Printable View
Добрый день.
Были подозреня на вирусы,но всё никак не проверил.
И вот сего утром Выскочил этот гад наружу.
на экране окошко крипто локер красное и отсчитывает время.
осталось 160 часов до уничтожения фаилов.
Кричать не буду,прошу помошь,подскажите что делать?
Так же делать логи ?
Зарание благодарен Владимир
Уважаемый(ая) [B]Владимир Буза[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[ATTACH]565288[/ATTACH][ATTACH]565289[/ATTACH]
Очень качественно загадили себе компьютер.
[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\wuapp.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\wecutil.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\Utilman.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\TSTheme.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\taskkill.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\ntkrnlpa.exe','');
QuarantineFile('C:\Users\Metka\AppData\Local\SystemDir\nethost.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\mshta.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\icardagt.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\at.exe','');
QuarantineFile('C:\Program Files (x86)\help4u\help4u_notification_service.exe','');
QuarantineFile('C:\Program Files (x86)\coupons and fun\coupons_and_fun_notification_service.exe','');
DelBHO('{FCE3FA8B-BA81-467C-81D8-E43C00D1BC71}');
DelBHO('{11111111-1111-1111-1111-110611511123}');
DelBHO('{11111111-1111-1111-1111-110611191115}');
QuarantineFile('C:\Users\Metka\AppData\Roaming\tej\yisifa.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\WinTds\wintds.exe','');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\takeown.exe','');
QuarantineFile('C:\Users\Metka\AppData\Local\Eption\65yfk3f1.dll','');
DeleteService('soalxlmb');
DeleteService('eahyplxd');
StopService('{c0b542ce-0b43-4536-9ff3-886eaf9fb44c}Gw64');
StopService('{b9f73d40-1a45-43a0-9a38-3e55d05b3bd4}Gw64');
StopService('{b2aa7bb9-5668-402a-97c7-7dabffe0f82d}w64');
StopService('{b2aa7bb9-5668-402a-97c7-7dabffe0f82d}Gw64');
StopService('{b0ff63b8-ba6f-45bb-b13c-8474c0d8fc94}Gw64');
StopService('{adb41315-fba7-4b86-be27-b2401a20c8d2}Gw64');
StopService('{ab3b6fe8-8ffe-4d0c-aa1e-8030c4760982}Gw64');
StopService('{a2df9e48-ce26-4812-87d1-df6c5bed5ea9}Gw64');
StopService('{98e700ee-1d13-4cd6-97a6-d8d4d2f0a35b}Gw64');
StopService('{9642e31c-2703-4a31-ba45-9e8dfb693e38}Gw64');
StopService('{6b9234ab-d79f-41db-86f9-8be7a3e9ee74}Gw64');
StopService('{51d6aaf3-0bd7-47b0-8963-1c6f4d58b8fd}Gw64');
StopService('{37853ded-5f26-4b06-88d4-a4f00ea1c972}Gw64');
StopService('{00c97d86-accb-4288-9972-6d929c1fe93a}Gw64');
DeleteService('{c0b542ce-0b43-4536-9ff3-886eaf9fb44c}Gw64');
DeleteService('{b9f73d40-1a45-43a0-9a38-3e55d05b3bd4}Gw64');
DeleteService('{b2aa7bb9-5668-402a-97c7-7dabffe0f82d}w64');
DeleteService('{b2aa7bb9-5668-402a-97c7-7dabffe0f82d}Gw64');
DeleteService('{b0ff63b8-ba6f-45bb-b13c-8474c0d8fc94}Gw64');
DeleteService('{adb41315-fba7-4b86-be27-b2401a20c8d2}Gw64');
DeleteService('{ab3b6fe8-8ffe-4d0c-aa1e-8030c4760982}Gw64');
DeleteService('{a2df9e48-ce26-4812-87d1-df6c5bed5ea9}Gw64');
DeleteService('{98e700ee-1d13-4cd6-97a6-d8d4d2f0a35b}Gw64');
DeleteService('{9642e31c-2703-4a31-ba45-9e8dfb693e38}Gw64');
DeleteService('{6b9234ab-d79f-41db-86f9-8be7a3e9ee74}Gw64');
DeleteService('{51d6aaf3-0bd7-47b0-8963-1c6f4d58b8fd}Gw64');
DeleteService('{37853ded-5f26-4b06-88d4-a4f00ea1c972}Gw64');
DeleteService('{00c97d86-accb-4288-9972-6d929c1fe93a}Gw64');
DeleteService('globalUpdatem');
DeleteService('globalUpdate');
StopService('MaintainerSvc6.89.573444');
DeleteService('MaintainerSvc6.89.573444');
TerminateProcessByName('c:\progra~2\youtub~1\youtubeacceleratorservice.exe');
QuarantineFile('c:\progra~2\youtub~1\youtubeacceleratorservice.exe','');
TerminateProcessByName('c:\users\metka\appdata\roaming\wintds\wintds.exe');
QuarantineFile('c:\users\metka\appdata\roaming\wintds\wintds.exe','');
TerminateProcessByName('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\mmc.exe');
QuarantineFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\mmc.exe','');
TerminateProcessByName('c:\programdata\01e58235-010d-43b1-8340-277d43a75321\maintainer.exe');
QuarantineFile('c:\programdata\01e58235-010d-43b1-8340-277d43a75321\maintainer.exe','');
TerminateProcessByName('c:\program files (x86)\senses\bc0a4064-916d-4450-9576-83b8e8d45d52-6.exe');
QuarantineFile('c:\program files (x86)\senses\bc0a4064-916d-4450-9576-83b8e8d45d52-6.exe','');
TerminateProcessByName('c:\program files (x86)\iwebar\839ac62c-3543-4dce-abf4-74492843eb53-6.exe');
QuarantineFile('c:\program files (x86)\iwebar\839ac62c-3543-4dce-abf4-74492843eb53-6.exe','');
DeleteFile('c:\program files (x86)\iwebar\839ac62c-3543-4dce-abf4-74492843eb53-6.exe','32');
DeleteFile('c:\program files (x86)\senses\bc0a4064-916d-4450-9576-83b8e8d45d52-6.exe','32');
DeleteFile('c:\programdata\01e58235-010d-43b1-8340-277d43a75321\maintainer.exe','32');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\mmc.exe','32');
DeleteFile('c:\users\metka\appdata\roaming\wintds\wintds.exe','32');
DeleteFile('c:\progra~2\youtub~1\youtubeacceleratorservice.exe','32');
DeleteFile('C:\ProgramData\01e58235-010d-43b1-8340-277d43a75321\maintainer.exe','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe','32');
DeleteFile('C:\Windows\system32\drivers\{00c97d86-accb-4288-9972-6d929c1fe93a}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{37853ded-5f26-4b06-88d4-a4f00ea1c972}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{51d6aaf3-0bd7-47b0-8963-1c6f4d58b8fd}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{6b9234ab-d79f-41db-86f9-8be7a3e9ee74}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{9642e31c-2703-4a31-ba45-9e8dfb693e38}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{98e700ee-1d13-4cd6-97a6-d8d4d2f0a35b}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{a2df9e48-ce26-4812-87d1-df6c5bed5ea9}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{ab3b6fe8-8ffe-4d0c-aa1e-8030c4760982}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{adb41315-fba7-4b86-be27-b2401a20c8d2}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{b0ff63b8-ba6f-45bb-b13c-8474c0d8fc94}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{b2aa7bb9-5668-402a-97c7-7dabffe0f82d}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{b2aa7bb9-5668-402a-97c7-7dabffe0f82d}w64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{b9f73d40-1a45-43a0-9a38-3e55d05b3bd4}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{c0b542ce-0b43-4536-9ff3-886eaf9fb44c}Gw64.sys','32');
DeleteFile('C:\Windows\system32\drivers\eahyplxd.sys','32');
DeleteFile('C:\Windows\system32\drivers\soalxlmb.sys','32');
DeleteFile('C:\Users\Metka\AppData\Local\Eption\65yfk3f1.dll','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ihsoft');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mmc');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','mmc');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Command Processor','AutoRun');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Command Processor\','Autorun');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\takeown.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','takeown');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wincl');
DeleteFile('C:\Users\Metka\AppData\Roaming\WinTds\wintds.exe','32');
DeleteFile('C:\Users\Metka\AppData\Roaming\tej\yisifa.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','bino');
DeleteFile('C:\ProgramData\YTAHelper\YTAHelper.dll','32');
DeleteFile('C:\Program Files (x86)\iWebar\iWebar-bho.dll','32');
DeleteFile('C:\Program Files (x86)\Senses\Senses-bho.dll','32');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-1.job','64');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-11.job','64');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-4.job','64');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-5.job','64');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-5_user.job','64');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-6.job','64');
DeleteFile('C:\Windows\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-7.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-1.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-11.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-3.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-4.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-5.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-5_user.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-6.job','64');
DeleteFile('C:\Windows\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-7.job','64');
DeleteFile('C:\Windows\Tasks\coupons_and_fun_notification_service.job','64');
DeleteFile('C:\Windows\Tasks\coupons_and_fun_updating_service.job','64');
DeleteFile('C:\Program Files (x86)\coupons and fun\coupons_and_fun_notification_service.exe','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\Windows\Tasks\help4u_notification_service.job','64');
DeleteFile('C:\Windows\Tasks\help4u_updating_service.job','64');
DeleteFile('C:\Program Files (x86)\help4u\help4u_notification_service.exe','32');
DeleteFile('C:\Windows\Tasks\SpeedUpMyPC Maintenance.job','64');
DeleteFile('C:\Windows\Tasks\SpeedUpMyPC Startup.job','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-1','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-11','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-4','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-5','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-6','64');
DeleteFile('C:\Windows\system32\Tasks\839ac62c-3543-4dce-abf4-74492843eb53-7','64');
DeleteFile('C:\Windows\system32\Tasks\at','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\at.exe','32');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-1','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-11','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-3','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-4','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-5','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-6','64');
DeleteFile('C:\Windows\system32\Tasks\bc0a4064-916d-4450-9576-83b8e8d45d52-7','64');
DeleteFile('C:\Windows\system32\Tasks\coupons_and_fun_notification_service','64');
DeleteFile('C:\Windows\system32\Tasks\coupons_and_fun_updating_service','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\help4u_notification_service','64');
DeleteFile('C:\Windows\system32\Tasks\help4u_updating_service','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\icardagt.exe','32');
DeleteFile('C:\Windows\system32\Tasks\icardagt','64');
DeleteFile('C:\Windows\system32\Tasks\mmc','64');
DeleteFile('C:\Windows\system32\Tasks\mshta','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\mshta.exe','32');
DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
DeleteFile('C:\Users\Metka\AppData\Local\SystemDir\nethost.exe','32');
DeleteFile('C:\Windows\system32\Tasks\ntkrnlpa','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\ntkrnlpa.exe','32');
DeleteFile('C:\Windows\system32\Tasks\SpeedUpMyPC Maintenance','64');
DeleteFile('C:\Windows\system32\Tasks\SpeedUpMyPC Startup','64');
DeleteFile('C:\Windows\system32\Tasks\takeown','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\taskkill.exe','32');
DeleteFile('C:\Windows\system32\Tasks\taskkill','64');
DeleteFile('C:\Windows\system32\Tasks\TSTheme','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\TSTheme.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Utilman','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\Utilman.exe','32');
DeleteFile('C:\Windows\system32\Tasks\wecutil','64');
DeleteFile('C:\Windows\system32\Tasks\wuapp','64');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\wecutil.exe','32');
DeleteFile('C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\wuapp.exe','32');
DeleteFile('C:\Windows\system32\Tasks\YTAUpdate','64');
DeleteFile('C:\Windows\system32\Tasks\YTAUpdate_logon','64');
DeleteFile('C:\Program Files (x86)\YouTube Accelerator\ytalsp.dll','32');
ExecuteSysClean;
ExecuteRepair(15);
ExecuteAVUpdate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
[ATTACH]565363[/ATTACH][ATTACH]565364[/ATTACH][ATTACH]565367[/ATTACH]
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку "[B]Очистить[/B]" ("[B]Clean[/B]") и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
[QUOTE]
Attention !!! Database was last updated 23.02.2014 it is necessary to update the database (via File - Database update)
[/QUOTE]
Обновите базы AVZ. Сделайте новые логи.
Вроде как всё сделал ))
[ATTACH]565674[/ATTACH][ATTACH]565675[/ATTACH][ATTACH]565676[/ATTACH]
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
[ATTACH]565723[/ATTACH][ATTACH]565724[/ATTACH]
[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2887504909-3133668627-3159378332-1000\...\Run: [vdixknaljk] => cmd /c start http://foretuned.com/
HKU\S-1-5-21-2887504909-3133668627-3159378332-1000\...\Policies\Explorer: [Run] "C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\takeown.exe"
HKU\S-1-5-21-2887504909-3133668627-3159378332-1000\...\Command Processor: "C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\takeown.exe" <===== ATTENTION!
HKU\S-1-5-21-2887504909-3133668627-3159378332-1000\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Users\Metka\AppData\Roaming\Microsoft\Windows\IEUpdate\takeown.exe
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
GroupPolicy-x32: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{7df133b9-914c-404c-a10b-397e52c9d6ba} <======= ATTENTION (Policy restriction on IP)
SearchScopes: HKU\S-1-5-21-2887504909-3133668627-3159378332-1000 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-2887504909-3133668627-3159378332-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
CHR Extension: (Senses) - C:\Users\Metka\AppData\Local\Google\Chrome\User Data\Default\Extensions\icncamkooinmbehmkeilcccmoljfkdhp [2015-05-31]
S1 BAPIDRV; system32\DRIVERS\BAPIDRV64.sys [X]
2015-05-31 14:31 - 2015-02-20 12:31 - 00000000 ____D () C:\Users\Metka\AppData\Local\SystemDir
2014-10-18 15:06 - 2014-10-18 15:06 - 1548192 _____ (Object Browser) C:\Users\Metka\AppData\Roaming\LGH.exe
C:\Users\Metka\AppData\Local\Temp\nse155B.tmp.exe
C:\Users\Metka\AppData\Local\Temp\nsi6C0F.tmp.exe
Task: {2C466C2D-657F-43B1-9594-6FFF44DAD44B} - \wuapp No Task File <==== ATTENTION
Task: {4C0A967F-BE2F-4922-A9F9-0ED565CCC46D} - \taskkill No Task File <==== ATTENTION
Task: {617798D6-8C62-451F-BD48-B4CF5EC2898E} - \TSTheme No Task File <==== ATTENTION
Task: {76F5F368-61B4-4C2A-BD05-68B19D2CB086} - \takeown No Task File <==== ATTENTION
Task: {9A5765CF-F911-466E-BDBD-A694BD26A206} - \at No Task File <==== ATTENTION
Task: {9DB9821A-42E9-4E92-B240-689BB0555BD8} - \NAPSTAT No Task File <==== ATTENTION
Task: {BE1E6F50-6225-4EFC-BFFB-43C029A1629F} - \mmc No Task File <==== ATTENTION
Task: {C8ABCCC0-15E1-41D4-B514-64ED6DB5539A} - \icardagt No Task File <==== ATTENTION
Task: {CB7E04A8-1F8C-4E4A-904F-30AE4FB05FAF} - \Utilman No Task File <==== ATTENTION
Task: {E753D07E-1DDD-4544-95AA-C00E24BBE78D} - \wecutil No Task File <==== ATTENTION
Task: {F9591820-8AAB-4E4B-BEFF-D51DC179757C} - \mshta No Task File <==== ATTENTION
Task: {FA53794B-C34B-4EB4-89A1-DF66B29F326E} - \ntkrnlpa No Task File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:56E2E879
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
[ATTACH=CONFIG]565737[/ATTACH]
Какое расширение добавилось к зашифрованным файлам?
ну к фото вроде jpg Но всё равно фото не показывает
Дополнительное расширение к зашифрованным какое-нибудь добавилось? Например, было 1.jpg, а стало 1.jpg.crypted.
нет:O
Куда просили обращаться за дешифратором?
[QUOTE=mike 1;1278478]Куда просили обращаться за дешифратором?[/QUOTE]
а можно по открытей вопрос.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Просили оплатить биткоинами.но я дальше не смотрел что к чему.я в этих делах не силён. :(
У вас файл с требованиями злоумышленников сохранился? Вообще по имеющиеся скудной информации даже тип шифровальщика нельзя определить.
Нет ничего не сохранилось вроде как.. выскочила программа на рабочий стол,крассная Crypto Locer и там было две конопочки. одно показывала какие файлы будут блокированны, вторая кнопочка была для оплты с биткоином. вы глядело это примерно вот так.
[ATTACH=CONFIG]566124[/ATTACH]
Несколько файлов зашифрованных [B][COLOR="#0000FF"]doc[/COLOR][/B] в архиве пришлите.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\coupons and fun\coupons_and_fun_notification_service.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.zzu[/B] ( DrWEB: Trojan.Crossrider1.24381 )[*] c:\program files (x86)\help4u\help4u_notification_service.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.zzu[/B] ( DrWEB: Trojan.Crossrider1.24381 )[*] c:\program files (x86)\iwebar\839ac62c-3543-4dce-abf4-74492843eb53-6.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.cwz[/B] ( DrWEB: Trojan.Crossrider1.23249, BitDefender: Gen:Application.Heur.kz1@k0NESCfi, AVAST4: Win32:Crossrider-EB [Adw] )[*] c:\program files (x86)\senses\bc0a4064-916d-4450-9576-83b8e8d45d52-6.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.cd[/B] ( DrWEB: Trojan.Crossrider1.23142, BitDefender: Gen:Application.Heur.pz1@k4E8dZfi )[*] c:\progra~2\youtub~1\youtubeacceleratorservice.exe - [B]not-a-virus:AdWare.Win32.Shopper.adw[/B] ( DrWEB: Adware.Searcher.2751, BitDefender: Adware.ShopperPro.D )[*] c:\users\metka\appdata\local\systemdir\nethost.exe - [B]not-a-virus:AdWare.Win32.Agent.inkn[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\metka\appdata\roaming\microsoft\windows\ieupdate\mmc.exe - [B]Trojan.Win64.Agent.cyj[/B][*] c:\users\metka\appdata\roaming\microsoft\windows\ieupdate\takeown.exe - [B]Trojan.Win64.Agent.cyj[/B][*] c:\users\metka\appdata\roaming\wintds\wintds.exe - [B]Trojan-Ransom.NSIS.Onion.tt[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]