Вирус зашифровал файлы [not-a-virus:AdWare.Win32.DealPly.y, not-a-virus:AdWare.Win32.Agent.gjhg ]

Printable View

08.10.2014, 14:53
Delion

Вирус зашифровал файлы [not-a-virus:AdWare.Win32.DealPly.y, not-a-virus:AdWare.Win32.Agent.gjhg ]

Вирус зашифровал файлы, документы, фото, базы данных 1С..

Ссылка на зашифрованный файл.

[url]http://rghost.ru/58411325[/url]
08.10.2014, 14:54
Info_bot

Уважаемый(ая) [B]Delion[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
08.10.2014, 16:52
Delion

Сделал логи из безопасного режима. В обычном режиме программы не запускаются.. Создался файл virusinfo_autoquarantine.
08.10.2014, 17:56
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\пнне\applic~1\digitalsites\updateproc\updatetask.exe','');
QuarantineFile('C:\Users\пнне\appdata\roaming\digitalsites\updateproc\updatetask.exe','');
QuarantineFile('C:\Users\A2AC~1\AppData\Local\Temp\3fdd4.exe','');
QuarantineFile('C:\Users\A2AC~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
DelBHO('{323C6E6D-1621-470F-8A52-4FDEC4E75E40}');
QuarantineFile('C:\Program Files\Quiknowledge\IE\QuiknowledgeClientIE.dll','');
QuarantineFile('C:\windows\System32\BeTwinServiceVS.exe','');
QuarantineFile('C:\Program Files\Common Files\fbnipub.dll','');
SetServiceStart('qknfd', 4);
DeleteService('qknfd');
SetServiceStart('WebCakeUpdater', 4);
DeleteService('WebCakeUpdater');
SetServiceStart('qksvc', 4);
DeleteService('qksvc');
SetServiceStart('BeTwinService', 4);
DeleteService('BeTwinService');
QuarantineFile('C:\windows\system32\BeTwinServiceVS.exe','');
QuarantineFile('C:\Program Files\Tepfel\WebCakeDesktop.Updater.exe','');
QuarantineFile('C:\Program Files\Quiknowledge\Service\qksvc.exe','');
QuarantineFile('C:\windows\system32\drivers\qknfd.sys','');
DeleteFile('C:\windows\system32\drivers\qknfd.sys','32');
DeleteFile('C:\Program Files\Quiknowledge\Service\qksvc.exe','32');
DeleteFile('C:\Program Files\Tepfel\WebCakeDesktop.Updater.exe','32');
DeleteFile('C:\windows\system32\BeTwinServiceVS.exe','32');
DeleteFile('C:\Program Files\Common Files\fbnipub.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Doqeivuar\Parameters','ServiceDll');
DeleteFile('C:\Users\пнне\AppData\Local\Amigo\Application\amigo.exe','32');
DeleteFile('C:\windows\System32\BeTwinServiceVS.exe','32');
DeleteFile('C:\Program Files\Quiknowledge\IE\QuiknowledgeClientIE.dll','32');
DeleteFile('C:\Users\A2AC~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\windows\Tasks\Digital Sites.job','32');
DeleteFile('C:\windows\Tasks\ihc6kon7.job','32');
DeleteFile('C:\Users\A2AC~1\AppData\Local\Temp\3fdd4.exe','32');
DeleteFile('C:\windows\system32\Tasks\Digital Sites','32');
DeleteFile('C:\Users\пнне\appdata\roaming\digitalsites\updateproc\updatetask.exe','32');
DeleteFile('C:\Users\пнне\applic~1\digitalsites\updateproc\updatetask.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
09.10.2014, 00:16
Delion

Вложений: 5

Лог MBAM не получается сделать, после того как происходит полное сканирование, выбираю экспорт лог, выбираю путь, нажимаю сохранить, потом mbam зависает, лог не сохраняется (в безопасном режиме также).

Результат загрузки

Файл сохранён как 141008_201651_virus_54359bb3b3771.zip
Размер файла 593661
MD5 ef52862f41348a818e8f991a6fcb5e5b
09.10.2014, 18:27
thyrex

Удалите файлы
[QUOTE]C:\windows\tasks\Dealply.job
C:\windows\tasks\DealPlyLiveUpdateTaskMachineCore.job
C:\windows\tasks\DealPlyLiveUpdateTaskMachineUA.job
C:\windows\tasks\DSite.job[/QUOTE]

Удалите папки
[QUOTE]C:\Program Files\password
C:\Program Files\информационный пакет[/QUOTE]

[quote="Delion;1169544"]Лог MBAM не получается сделать[/quote]Пробуйте эту версию [url]http://virusinfo.info/soft/mbam-setup-1.75.0.1300.exe[/url]
09.10.2014, 21:44
Delion

Вложений: 1

Папки и файлы удалил.
09.10.2014, 22:53
regist

KGB Key Logger сами ставили?
09.10.2014, 23:05
Delion

Нет.
09.10.2014, 23:30
regist

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Поместите в карантин MBAM[/url] всё найденное. Меняйте все пароли.
09.10.2014, 23:57
Delion

Пароли поменяю. Все объекты в карантине.
10.10.2014, 21:44
mike 1

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]
10.10.2014, 22:24
Delion

RakhniDecryptor не видит он зашифрованные файлы..
10.10.2014, 22:26
thyrex

А Вы выбрали нужное расширение из списка?
10.10.2014, 22:45
Delion

А какое расширение нужно выбрать?

У меня все вордовские файлы стали такими "зачисление ОС.doc.id-{HMQUYCGJNRWZDHKOSWADHKOSWZDGKOSWZDHL-03.10.2014 [email]8@49@393057275}[email protected][/email]"

Вроде ничего подобного там нет...
10.10.2014, 23:01
mike 1

[QUOTE=Delion;1170751]RakhniDecryptor не видит он зашифрованные файлы..[/QUOTE]
Извините думал что у вас тоже расширение AES256. С шифратором Cryakl мы не поможем.
10.10.2014, 23:24
Delion

Ясненько. Спасибо за попытку...
11.10.2014, 01:16
regist

[b]Delion[/b], прочитайте эту статью [url]http://virusinfo.info/showthread.php?t=164586[/url] возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.

+ - Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
17.10.2014, 20:10
thyrex

[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] пробуйте опять
17.10.2014, 20:18
regist

[b]thyrex[/b], у него
[quote="mike 1;1170777"]шифратором Cryakl[/quote]
17.10.2014, 20:54
thyrex

Перестарался :D
17.10.2014, 21:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\quiknowledge\ie\quiknowledgeclientie.dll - [B]not-a-virus:AdWare.Win32.Agent.gjhg[/B][*] c:\program files\quiknowledge\service\qksvc.exe - [B]not-a-virus:AdWare.Win32.Agent.gjhg[/B] ( DrWEB: Adware.Popad.10 )[*] c:\users\a2ac~1\appdata\roaming\digita~1\update~1\update~1.exe - [B]not-a-virus:AdWare.Win32.DealPly.y[/B] ( DrWEB: Adware.Shopper.391, AVAST4: Win32:Rotbrow-B [Trj] )[*] c:\users\пнне\appdata\roaming\digitalsites\updateproc\updatetask.exe - [B]not-a-virus:AdWare.Win32.DealPly.y[/B] ( DrWEB: Adware.Shopper.391, AVAST4: Win32:Rotbrow-B [Trj] )[*] c:\users\пнне\applic~1\digitalsites\updateproc\updatetask.exe - [B]not-a-virus:AdWare.Win32.DealPly.y[/B] ( DrWEB: Adware.Shopper.391, AVAST4: Win32:Rotbrow-B [Trj] )[/LIST][/LIST]