Вирус зашифровал файлы AES256 [Trojan-Ransom.MSIL.Lortok.p ]

Добрый вечер! Вчера пришло это сообщение:" Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.


Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: [url]https://www.torproject.org/[/url] | Видео инструкция: [url]http://youtu.be/43feBLwHzn0[/url]
url_1: [url]http://y6kpyefykdvswxps.onion:4567/pay.html[/url]
url_2: [url]http://gi3ruskskqzff2rw.onion:4567/pay.html[/url]
HashKey: 7f21438d4349ea92211cb24e3aba682e
ID: 20757"
Заранее благодарен всем хелперам за помощь избавления от вируса и восстановления файлов!

Уважаемый(ая) [B]Maks Crimea[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','');
QuarantineFile('C:\Users\Home\AppData\Roaming\UpdaterEX\UpdateProc\UpdateTask.exe','');
QuarantineFile('C:\Users\Home\AppData\Roaming\MRWK.exe','');
QuarantineFile('C:\Users\Home\AppData\Roaming\MFNMWD.exe','');
QuarantineFile('c:\support\649636217.ini','');
QuarantineFile('c:\support\couponsupport.exe','');
DelBHO('{785a92fd-758e-4e4a-b4b0-4bf15e733ff5}');
QuarantineFile('C:\Program Files (x86)\NextoCouupp\hXg1lqGLtxHIk7.dll','');
DeleteService('gupdatem');
DeleteService('gupdate');
SetServiceStart('DebugIconSprite.exe', 4);
DeleteService('DebugIconSprite.exe');
QuarantineFile('c:\programdata\trusted publisher\sw-booster\sw-booster.exe','');
TerminateProcessByName('c:\users\home\appdata\roaming\skypemoticons\se.exe');
QuarantineFile('c:\users\home\appdata\roaming\skypemoticons\se.exe','');
TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
QuarantineFile('c:\windows\syswow64\driverjresdk\driverjresdk.exe','');
TerminateProcessByName('c:\users\home\appdata\local\debugiconsprite\directxnetschema.exe');
QuarantineFile('c:\users\home\appdata\local\debugiconsprite\directxnetschema.exe','');
TerminateProcessByName('c:\users\home\appdata\local\debugiconsprite\debugiconsprite.exe');
QuarantineFile('c:\users\home\appdata\local\debugiconsprite\debugiconsprite.exe','');
DeleteFile('c:\users\home\appdata\local\debugiconsprite\debugiconsprite.exe','32');
DeleteFile('c:\users\home\appdata\local\debugiconsprite\directxnetschema.exe','32');
DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
DeleteFile('c:\users\home\appdata\roaming\skypemoticons\se.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','se');
DeleteFile('C:\Program Files (x86)\NextoCouupp\hXg1lqGLtxHIk7.dll','32');
DeleteFile('c:\support\couponsupport.exe','32');
DeleteFile('c:\support\649636217.ini','32');
DeleteFile('C:\Windows\Tasks\couponsupport-S-649636217.job','64');
DeleteFile('C:\Users\Home\AppData\Roaming\MFNMWD.exe','32');
DeleteFile('C:\Windows\Tasks\MFNMWD.job','64');
DeleteFile('C:\Windows\Tasks\MRWK.job','64');
DeleteFile('C:\Users\Home\AppData\Roaming\MRWK.exe','32');
DeleteFile('C:\Users\Home\AppData\Roaming\UpdaterEX\UpdateProc\UpdateTask.exe','32');
DeleteFile('C:\Windows\Tasks\UpdaterEX.job','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
DeleteFile('C:\Windows\system32\Tasks\couponsupport-S-649636217','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\MFNMWD','64');
DeleteFile('C:\Windows\system32\Tasks\MRWK','64');
DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','64');
DeleteFileMask('c:\programdata\windowsmangerprotect', '*', true);
DeleteDirectory('c:\programdata\windowsmangerprotect');
DeleteFileMask('C:\Program Files (x86)\NextoCouupp', '*', true);
DeleteDirectory('C:\Program Files (x86)\NextoCouupp');
DeleteFileMask('c:\users\home\appdata\local\debugiconsprite', '*', true);
DeleteDirectory('c:\users\home\appdata\local\debugiconsprite');
DeleteFileMask('C:\Users\Home\AppData\Roaming\UpdaterEX', '*', true);
DeleteDirectory('C:\Users\Home\AppData\Roaming\UpdaterEX');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

Добрый день, thyrex! Сделал новые логи AVZ и RSIT.Вчера запустил полное сканирование МВАМ по всем правилам, после 12 часов сканирования программа зависла и не выдала лог...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скажите пожалуйста, стоит ли заново запускать МВАМ?

[quote="Maks Crimea;1170935"]Вчера запустил полное сканирование МВАМ по всем правилам, после 12 часов сканирования программа зависла и не выдала лог...[/quote]Пробуйте такую версию [url]http://virusinfo.info/soft/mbam-setup-1.75.0.1300.exe[/url]

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1411038531&from=amt&uid=WDCXWD10EZEX-00RKKA0_WD-WCC1S253119931199
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1411038531&from=amt&uid=WDCXWD10EZEX-00RKKA0_WD-WCC1S253119931199
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=ds&ts=1411038531&from=amt&uid=WDCXWD10EZEX-00RKKA0_WD-WCC1S253119931199&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1411038531&from=amt&uid=WDCXWD10EZEX-00RKKA0_WD-WCC1S253119931199&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.allsearches.info/?R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:31116
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
[/CODE]

Удалите папки
[QUOTE]C:\Users\Home\AppData\Roaming\Mail.RU NewGamesT
C:\Users\Home\AppData\Roaming\Microsoft DB
C:\Users\Home\AppData\Roaming\Baidu
C:\ProgramData\Baidu
C:\Users\Home\AppData\Roaming\GemWare
C:\Users\Home\AppData\Roaming\ICL
C:\ProgramData\NextoCouupp
C:\ProgramData\YYoUtubbeAdeBlockue
C:\ProgramData\24457be30d250350
C:\ProgramData\cosstminn
C:\Program Files (x86)\cosstminn
C:\Users\Home\AppData\Roaming\GoforFiles
C:\Program Files (x86)\globalUpdate
C:\Program Files (x86)\SupTab
[/QUOTE]

Пофиксил в HiJack, указанные папки "с диска" удалил. Версию mbam 1.75.0.1300 запустил и сразу включилось автоматическое обновление до 2.0.2.1012. Сейчас идёт сканирование в новой версии mbam

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Правильно ли я понял, сейчас мы удаляем вирус AES256? Потом Вы поможете расшифровать файлы с расширением AES256?
Спасибо за Ваше терпение и дальнейшую помощь!

Пока идет сканирование, пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]

Спасибо, попробовал, пишет: "Невозможно подобрать пароль" ... Есть ли какой ещё способ расшифровать файлы?

Увы, больше помочь нечем

Жаль..Спасибо, что уделили мне время! Скажите, сканирование mbam продолжать? Или уже нет смысла?

Продолжайте. Там у Вас еще прочая нечисть есть

Понял, будем продолжать

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

МВАМ опять зависла проработав более 12 часов. Лога нет. Успел сделать скрин найденных объектов.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Thyrex без МВАМ, как убить остальную нечисть?

[quote="Maks Crimea;1170980"]Версию mbam 1.75.0.1300 запустил и сразу включилось автоматическое обновление до 2.0.2.1012[/quote]Удалите версию 2.0.2, а при установке 1.75 откажитесь от обновления. Пробуйте сделать лог МВАМ

Множество раз запускал MBAM 1.75 и каждый раз зависает. Есть ли другая программа для проверки и анализа, чтобы сделать лог?

А в безопасном режиме?

Нет. Спасибо, попробуем.

[INFORMATION][color=#FF0000][b]Внимание![/b][/color] [color=#0000FF]Данный дешифратор предназначен только для пользователя [b]Maks Crimea[/b]
Во избежание [u]окончательной потери информации[/u] использовать данный дешифратор другим пострадавшим [/color][color=#FF0000][b]не рекомендуется[/b][/color][/INFORMATION]

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

[url=http://rghost.ru/58393279]Дешифратор[/url]

[u]Принцип работы с дешифратором:[/u]

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.

[QUOTE=thyrex;1173035]А в безопасном режиме?[/QUOTE]

К сожалению также, после 30 минут MBAM не работает...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=mike 1;1173126][INFORMATION][color=#FF0000][b]Внимание![/b][/color] [color=#0000FF]Данный дешифратор предназначен только для пользователя [b]Maks Crimea[/b]
Во избежание [u]окончательной потери информации[/u] использовать данный дешифратор другим пострадавшим [/color][color=#FF0000][b]не рекомендуется[/b][/color][/INFORMATION]

Перед использованием дешифратора рекомендуется сделать резервную копию всех зашифрованных файлов.

[url=http://rghost.ru/58393279]Дешифратор[/url]

[u]Принцип работы с дешифратором:[/u]

1. Сохраните дешифратор в отдельную созданную папку.

2. Сохраните прикрепленное вложение в папку с дешифратором. Распакуйте архив с ключом. Запустите сам дешифратор и дождитесь окончания процесса работы дешифратора.[/QUOTE]

Спасибо Вам за помощь, буду пробовать!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Mike 1, огромное Вам спасибо! Дешифратор расшифровал более 170 000 файлов с aes 256:D Осталось только 52 файла. Их нужно удалять?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Господа-хелперы, а как теперь окончательно удалить остальные вирусы?! :) Полную проверку и лог, МВАМ не делает- виснет!

[QUOTE]Осталось только 52 файла. Их нужно удалять?[/QUOTE]
Возможно он их просто не успел зашифровать.

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

"Возможно он их просто не успел зашифровать." Они зашифрованы c расширением aes 256

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Отправляю Вам, отчёт после проверки AdwCleaner

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]

Сделал

[LIST=1][*]Скачайте [b][url=http://virusinfo.info/soft/tool.php?tool=FixerBro]FixerBro by glax 24[/url][/b] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]FixerBro[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы нажмите на кнопку [B]"Проверить"[/B][*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\FixerBro[/COLOR][/B] (лог в формате [b]FixerBro_yyyymmdd.txt[/b])[*]По окончанию сканирования нажмите на кнопку "[b]Отчет[/b]".[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

Скачайте ComboFix [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]здесь[/url] и сохраните в корень диска С.

1. [color=red]Внимание![/color] Обязательно закройте все браузеры, [URL="http://virusinfo.info/showthread.php?t=130828"]временно выключите антивирус, firewall и другое защитное программное обеспечение[/URL]. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите [b]combofix.exe[/b], когда процесс завершится, скопируйте текст из [b]C:\ComboFix.txt[/b] и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Mike 1, благодарю за Вашу помощь! Отправляю логи

[LIST=1][*]Запустите повторно [b][color="Blue"]FixerBro by glax24[/b][/color]. [INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать через правую кн. мыши [b]от имени администратора[/b], на [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]Нажмите на кнопку [b]"Проверить"[/b], а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку [b]Исправить[/b]. Дождитесь окончания удаления.

[code]
C:\Users\Home\Desktop\Utility\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk [C:\Program Files (x86)\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (2).lnk [C:\Users\Home\AppData\Roaming\Browsers\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (3).lnk [C:\Users\Home\AppData\Roaming\Browsers\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk [C:\Users\Home\AppData\Roaming\Browsers\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk [C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\Home\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera12.15 1748.lnk [C:\Program Files (x86)\Opera\opera.exe.bat "http://1kanal.org/?src=hp1"]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk [C:\Program Files (x86)\Mozilla Firefox\firefox.exe.bat "http://1kanal.org/?src=hp1"]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk [C:\Program Files (x86)\Opera\opera.exe.bat "http://1kanal.org/?src=hp1"]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk [C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat "http://1kanal.org/?src=hp1"]
[/code]
[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [b][color="Blue"]C:\FixerBro[/b][/color]. (Лог в формате [b]FixerBro_yyyymmdd.txt[/b]).[*]По окончанию удаления нажмите на кнопку "[b]Отчет[/b]"[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

В браузере удалите эти расширения:

[QUOTE]
HD-V2.2V11.10 - (C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\Extensions\[email protected]) (11.10.2014)
Dr. PC - (C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\Extensions\[email protected]) (13.10.2014)
ClickMovie1-Downloaderv10 - (C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\Extensions\[email protected]) (13.10.2014)
SuperMegaBest.com - (C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\Extensions\[email protected]) (18.09.2014)
Dolphin Deals - (C:\Users\Home\AppData\Local\Google\Chrome\User Data\Default\Extensions\hnfbhjkchkfjiamkkecaheoodfjbndpb) (13.10.2014)
[/QUOTE]

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С.[/B][/COLOR]
[code]
KillAll::

File::
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\bd64_x64.dll
c:\windows\system32\bd64_x86.dll
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\bd0001_1.sys
c:\windows\system32\DRIVERS\BDMWrench_x64.sys

Driver::
BDMWrench_x64
bd0004
BDMWrench
BDArKit
BDSGRTP

Folder::
c:\programdata\Baidu
c:\users\Home\AppData\Local\19597
c:\program files (x86)\Common Files\Baidu
c:\users\Home\AppData\Roaming\Browsers


Registry::

FileLook::

DirLook::
C:\Support

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Всё, сделал

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С.[/B][/COLOR]
[code]
KillAll::

File::
c:\windows\system32\drivers\BDSafeBrowser.sys

Driver::
BDSafeBrowser

Folder::
c:\program files (x86)\Common Files\Baidu
C:\Support

Registry::

Firefox::
FF - prefs.js: browser.startup.homepage - hxxp://1kanal.org/?src=hp1

FileLook::

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделал! что дальше?:)

Деинсталлируйте ComboFix: нажмите [b]Пуск[/b] => [b]Выполнить[/b] в окне наберите команду [b]Combofix /Uninstall[/b], нажмите кнопку "[b]ОК[/b]"

[IMG]http://s16.radikal.ru/i191/1003/6c/671e520b7c2d.jpg[/IMG]

Скачайте [url="http://oldtimer.geekstogo.com/OTC.exe"]OTCleanIt[/url], запустите, нажмите [B]Clean up[/B]

[LIST][*]Подготовьте лог [B]OTL by OldTimer[/B], как описано на [URL="http://www.cyberforum.ru/viruses-faq/thread230018.html"]этой странице[/URL].[*]Прикрепите полученные логи [B]OTL.txt[/B] и [B]Extra.txt[/B] к своему следующему сообщению.[*][/LIST]

Mike 1, логи готовы!

[LIST][*]Запустите повторно [URL="http://oldtimer.geekstogo.com/OTL.exe"]OTL by OldTimer[/URL] или [URL="http://oldtimer.geekstogo.com/OTL.com"]OTL.com[/URL] или [URL="http://oldtimer.geekstogo.com/OTL.scr"]OTL.scr[/URL].

[SIZE="1"]Обратите внимание, что утилиты необходимо запускать от имени [B]Администратора[/B]. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите "[B]Да[/B]".[/SIZE]
[*]В окно [B]Custom Scans/Fixes[/B] скопируйте следующую информацию:

[CODE]
:Commands
[CREATERESTOREPOINT]

:processes

:OTL
FF - prefs.js..browser.startup.homepage: "http://1kanal.org/?src=hp1"
FF - user.js - File not found
[2014.10.13 22:53:32 | 000,000,000 | ---D | M] ("HD-V2.2V11.10") -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]
[2014.10.13 21:48:10 | 000,000,000 | ---D | M] ("Dr. PC") -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]
[2014.10.13 22:53:31 | 000,000,000 | ---D | M] ("ClickMovie1-Downloaderv10") -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]
[2014.10.13 22:53:32 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]\extensionData
[2014.10.13 22:53:32 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]\extensionData\plugins
[2014.10.13 22:53:32 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]\extensionData
[2014.10.13 22:53:31 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]\extensionData\userCode
[2014.10.13 22:53:31 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]\extensionData
[2014.10.13 22:53:31 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\extensions\[email protected]\extensionData\plugins
[2014.09.19 16:32:11 | 000,002,829 | ---- | M] () -- C:\Users\Home\AppData\Roaming\Mozilla\Firefox\Profiles\9zessehq.default\searchplugins\inet123.xml
O21:[b]64bit:[/b] - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
MsConfig:64bit - StartUpReg: [b]baidu[/b] - hkey= - key= - Reg Error: Value error. File not found
[2014.10.07 20:28:50 | 000,000,001 | ---- | M] () -- C:\Users\Home\AppData\Roaming\smw_inst
[2014.09.01 12:18:44 | 000,002,086 | ---- | C] () -- C:\Users\Home\AppData\Roaming\VSI
[2014.09.01 12:18:44 | 000,002,086 | ---- | C] () -- C:\Users\Home\AppData\Roaming\NRANG
[2014.09.01 12:18:44 | 000,002,086 | ---- | C] () -- C:\Users\Home\AppData\Roaming\NC
[2014.09.01 12:18:44 | 000,002,086 | ---- | C] () -- C:\Users\Home\AppData\Roaming\MRWK
[2014.09.01 12:18:44 | 000,001,248 | ---- | C] () -- C:\Users\Home\AppData\Roaming\PXOTICO
[2014.09.01 12:18:44 | 000,001,248 | ---- | C] () -- C:\Users\Home\AppData\Roaming\MFNMWD
[2014.09.01 12:18:44 | 000,001,248 | ---- | C] () -- C:\Users\Home\AppData\Roaming\BCFEIW
[2014.09.01 12:18:44 | 000,001,248 | ---- | C] () -- C:\Users\Home\AppData\Roaming\AIAQ

:Services

:Files

:Reg

:Commands
[purity]
[Reboot][/CODE][*]Проверьте, что весь текст скрипта был скопирован / вставлен [U]верно[/U] и нажмите кнопку "[B]Run Fix[/B]"[*][B][I]Компьютер перезагрузится.[/I][/B][*]После перезагрузки откройте папку [b]"C:\_OTL\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), откройте и прикрепите его в следующее сообщение.[/LIST]

Есть!

Пробуйте оставшиеся файлы расшифровать этим [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]

Слава Богу! Спасибо Mike1, все файлы расшифрованы :D

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Правильно понял, больше вирусов у меня нет?

[QUOTE]Правильно понял, больше вирусов у меня нет?[/QUOTE]
Да, зачистили остаток.

[LIST=1][*]Скачайте [url=https://toolslib.net/downloads/finish/2/]DelFix[/url] и сохраните утилиту на [b]Рабочем столе[/b][*]Запустите [b]DelFix[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В открывшемся окне программы поставьте галочки напротив пунктов [B]Remove desinfection tools[/B] и [B]Create registry backup[/B][*]Нажмите на кнопку [B]Run[/B][*]После окончания работы программы автоматически откроется блокнот с отчетом [B]delfix.txt[/B][*]Прикрепите этот отчет в вашей теме.[/LIST]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Благодарю за помощь Mike 1!!!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Благодарю за помощь Mike 1!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\home\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.p[/B] ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )[/LIST][/LIST]