вирус зашифровал очень значимые для меня видео и фото файлы. Помогите ребята.
вирус зашифровал очень значимые для меня видео и фото файлы. Помогите ребята.
Уважаемый(ая) [B]АлександерShas[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
могу предоставить зашифрованные файлы, а так же их не зашифрованные оригиналы.
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\svshoct.exe');
TerminateProcessByName('c:\windows\system32\explolerte.exe');
SetServiceStart('RManService', 4);
StopService('RManService');
QuarantineFile('C:\Program Files\Mobogenie\DaemonProcess.exe','');
QuarantineFile('C:\DOCUME~1\SHAS\LOCALS~1\Temp\9dKXT5hK5ivPcCX.exe','');
QuarantineFile('c:\windows\system32\svshoct.exe','');
QuarantineFile('c:\windows\system32\explolerte.exe','');
DeleteFile('C:\WINDOWS\system32\svshoct.exe','32');
DeleteFile('C:\DOCUME~1\SHAS\LOCALS~1\Temp\9dKXT5hK5ivPcCX.exe','32');
DeleteFile('C:\Program Files\Mobogenie\DaemonProcess.exe','32');
DeleteFile('C:\WINDOWS\system32\explolerte.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
DeleteService('RManService');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
[CODE]
O2 - BHO: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O3 - Toolbar: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [NextLive] C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\SHAS\Application Data\newnext.me\nengine.dll",EntryPoint -m l
O4 - S-1-5-18 Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'SYSTEM')
O4 - .DEFAULT Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Default user')
O4 - .DEFAULT User Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt (User 'Default user')
O4 - Global Startup: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
O20 - Winlogon Notify: RWLN - RWLN.dll (file missing)
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
отчет AdwCleaner
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Где остальные логи, которые просили сделать?
Зашифрованную картинку пришлите.
лог HiJackThis
файл карантина avz
Ждем остальные логи.
я все правильно сделал, и могу приступить к этим указаниям?:
Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Clean" и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.
Подробнее читайте в этом руководстве.
Где остальные логи, которые просили сделать?
Зашифрованную картинку пришлите.
[QUOTE]я все правильно сделал, и могу приступить к этим указаниям?:
[/QUOTE]
Да только карантин в теме выкладывать не нужно. У нас для загрузки карантина есть специальная форма.
Отчет AdwCleaner
Еще просил сделать новые логи AVZ и прислать зашифрованную картинку.
Здравствуйте.
Заметил, что некоторые mp3 и jpeg файлы остались в двух вариантах. Один зашифрован, а другой нет.
Зашифрованные файлы: [url]http://www.fayloobmennik.net/4296763[/url]
[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
Во время выполнения пункта 3, uVS зависает на проверке цифровых подписей.
Пробовал перезагрузить компьютер, не помогло.
Так же менял разрешение файла start.exe на pif и cmd. Как быть?
Проблема решена, получилось сделать лог в безопасном режиме
Попробуйте сохранить образ без проверки ЭЦП.
Проблема решена, получилось сделать лог в безопасном режиме
[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v384c
breg
del %SystemDrive%\DOCUMENTS AND SETTINGS\DEFAULT USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\SHAS\LOCAL SETTINGS\TEMP\WIUPDATE.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\SHAS\LOCAL SETTINGS\TEMP\WIUPDATE.EXE
del %Sys32%\CONFIG\SYSTEMPROFILE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]
Сделайте новый лог uVS. Попробуйте его сделать из обычного режима, но с отключенной проверкой ЭЦП.
Выполнено.
Логи в порядке. Пароли от RDP и учетных записей смените на более сложные.
Присланные файлы расшифрованы (возможно, не расшифруются только файлы совсем небольшого маленького размера). С 1 ноября расшифровка файлов идет отдельной услугой. Подробнее [URL="http://virusinfo.info/content.php?r=639-decoding"]здесь[/URL].
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\docume~1\shas\locals~1\temp\9dkxt5hk5ivpccx.exe - [B]Trojan.Win32.Resetter.ucd[/B] ( BitDefender: Trojan.GenericKD.1950070, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\explolerte.exe - [B]not-a-virus:RemoteAdmin.Win32.RMS.x[/B] ( BitDefender: Gen:Trojan.Heur.@R1@r8d3O!ek, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\svshoct.exe - [B]not-a-virus:RemoteAdmin.Win32.RMS.x[/B] ( BitDefender: Gen:Trojan.Heur.@R0@rSgXZfnk )[*] \wiupdate.exe._52653abd7ecc329efdc97b9097b5ed4a5f36ce28 - [B]Trojan.Win32.Resetter.ucd[/B] ( BitDefender: Trojan.GenericKD.1950070, AVAST4: Win32:Malware-gen )[/LIST][/LIST]