Зашифрованы файлы - расширение .block [Virus.Win32.Virut.ce ]

Printable View

01.11.2014, 20:43
Larinego

Зашифрованы файлы - расширение .block [Virus.Win32.Virut.ce ]

Здравствуйте! Были зашифрованы файлы на компьютере с Windows сервер. Была взломана учетка. Причем, видимо два раза за короткий промежуток времени. В последний раз в каждой папке с файлами был создан файл следующего содержания:
ВНИМАНИЕ!!!
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ, И ЭТО ФАКТ. КОЛ-ВО ПОПЫТОК ВВОДА ПАРОЛЯ -10, ПОСЛЕ ЭТОГО ВОССТАНОВЛЕНИЕ ФАЙЛОВ
БУДЕТ НЕВОЗМОЖНО.

НЕ РЕКОМЕНДУЕТСЯ:
- ПРОВЕРЯТЬ КОМП АНТИВИРУСОМ;
- ПЕРЕУСТАНАВЛИВАТЬ ВИНДОВС;
- ПЫТАТЬСЯ ВОССТАНОВИТЬ ДАННЫЕ САМОСТОЯТЕЛЬНО.

ВСЕ ЭТИ ДЕЙСТВИЯ - БЕСПОЛЕЗНАЯ ТРАТА ВАШЕГО ВРЕМЕНИ И УСИЛИЙ, А ТАКЖЕ РЕАЛЬНЫЙ РИСК ПОТЕРЯТЬ ВСЮ ИНФОРМАЦИЮ НАВСЕГДА. НЕ УСЛОЖНЯЙТЕ СВОЕ ПОЛОЖЕНИЕ, ЛУЧШЕ ПИШИТЕ НА:
[email][email protected][/email]

И ВСЕ БУДЕТ ХОРОШО. ДО СКОРОГО.

Нужно расшифровать 1С 8. Прикрепляю зашифрованный файл 1Сv8.1CD с расширением .block до этого расширения также всякая хрень, которая была создана предыдущим шифровальщиком, за 2 дня до этого. Однако тогда я с легкостью восстановил базу, прогнав через утилиту восстановления 1С. Теперь так не получилось, возможно из-за того, что шифровальщики наложены друг на друга.

Прогонять различными утилитами комп побоялся, вдруг это усложнит все.

[url]https://yadi.sk/d/qTcYqu0ScS2NX[/url]
это база 1с
01.11.2014, 20:44
Info_bot

Уважаемый(ая) [B]Larinego[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
01.11.2014, 20:46
mike 1

[url]http://virusinfo.info/pravila.html[/url]

[QUOTE]Прикрепляю зашифрованный файл 1Сv8.1CD с расширением .block[/QUOTE]
А других типов файлов не нашлось или вы думаете, что у всех установлена 1С?
03.11.2014, 10:43
Larinego

Вот песня, которая тоже была зашифрована
[url]https://yadi.sk/d/q5JiwPs2cTZDz[/url]
03.11.2014, 12:11
mike 1

Хорошо где логи по правилам?
03.11.2014, 15:25
Larinego

Вот hijackthis.log [url]https://yadi.sk/i/iGMtMQiNcTr9P[/url]
Здесь avz.log диагностики [url]https://yadi.sk/d/htoOuP8BcTr9T[/url]
Лог avz карантин не делал, так как серверная виндовс
03.11.2014, 15:57
mike 1

[QUOTE]Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#30827)
[/QUOTE]
Сделайте логи не через терминальную сессию. Логи просьба грузить на форум через расширенный режим.
04.11.2014, 11:42
Larinego

Вложений: 2

Вот
04.11.2014, 12:45
mike 1

1. [QUOTE]Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/QUOTE]
Базы AVZ не обновили.

2. [QUOTE]
Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#30827)
[/QUOTE]
Логи сделаны через терминальную сессию. + Похоже старые логи загрузили.
04.11.2014, 16:17
Larinego

Вложений: 2

Вот
04.11.2014, 21:58
mike 1

Здравствуйте! Меняйте все пароли.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\program files\microsoft ycaeey\nbnfmom.exe');
TerminateProcessByName('c:\windows\system32\syscbmd.exe');
TerminateProcessByName('c:\windows\system32\vmware-vmx.exe');
TerminateProcessByName('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasub.exe');
TerminateProcessByName('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasppacer.exe');
TerminateProcessByName('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\waagent.exe');
TerminateProcessByName('c:\windows\debug\usermode\svchost.exe');
TerminateProcessByName('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\smss.exe');
TerminateProcessByName('c:\windows\debug\usermode\msascui.exe');
TerminateProcessByName('c:\documents and settings\Татьяна\windows\system\explorer\explorer.exe');
TerminateProcessByName('d:\Архив 1С\Юпитер плюс СВЭЙ от 25.03.14\1cv8log\eb4\eb4.exe');
TerminateProcessByName('c:\documents and settings\Администратор.ses\windows\cecsus.exe');
SetServiceStart('Wssccg gakeoeay', 4);
SetServiceStart('Windows Ddos My Test 3.0', 4);
SetServiceStart('Serv', 4);
SetServiceStart('Cdefgh Jklmnopq Stu', 4);
SetServiceStart('KillAllkvg web Service', 4);
StopService('Wssccg gakeoeay');
StopService('Windows Ddos My Test 3.0');
StopService('Serv');
StopService('Cdefgh Jklmnopq Stu');
StopService('KillAllkvg web Service');
QuarantineFile('C:\WINDOWS\ServTestDos.dll','');
QuarantineFile('C:\Program Files\RarLab\zero.exe','');
QuarantineFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasub.exe','');
QuarantineFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasppacer.exe','');
QuarantineFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\waagent.exe','');
QuarantineFile('c:\windows\system32\vmware-vmx.exe','');
QuarantineFile('c:\windows\system32\syscbmd.exe','');
QuarantineFile('c:\windows\debug\usermode\svchost.exe','');
QuarantineFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\smss.exe','');
QuarantineFile('c:\program files\microsoft ycaeey\nbnfmom.exe','');
QuarantineFile('c:\windows\debug\usermode\msascui.exe','');
QuarantineFile('c:\documents and settings\Татьяна\windows\system\explorer\explorer.exe','');
QuarantineFile('d:\Архив 1С\Юпитер плюс СВЭЙ от 25.03.14\1cv8log\eb4\eb4.exe','');
QuarantineFile('c:\documents and settings\Администратор.ses\windows\cecsus.exe','');
DeleteFile('d:\Архив 1С\Юпитер плюс СВЭЙ от 25.03.14\1cv8log\eb4\eb4.exe','32');
DeleteFile('c:\windows\debug\usermode\svchost.exe','32');
DeleteFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\waagent.exe','32');
DeleteFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasppacer.exe','32');
DeleteFile('c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasub.exe','32');
DeleteFile('C:\Documents and Settings\Администратор.SES\WINDOWS\cecsus.exe','32');
DeleteFile('C:\WINDOWS\Debug\UserMode\MSASCui.exe','32');
DeleteFile('c:\windows\system32\vmware-vmx.exe','32');
DeleteFile('c:\windows\system32\syscbmd.exe','32');
DeleteFile('c:\program files\microsoft ycaeey\nbnfmom.exe','32');
DeleteFile('C:\Documents and Settings\Татьяна\Application Data\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Documents and Settings\Татьяна\WINDOWS\system\explorer\explorer.exe','32');
DeleteFile('C:\Documents and Settings\Татьяна\Главное меню\Программы\Автозагрузка\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
DeleteFile('C:\Documents and Settings\Татьяна\Мои документы\Загрузки\Was\smss.exe','32');
DeleteFile('C:\Program Files\RarLab\zero.exe','32');
DeleteFile('C:\WINDOWS\ServTestDos.dll','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-549446563-1728162854-2446841471-1008\Software\Microsoft\Windows\CurrentVersion\Run','Windows');
RegKeyParamDel('HKEY_USERS','S-1-5-21-549446563-1728162854-2446841471-1008\Software\Microsoft\Windows\CurrentVersion\Run','Windows Session Manager');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ServTestDos\Parameters','ServiceDll');
DeleteService('Wssccg gakeoeay');
DeleteService('Windows Ddos My Test 3.0');
DeleteService('Serv');
DeleteService('Cdefgh Jklmnopq Stu');
DeleteService('KillAllkvg web Service');
DeleteFileMask('C:\Program Files\RarLab', '*', true, ' ');
DeleteDirectory('C:\Program Files\RarLab');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

[/CODE]

Компьютер перезагрузите вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O4 - HKLM\..\Run: [progrmma] C:\Program Files\RarLab\zero.exe

[/CODE]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
06.11.2014, 13:20
Larinego

Вложений: 3

Скрипт сделал первый раз, потом подумал что под ручной перезагрузкой подразумевалось выключить питание и сделал согласно своим предположениям второй раз (прошу прощения если накосячил) прикрепил оба архива карантина. При попытке пофиксить файл zero не нашел. Интернет екслпрорер 8 не поставил т.к. он походу снят с поддержки и скачать его с сайта микрософт нельзя, если надо откуда еще скачать старый, то сделаю.(кстати на ни на сайт микрософт ни на вирусинфо с зараженного компа не заходит, на другие - вроде норм).

Скажите пожалуйста Мике, а мы хоть немного приближаемся к расшифровке файлов нужных, или это дело гиблое? Прости меня за мое нубство, просто волнуюсь...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

вот лог при запуске скрипта первый раз
>>>> Подозрение на маскировку файла процесса: C:\Documents and Settings\Сергей Васильевич\WINDOWS\system32\smss.exe
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=0A6380)
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 80800000
SDT = 808A6380
KiST = 80834190 (296)
Проверено функций: 296, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
Анализ для процессора 3
Анализ для процессора 4
CmpCallCallBacks = 00000000
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
1.5 Проверка обработчиков IRP
Драйвер успешно загружен
Проверка завершена
[TerminateProcess]: Процесс успешно остановлен (1816 nbnfmom.exe)
[TerminateProcess]: Процесс успешно остановлен (1340 syscbmd.exe)
[TerminateProcess]: Процесс успешно остановлен (1776 vmware-vmx.exe)
[TerminateProcess]: Процесс успешно остановлен (13300 wasub.exe)
[TerminateProcess]: Процесс успешно остановлен (2168 wasppacer.exe)
[TerminateProcess]: Процесс успешно остановлен (4712 waagent.exe)
[TerminateProcess]: Процесс успешно остановлен (1704 svchost.exe)
[TerminateProcess]: Процесс успешно остановлен (652 smss.exe)
[TerminateProcess]: Процесс успешно остановлен (1496 msascui.exe)
[TerminateProcess]: Процесс успешно остановлен (2564 explorer.exe)
[TerminateProcess]: Процесс успешно остановлен (7956 eb4.exe)
[TerminateProcess]: Процесс успешно остановлен (1268 cecsus.exe)
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\ServTestDos.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\ServTestDos.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка [2, QUARANTINEFILE]
Ошибка карантина файла, попытка прямого чтения (C:\Program Files\RarLab\zero.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Program Files\RarLab\zero.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasub.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasppacer.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\documents and settings\Татьяна\Мои документы\Загрузки\was\waagent.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\windows\system32\vmware-vmx.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\windows\system32\syscbmd.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\windows\debug\usermode\svchost.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\documents and settings\Татьяна\Мои документы\Загрузки\was\smss.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\program files\microsoft ycaeey\nbnfmom.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\windows\debug\usermode\msascui.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\documents and settings\Татьяна\windows\system\explorer\explorer.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (d:\Архив 1С\Юпитер плюс СВЭЙ от 25.03.14\1cv8log\eb4\eb4.exe)
Ошибка [2, QUARANTINEFILE]
Файл успешно помещен в карантин (c:\documents and settings\Администратор.ses\windows\cecsus.exe)
Ошибка [2, QUARANTINEFILE]
Удаление файла: d:\Архив 1С\Юпитер плюс СВЭЙ от 25.03.14\1cv8log\eb4\eb4.exe
Удаление файла: c:\windows\debug\usermode\svchost.exe
Удаление файла: c:\documents and settings\Татьяна\Мои документы\Загрузки\was\waagent.exe
Удаление файла: c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasppacer.exe
Удаление файла: c:\documents and settings\Татьяна\Мои документы\Загрузки\was\wasub.exe
Удаление файла: C:\Documents and Settings\Администратор.SES\WINDOWS\cecsus.exe
Удаление файла: C:\WINDOWS\Debug\UserMode\MSASCui.exe
Удаление файла: c:\windows\system32\vmware-vmx.exe
Удаление файла: c:\windows\system32\syscbmd.exe
Удаление файла: c:\program files\microsoft ycaeey\nbnfmom.exe
Удаление файла: C:\Documents and Settings\Татьяна\Application Data\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Удаление файла: C:\Documents and Settings\Татьяна\WINDOWS\system\explorer\explorer.exe
Удаление файла: C:\Documents and Settings\Татьяна\Главное меню\Программы\Автозагрузка\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Удаление файла: C:\Documents and Settings\Татьяна\Мои документы\Загрузки\Was\smss.exe
Удаление файла: C:\Program Files\RarLab\zero.exe
>>>Для удаления файла C:\Program Files\RarLab\zero.exe необходима перезагрузка
Удаление файла: C:\WINDOWS\ServTestDos.dll
>>>Для удаления файла C:\WINDOWS\ServTestDos.dll необходима перезагрузка
[микропрограмма лечения]> удален параметр Windows ключа HKEY_USERS\S-1-5-21-549446563-1728162854-2446841471-1008\Software\Microsoft\Windows\CurrentVersion\Run
[микропрограмма лечения]> удален параметр Windows Session Manager ключа HKEY_USERS\S-1-5-21-549446563-1728162854-2446841471-1008\Software\Microsoft\Windows\CurrentVersion\Run
[микропрограмма лечения]> удален параметр progrmma ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
[микропрограмма лечения]> удален параметр ServiceDll ключа HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ServTestDos\Parameters
Удаление службы/драйвера: Wssccg gakeoeay
[микропрограмма лечения]> удален ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Wssccg gakeoeay
Удаление службы/драйвера: Windows Ddos My Test 3.0
[микропрограмма лечения]> удален ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Ddos My Test 3.0
Удаление службы/драйвера: Serv
[микропрограмма лечения]> удален ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Serv
Удаление службы/драйвера: Cdefgh Jklmnopq Stu
[микропрограмма лечения]> удален ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdefgh Jklmnopq Stu
Удаление службы/драйвера: KillAllkvg web Service
[микропрограмма лечения]> удален ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KillAllkvg web Service
Удаление файла:C:\Program Files\RarLab\ *
Автоматическая чистка следов удаленных в ходе лечения программ
06.11.2014, 14:22
mike 1

[QUOTE]Скажите пожалуйста Мике, а мы хоть немного приближаемся к расшифровке файлов нужных, или это дело гиблое?[/QUOTE]
Всему свое время. Расшифровать файлы можно, но у вас сервер достаточно сильно заражен, поэтому сначала лечение, а потом все остальное. К тому же ресурсы вашего сервера используют для брута других серверов. Меняйте на сервере все пароли.

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v384c
breg

delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\РАБОЧИЙ СТОЛ\DEK\DUBRUTE_2.1\SVCHOST.EXE
delall %SystemRoot%\TEMP\428044437.BAT
delall %SystemRoot%\TEMP\630743484.BAT
delall %SystemRoot%\TEMP\631436531.BAT
delall %SystemRoot%\TEMP\639578078.BAT
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.SES\LOCAL SETTINGS\TEMP\2\671179921.BAT
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.SES\LOCAL SETTINGS\TEMP\2\671278843.BAT
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.SES\LOCAL SETTINGS\TEMP\2\671387984.BAT
delall %SystemRoot%\TEMP\812794156.BAT
delall %SystemRoot%\TEMP\816196937.BAT
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.SES\РАБОЧИЙ СТОЛ\123.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.SES\РАБОЧИЙ СТОЛ\123.EXE
zoo %SystemRoot%\RU631223125.EXE
delall %SystemRoot%\RU631223125.EXE
zoo %SystemRoot%\RU813653593.EXE
delall %SystemRoot%\RU813653593.EXE
zoo D:\DISTRIBU\INTERNET\XPI\SMSS.EXE
zoo D:\DISTRIBU\INTERNET\XPI\ALG.EXE
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\PROGRAM FILES\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\3\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\8\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.SES\PROGRAM FILES\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\НИКИТА\LOCAL SETTINGS\TEMP\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\СЕРГЕЙ ВАСИЛЬЕВИЧ\PROGRAM FILES\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ТАТЬЯНА\LOCAL SETTINGS\TEMP\5\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ТАТЬЯНА\LOCAL SETTINGS\TEMP\6\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ТАТЬЯНА\LOCAL SETTINGS\TEMP\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ТАТЬЯНА\PROGRAM FILES\RARLAB
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\РАБОЧИЙ СТОЛ\DEK\DUBRUTE_2.1
czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.

Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
06.11.2014, 16:30
Larinego

Вложений: 2

Вот
[URL="http://virusinfo.info/virusdetector/report.php?md5=603CC3B9FDD066B52136DA4B44F163DD"]Ссылка [/URL]
06.11.2014, 18:02
mike 1

[QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных
[/QUOTE]
А у вас еще файловый вирус откуда-то взялся :(

Пролечите сервер так [url]http://virusinfo.info/showthread.php?t=15927[/url] (вариант с LiveCD диском), потом сделайте новые логи AVZ.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE]virusinfo_auto_имя_вашего_ПК.zip[/QUOTE]
Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
06.11.2014, 18:41
Larinego

[QUOTE=mike 1;1184272]
Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы[/QUOTE] Вроде высылал virusinfo_auto_SES.zip, загрузил повторно
[h=1]Результат загрузки[/h][TABLE]
[TR]
[TD]Файл сохранён как[/TD]
[TD]141106_154113_virusinfo_auto_SES_545b969962300.zip[/TD]
[/TR]
[TR]
[TD]Размер файла[/TD]
[TD]4573028[/TD]
[/TR]
[TR]
[TD]MD5[/TD]
[TD]603cc3b9fdd066b52136da4b44f163dd[/TD]
[/TR]
[/TABLE]
[h=2]Файл закачан, спасибо![/h]
06.11.2014, 18:52
mike 1

Карантин дошел.
08.11.2014, 12:38
Larinego

Ок. Образ сделаю и просканирую. Но это смогу сделать только в понедельник. Я отключил NAT на этот сервер. Бухгалтерия плачет... Я вообще могу от интернета отключить сервер. Можно как-то параллельно лечить и восстановить данные?
08.11.2014, 12:49
mike 1

[QUOTE]Можно как-то параллельно лечить и восстановить данные?[/QUOTE]
Можно, но у нас расшифровка идет отдельной услугой [url]http://virusinfo.info/content.php?r=639-decoding[/url]. Расшифровать файлы можем, но давайте сразу договоримся, что после расшифровки файлов вы эту тему не бросите и доведете лечение до конца.
09.11.2014, 18:50
Larinego

[QUOTE=mike 1;1185083]Можно, но у нас расшифровка идет отдельной услугой [url]http://virusinfo.info/content.php?r=639-decoding[/url]. Расшифровать файлы можем, но давайте сразу договоримся, что после расшифровки файлов вы эту тему не бросите и доведете лечение до конца.[/QUOTE]

Конечно, это же в моих интересах!
10.11.2014, 00:40
mike 1

[QUOTE=Larinego;1185677]Конечно, это же в моих интересах![/QUOTE]
Тогда оформляйте подписку. + Жду запрошенные отчеты из 15 сообщения.
12.11.2014, 12:06
Larinego

[QUOTE=Larinego;1185677][COLOR=#333333]Можно, но у нас расшифровка идет отдельной услугой [/COLOR][URL]http://virusinfo.info/content.php?r=639-decoding[/URL][COLOR=#333333]. Расшифровать файлы можем, но давайте сразу договоримся, что после расшифровки файлов вы эту тему не бросите и доведете лечение до конца.[/COLOR][/QUOTE]

Что делать, если не могу создать аккаунт paypal? Ни моя карточка, ни карточки друзей не подходят. Это вся Беларусь... У меня есть WebMoney могу я оттуда деньги кинуть?
12.11.2014, 13:41
mike 1

[QUOTE=Larinego;1186915]Что делать, если не могу создать аккаунт paypal? Ни моя карточка, ни карточки друзей не подходят. Это вся Беларусь... У меня есть WebMoney могу я оттуда деньги кинуть?[/QUOTE]
Напишите личное сообщение Администратору ([url]http://virusinfo.info/member.php?u=105505[/url])
12.11.2014, 13:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]69[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \alg.exe._696c0f2275ac183bf72db3f906b82bc60208c78c - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: Trojan.Siggen6.22937, BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\program files\internet explorer\iexplore.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\program files\\outlook express\setup50.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\program files\outlook express\setup50.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\explorer.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\inf\unregmp2.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\ipv6hlpr.dll - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\pchealth\uploadlb\binaries\uploadm.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\ctfmon.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\dfssvc.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\logon.scr - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\lserver.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\magnify.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\msdtc.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\ntfrs.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\osk.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\progman.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\regsvr32.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\rundll32.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\spoolsv.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\sysamoi.exe - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: Trojan.Siggen6.22937, BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\tlntsvr.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\userinit.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] c:\windows\system32\wbem\wmiprvse.exe - [B]Virus.Win32.Virut.ce[/B] ( BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] \ru631223125.exe._e7bdd69f83d571b4c4af1bb74cbbc6601ba55764 - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: DDoS.Rincux.535, BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] \ru813653593.exe._92b520aab0b9817a9e8a42ffe219b9d3a1a3e17c - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: DDoS.Rincux.535, BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[*] \smss.exe._eaf75ab44874d63357a595b53ed693474ccdd3fc - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: Trojan.MulDrop5.33676, BitDefender: Win32.Virtob.Gen.12, AVAST4: Win32:Vitro )[/LIST][/LIST]