Интернет заблокирован, файлы зашифрованы [Backdoor.Win32.Androm.gwxm]

Printable View

18.05.2015, 20:14
GrafVandal

Вложений: 3

Интернет заблокирован, файлы зашифрованы [Backdoor.Win32.Androm.gwxm]

Здравствуйте virusinfo!
Появилось много рекламы в браузерах, стали сами открываться всякие сайты, комп стал тормозить. Сегодня во всех браузерах появилась надпись "Доступ в сеть интернет заблокирован. Для разблокировки введите свой номер телефона и следуйте инструкциям в смс", рабочий стол стал черный и красная надпись "Внимание! Все важные файлы на всех дисках Вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах README.TXT, которые можно найти на любом из дисков."
Зашифрованный файл [url]http://файлообменник.рф/77gx8rb2uhve.html[/url]
Очень надеюсь на Вашу помощь.
18.05.2015, 20:15
Info_bot

Уважаемый(ая) [B]GrafVandal[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.05.2015, 20:55
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\3647\Updater.exe','');
QuarantineFile('C:\Program Files (x86)\ver8BlockAndSurf\R0BlockAndSurfQ33.exe','');
DelBHO('{5c250e0e-ea0c-4289-a29c-12721918fe7a}');
DelBHO('{bdd2d2f3-f958-4643-b78b-76d91a81772d}');
QuarantineFile('C:\Program Files (x86)\VideoPlayerV3\VideoPlayerV3beta664\ie\VideoPlayerV3beta664.dll','');
QuarantineFile('C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode5440\ie\MediaBuzzV1mode5440.dll','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Yandex\browser.bat','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
QuarantineFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','');
QuarantineFile('C:\Windows\system32\drivers\wpnfd_1_10_0_4.sys','');
DeleteService('wpnfd_1_10_0_4');
DeleteFile('C:\Windows\system32\drivers\wpnfd_1_10_0_4.sys','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32');
DeleteFile('C:\Program Files (x86)\baidu\BindEx.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
DeleteFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','32');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Администратор\AppData\Local\Yandex\browser.bat','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
DeleteFile('C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode5440\ie\MediaBuzzV1mode5440.dll','32');
DeleteFile('C:\Program Files (x86)\VideoPlayerV3\VideoPlayerV3beta664\ie\VideoPlayerV3beta664.dll','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Windows\Tasks\BlockAndSurf Update.job','64');
DeleteFile('C:\Program Files (x86)\ver8BlockAndSurf\R0BlockAndSurfQ33.exe','32');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
DeleteFile('C:\Users\Администратор\AppData\Local\3647\Updater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\BlockAndSurf Update','64');
DeleteFile('C:\Windows\system32\Tasks\extsetup','64');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=48cae24e19a47bc10d94768a831d6924&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=48cae24e19a47bc10d94768a831d6924&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=48cae24e19a47bc10d94768a831d6924&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=48cae24e19a47bc10d94768a831d6924&text=
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - Startup: Safebrowser.lnk = ?
O17 - HKLM\System\CCS\Services\Tcpip\..\{0CF815DB-4390-411D-82AC-184CA8F5F2EC}: NameServer = 172.245.83.128,8.8.4.4
O17 - HKLM\System\CS1\Services\Tcpip\..\{0CF815DB-4390-411D-82AC-184CA8F5F2EC}: NameServer = 172.245.83.128,8.8.4.4
O17 - HKLM\System\CS2\Services\Tcpip\..\{0CF815DB-4390-411D-82AC-184CA8F5F2EC}: NameServer = 172.245.83.128,8.8.4.4[/CODE]

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением темы.

Обновите базы AVZ

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]
18.05.2015, 23:36
GrafVandal

Вложений: 3

Согласно приложению 2 отправлять нечего, нет в карантине файлов. Подозрение что когда отходил, ребенок мог удалить. Базы AVZ обновить не получается, пишет "Ошибка в ходе автоматического обновления-ошибка загрузки файла с описанием обновления....." Все что написали сделал. Разблокировался интернет, пропали рекламные баннеры, перестали загружаться не понятные сайты. Осталась на рабочем столе надпись "Внимание! Все важные файлы на всех дисках Вашего компьютера были зашифрованы. Подробности вы можете прочитать в файлах README.TXT, которые можно найти на любом из дисков." Ну и файлы зашифрованы, как понял в основном jpg
19.05.2015, 13:16
GrafVandal

Удалось на работе обновить базы AVZ. Вечером сделать новые логи?
19.05.2015, 20:15
thyrex

Сделайте
19.05.2015, 21:53
GrafVandal

Вложений: 2

система вин 7 64, поэтому п.1 не делал. Карантин отправил
20.05.2015, 18:12
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
20.05.2015, 19:32
GrafVandal

Вложений: 2

а зашифрованы то похоже не только jpg, но и все что только можно... к примеру файлы корала
20.05.2015, 21:30
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
AppInit_DLLs-x32: acaptuser32.dll => "acaptuser32.dll" File Not Found
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
Toolbar: HKLM-x32 - Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll No File
Toolbar: HKU\S-1-5-21-2147476491-1222560460-1817441581-500 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
Toolbar: HKU\S-1-5-21-2147476491-1222560460-1817441581-500 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No File
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=48cae24e19a47bc10d94768a831d6924&text= <==== ATTENTION
F HKLM\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\Администратор\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
FF Extension: SuperMegaBest.com - C:\Users\Администратор\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2014-12-13]
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Better-Surf\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\WebexpEnhancedV1\WebexpEnhancedV1alpha271\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\VideoPlayerV3\VideoPlayerV3beta664\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaPlayerV1\MediaPlayerV1alpha43\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaViewerV1\MediaViewerV1alpha297\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaViewV1\MediaViewV1alpha2040\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaWatchV1\MediaWatchV1home961\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode5440\ff
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\TrustMediaViewerV1\TrustMediaViewerV1alpha3144\ff
FF HKLM-x32\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\Администратор\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
FF HKU\S-1-5-21-2147476491-1222560460-1817441581-500\...\Firefox\Extensions: [{0A51D001-288A-8757-82EA-88D072F82825}] - C:\Program Files (x86)\ver8BlockAndSurf\184.xpi
CHR HKLM-x32\...\Chrome\Extension: [bnoecoepmgaoibedjgkmkdmombfjdldd] - C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode5440\ch\MediaBuzzV1mode5440.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [fngijoolledmlbkghhoephfkaaogpccj] - C:\Program Files (x86)\MediaViewerV1\MediaViewerV1alpha297\ch\MediaViewerV1alpha297.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [hgghpmkdgkcocdfhjjbagpokmoiobkmk] - C:\Program Files (x86)\MediaWatchV1\MediaWatchV1home961\ch\MediaWatchV1home961.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [ikgmpefhpnagcmmhifondfhnadlngjgm] - C:\Program Files (x86)\MediaViewV1\MediaViewV1alpha2040\ch\MediaViewV1alpha2040.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [kaoghiboencnloafeffejepemmdfgchk] - C:\Program Files (x86)\WebexpEnhancedV1\WebexpEnhancedV1alpha271\ch\WebexpEnhancedV1alpha271.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [kfaikhfejjckaalbnoondkfifgbojgcm] - C:\Program Files (x86)\TrustMediaViewerV1\TrustMediaViewerV1alpha3144\ch\TrustMediaViewerV1alpha3144.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [kgnlhjiilckgkgjjoplghkkledmpnjfn] - C:\Program Files (x86)\VideoPlayerV3\VideoPlayerV3beta664\ch\VideoPlayerV3beta664.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [mmifolfpllfdhilecpdpmemhelmanajl] - C:\Program Files (x86)\BetterSurf\BetterSurfPlus\ch\BetterSurfPlus.crx [Not Found]
OPR Extension: (SuperMegaBest.com) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2014-12-14]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-12-09]
CHR HKLM-x32\...\Chrome\Extension: [aonedlchkbicmhepimiahfalheedjgbh] - https://clients2.google.com/service/update2/crx
S2 servervo; C:\Users\Администратор\AppData\Roaming\VOPackage\VOsrv.exe [X] <==== ATTENTION
2015-05-18 15:06 - 2015-05-18 21:22 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2015-05-18 15:06 - 2015-05-18 21:22 - 00000000 __SHD () C:\ProgramData\Windows
2015-05-18 03:05 - 2015-05-18 03:05 - 00000342 _____ () C:\Users\Администратор\AppData\Roaming\2gawda1afwfwyt21a
2014-12-06 15:44 - 2014-12-06 15:44 - 0000110 ____H () C:\Program Files (x86)\STLauncher.bat
2014-12-06 15:44 - 2009-02-25 09:19 - 0118784 ____H (Canon Inc.) C:\Program Files (x86)\SТLаunсhеr.bаt.exe
2014-12-06 15:44 - 2012-02-21 21:49 - 0311296 ____H (CANON INC.) C:\Program Files (x86)\СаmеrаLаunсhеr.bаt.exe
2015-05-18 16:04 - 2015-05-18 16:04 - 3932214 _____ () C:\Users\Администратор\AppData\Roaming\0CF7C7740CF7C774.bmp
2015-05-18 03:05 - 2015-05-18 03:05 - 0000342 _____ () C:\Users\Администратор\AppData\Roaming\2gawda1afwfwyt21a
Task: {141C9A55-D92E-46B3-B7C4-87DE69B3F83A} - \Safebrowser No Task File <==== ATTENTION
Task: {5ADDE252-16AE-42EC-A1F7-6054FAA717F9} - \extsetup No Task File <==== ATTENTION
Task: {7D5DD593-C23D-46A6-8740-E5BF9887B266} - \kbrowser-updater-utility No Task File <==== ATTENTION
Task: {838C6646-139F-4776-887A-2529AEE2742C} - \AmiUpdXp No Task File <==== ATTENTION
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
21.05.2015, 11:28
GrafVandal

Вложений: 1

Исчезла надпись о шифровании с рабочего стола, сам раб. стол остался черным, файлы зашифрованы... даже в дропбоксе, из браузеров только мазила запускается, яндекс браузер не запускается, опера пишет что ярлык не рабочий. Подскажите пожалуйста, есть шанс расшифровать файлы? В ноябре женился, все свадебные фото зашифрованы, а дубликатов нет. И жена расстроена и мне грустно. Если честно, коль не фотки, то винду переустановил, а так вот Вас напрягать приходится.
21.05.2015, 21:56
thyrex

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/url]
22.05.2015, 19:40
GrafVandal

Вложений: 1

в субботу не будет у меня возможности быть у компа. Не закрывайте пожалуйста тему.
23.05.2015, 10:34
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
[list][*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]
25.05.2015, 22:55
GrafVandal

Вложений: 1

сделал
26.05.2015, 14:59
thyrex

C расшифровкой не поможем
26.05.2015, 18:33
GrafVandal

А полностью избавить комп от вирусов?
26.05.2015, 18:46
thyrex

А какие еще проблемы остались?
26.05.2015, 23:12
GrafVandal

ни какой браузер кроме мазилы не работает, просто ни чего не происходит после запуска. не запускаются exe файлы, хотел проверить разными антивирусами, ни один не запускается, пишет: "Отказано в доступе к указанному устройству, пути или файлу. Возможно, у вас нет нужных прав доступа к этому объекту." ни просто ни под именем админа не получается, пробовал переименовать, к примеру adwcleaner, не помогает. Единственный запустился Malwarebytes Anti-Malware, нашел 139 угроз.. трояны, ключи и файлы, исправил, но проблему не решило
26.05.2015, 23:23
thyrex

Лог МВАМ покажите, если ничего не удаляли
27.05.2015, 00:08
GrafVandal

а лога и не было, может из за того что ознакомительная версия.... или автоматом не спрашивая куда то сохраняет? Типа удалила проблемы и комп перегрузился. Кстати ранее установленные программы вроде работают, но установить что либо еще не получается, просто ни чего не происходит или табличка про отказано в доступе
28.05.2015, 00:15
GrafVandal

Вложений: 3

Сегодня ни с того, ни с сего запустился AdwCleaner. Логи до перезагрузки и после прилагаю. Ни какие браузеры кроме мазилы не работают.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

нашел логМВАМ. Удалось таки переустановить яндекс браузер, заработал. Но МВАМ постоянно пишет что блокирует какой то вредоносный сайт пишет ссылку и путь к какому то файлу на диске С, хотел удалить его вручную, но путь виден не весь, где в антивире самом посмотреть путь к этому файлу не могу понять
28.05.2015, 08:18
thyrex

МВАМ всегда неравнодушен к любой сетевой активности
28.05.2015, 12:48
GrafVandal

Понял. Сейчас вроде все в порядке. Спасибо, в очередной раз помогли.
28.05.2015, 12:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\windows\csrss.exe - [B]Backdoor.Win32.Androm.gwxm[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]