32.Yakes.fdlk[/B] ( BitDefender: Trojan.GenericKD.1721528, AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]