Printable View
День добрый.
Случилась такая фигня у тещи:) черный экран, сообщение "все файлы зашифрованы...." расширение у файлов стало .[h=3][URL="http://lanmontage.ru/virus/95-bettercallsaul"]better_call_saul[/URL][/h]Вирусяки вроде погонял, но хотелось бы мнение экспертов. Что сделал так, что не так.
Заранее премного благодарен.
Уважаемый(ая) [B]Vovan_Gor[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[NOTICE]Внимание !!! Последняя версия протокола антивирусной утилиты AVZ - версия 4.46[/NOTICE]
Обновите протокол антивирусной утилиты [URL="http://z-oleg.com/avz4.zip"]AVZ версии 4.46[/URL] и переделайте логи.
Звеняйте.
Сделал
Поправьте дату на Вашем ПК.
[QUOTE]Сканирование запущено в [B]22.03.2016 04:34:56[/B]
Загружена база: сигнатуры - 297569, нейропрофили - 2, микропрограммы лечения - 56, база от [B]24.03.2016 16:00[/B][/QUOTE]
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
готово
Что из этого Вам знакома?
[CODE]
CHR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2014-10-17]
OPR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Application Data\Opera Software\Opera Stable\Extensions\dcnopnlodagacagplbnimfokkomdhnio [2014-10-17]
2015-04-30 13:17 - 2015-04-30 13:41 - 6103040 _____ () C:\Program Files\GUT1990.tmp
2010-09-15 10:24 - 2010-09-15 10:24 - 4636144 ____C () C:\Program Files\sccsp.exe
[/CODE]
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {02e4c81b-8c1d-11e5-a6c9-001e8c1d3c60} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {0383b46c-db35-11de-9e27-001e8c1d3c60} - F:\
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {0969f27a-a365-11de-9dcc-001e8c1d3c60} - F:\
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {0d3f29cc-cd14-11df-9f51-001e8c1d3c60} - setupSNK.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {2c84abfd-e9fa-11e5-a775-001e8c1d3c60} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {3bf71d3d-eb8f-11e2-a2a6-001e8c1d3c60} - F:\RunClubSanDisk.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {3f1b801c-3b5b-11dd-9c4f-001e8c1d3c60} - F:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\filename.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {48ddb876-56ac-11e0-9f93-c1f11dcaf3e8} - F:\AutoRun.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {4b169310-759b-11e2-a1f6-001e8c1d3c60} - F:\urDrive.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {5b6086e0-b921-11e1-a10e-001e8c1d3c60} - G:\ActivateWarranty(JF).exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {8985409d-8f69-11e1-a0e6-001e8c1d3c60} - F:\AutoRun.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {aac253d0-b61a-11dd-9cca-001e8c1d3c60} - F:\
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {d1213865-3023-11e0-9f80-af1436687901} - F:\AutoRun.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\...\MountPoints2: {d1213867-3023-11e0-9f80-af1436687901} - F:\AutoRun.exe
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.alawar.ru/?pid=534
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "" <======= ATTENTION
SearchScopes: HKLM -> DefaultScope value is missing
Toolbar: HKU\S-1-5-21-1454471165-1788223648-839522115-500 -> No Name - {965B54B0-71E0-4611-8DE7-F73FA0B20E26} - No File
Toolbar: HKU\S-1-5-21-1454471165-1788223648-839522115-500 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
CHR Extension: (MDM Utilities) - C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ajpgkpeckebdhofmmjfgcjjiiejpodla [2016-03-17] [UpdateUrl: hxxps://clients2.google/service/khagcaoddcajccbfllcgiljpcimgllpo] <==== ATTENTION
Folder: C:\Documents and Settings\Администратор\Application Data\EcthymaMainframe
2016-03-18 14:11 - 2014-10-17 15:38 - 00000000 ____D C:\Program Files\BaiduEx
Folder: C:\Documents and Settings\Администратор\Application Data\BeachPartyCraze
Folder: C:\FkClnt2
2016-03-17 11:05 - 2016-03-17 11:05 - 2949174 _____ () C:\Documents and Settings\Администратор\Application Data\95DB1E1595DB1E15.bmp
File: C:\Program Files\GUT1990.tmp
File: C:\Program Files\sccsp.exeC:\Documents and Settings\Администратор\an.bat
C:\Documents and Settings\Администратор\sd.bat
C:\Documents and Settings\Администратор\Local Settings\Temp\amigo_adsetup_lp5okbanneroldbrwff.exe
C:\Documents and Settings\Администратор\Local Settings\Temp\amigo_setup.exe
HKU\S-1-5-21-1454471165-1788223648-839522115-500\Control Panel\Desktop\\Wallpaper -> C:\Documents and Settings\Администратор\Application Data\95DB1E1595DB1E15.bmp
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Services]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
то ли у меня лыжи не едут...
fixlog весит метр, не могу прикрепить, мол превышен размер...
[QUOTE=Vovan_Gor;1369754]то ли у меня лыжи не едут...
fixlog весит метр, не могу прикрепить, мол превышен размер...[/QUOTE]
Заархивируйте и попробуйте приложить еще раз.
[QUOTE=SQ;1369756]Заархивируйте и попробуйте приложить еще раз.[/QUOTE]
та же история.
пробовал
Удалите старые вложения Мой кабинет => Вложения
есть:>
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
по поводу двух файлов которые "мне знакомы" - собственно и есть "зараза"?
[QUOTE=Vovan_Gor;1369759]
по поводу двух файлов которые "мне знакомы" - собственно и есть "зараза"?[/QUOTE]
О каких двух файлов идет речь?
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Program Files\sccsp.exe
C:\Documents and Settings\Администратор\an.bat
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Код:
CHR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2014-10-17]
OPR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Application Data\Opera Software\Opera Stable\Extensions\dcnopnlodagacagplbnimfokkomdhnio [2014-10-17]
2015-04-30 13:17 - 2015-04-30 13:41 - 6103040 _____ () C:\Program Files\GUT1990.tmp
2010-09-15 10:24 - 2010-09-15 10:24 - 4636144 ____C () C:\Program Files\sccsp.exe
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=SQ;1369767]О каких двух файлов идет речь?
Код:
CHR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2014-10-17]
OPR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Application Data\Opera Software\Opera Stable\Extensions\dcnopnlodagacagplbnimfokkomdhnio [2014-10-17]
2015-04-30 13:17 - 2015-04-30 13:41 - 6103040 _____ () C:\Program Files\GUT1990.tmp
2010-09-15 10:24 - 2010-09-15 10:24 - 4636144 ____C () C:\Program Files\sccsp.exe
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
сделал
Не похоже на "зараза", просто уточняю?
[CODE]2015-04-30 13:17 - 2015-04-30 13:41 - 6103040 _____ () C:\Program Files\GUT1990.tmp
2010-09-15 10:24 - 2010-09-15 10:24 - 4636144 ____C () C:\Program Files\sccsp.exe[/CODE]
Сами ставили расширения в Google Chrome и Opera и используете?
[QUOTE]CHR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhg llpapg [2014-10-17]
OPR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Application Data\Opera Software\Opera Stable\Extensions\dcnopnlodagacagplbnimfokkomdhnio [2014-10-17][/QUOTE]
Как защифровались файлы, что-то открывали в почте?
не я ставил ))))
да пришло письмо, как мне описали что-то якобы от начальства, срочно дать ответ и.т.д. открыли, скачали файл раз 10, антивирь блокировал. Ну, так не беда мы упорные - запустили файл и вуаля))) Сильно испугались и удалили файл, письмо с почты, почистили корзину в почте (это всё мне больше всего понравилось)
[QUOTE=Vovan_Gor;1370077]не я ставил ))))[/QUOTE]
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhg llpapg [2014-10-17]
OPR Extension: (Ultimate Discounter) - C:\Documents and Settings\Администратор\Application Data\Opera Software\Opera Stable\Extensions\dcnopnlodagacagplbnimfokkomdhnio [2014-10-17]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
С расшифровкой не поможем.
С расшифровкой -это понятно.
Попробую сам в прогах поковыряться, хотя.... врятли это как иголку в стоге сена)))
Сделайте резервную копию защифрованных файлов, время не стоит на месте, возможно в скором будущем поможем с расшифровкой, но опять же обещать ничего не можем.
Уже сделал.
Будем ждать.
С лечением усё? Если да, то ОГРОМНОЕ спасибо за помощь.
[QUOTE=Vovan_Gor;1370211]Уже сделал.
Будем ждать.
С лечением усё? Если да, то ОГРОМНОЕ спасибо за помощь.[/QUOTE]
Да на этом все.