Вирус зашифровал Word файлы [HEUR:Trojan.Win32.Generic ]

**13dimon666q** · 09.03.2017, 18:23

Добрый день , помогите , пожалуйста !
Вирус зашифровал Word файлы , лого прилогаю.
Заранее спасибо !

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 09.03.2017, 18:25

Уважаемый(ая) 13dimon666q, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 09.03.2017, 22:46

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('Coupons Browser Update Service', 4);
 DeleteService('Coupons Browser Update Service');
 TerminateProcessByName('c:\program files\ultimate-discounter browser\udservice.exe');
 QuarantineFile('c:\program files\ultimate-discounter browser\udservice.exe','');
 DeleteFile('c:\program files\ultimate-discounter browser\udservice.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

**13dimon666q** · 09.03.2017, 23:23

Вот такое сообщение ещё нашёл

ALL YOUR IMPORTANT FILES STORED ON THIS COMPUTER AND ATTACHED DRIVES HAVE BEEN ENCRYPTED USING STRONG AES-256 + RSA-2048 CRYPTOGRAPHY ALGORITHMS

TO UNLOCK AND RESTORE FILES YOU MUST READ AND FOLLOW INSTRUCTIONS GIVEN IN APPLICATION WINDOW

If our application is not running, or you or your antivirus removed the file, then you need to:

1. download and install Tor Browser: https://www.torproject.org/projects/torbrowser.html.en

2. open Tor Browser and visit this address: http://nvj2dobr4fvhivnk.onion

3. enter 2fd842bd32334b0bb4e2814eb64d31e1 in the input box, click on submit button and download client application to your computer

4. if your antivirus flags and deletes the file, then disable your antivirus software for a while

5. run the application and wait until its window appears on your desktop

6. follow instructions and decrypt your files

If you need help you can contact us at [email protected]

DECRYPTION IS POSSIBLE ONLY FROM THIS computer & account: ROSK\0019

- - - - -Добавлено - - - - -

Сообщение от thyrex

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('Coupons Browser Update Service', 4);
 DeleteService('Coupons Browser Update Service');
 TerminateProcessByName('c:\program files\ultimate-discounter browser\udservice.exe');
 QuarantineFile('c:\program files\ultimate-discounter browser\udservice.exe','');
 DeleteFile('c:\program files\ultimate-discounter browser\udservice.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

Всё сделал

**thyrex** · 09.03.2017, 23:47

Не вижу новых логов Autologger

**13dimon666q** · 10.03.2017, 00:15

Сообщение от thyrex

Не вижу новых логов Autologger

я нажал Прислать запрошенный карантин - и там куда то отправилось...а как теперь файл прикрепить к сообщению ? не вижу скрепки...

**thyrex** · 10.03.2017, 00:42

Кнопка Расширенный режим

**13dimon666q** · 10.03.2017, 00:51

вот

Сообщение от thyrex

Кнопка Расширенный режим

- - - - -Добавлено - - - - -

не знаю имеет ли это значение , но заражённый винчестер сейчас стоит на другом компьютере.

**thyrex** · 10.03.2017, 18:10

Тогда логи бесполезны.

Что стало с именами зашифрованных файлов?

**13dimon666q** · 11.03.2017, 11:58

Сообщение от thyrex

Тогда логи бесполезны.

Что стало с именами зашифрованных файлов?

ничего не изменилось , документы открываются , только там одни иероглифы
винчестер могу поставить назад на тот компьютер и прогнать этими прогами

- - - - -Добавлено - - - - -

Сообщение от thyrex

Тогда логи бесполезны.

Что стало с именами зашифрованных файлов?

вот логи с того компьютера на котором заразился вирусом

- - - - -Добавлено - - - - -

Сообщение от 13dimon666q

ничего не изменилось , документы открываются , только там одни иероглифы
винчестер могу поставить назад на тот компьютер и прогнать этими прогами

- - - - -Добавлено - - - - -

вот логи с того компьютера на котором заразился вирусом

вот файл карантина

**thyrex** · 11.03.2017, 18:04

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\WiperSoft\WiperSoft.exe','');
 QuarantineFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','');
 QuarantineFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','');
 QuarantineFile('E:\file6.exe','');
 QuarantineFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','');
 QuarantineFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','');
 QuarantineFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','');
 DeleteFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','60747');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Abjworks','command');
 DeleteFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','32');
 DeleteFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mscorsvw.exe','command');
 DeleteFile('E:\file6.exe','32');
 DeleteFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YPZPack','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Run','command');
 DeleteFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\UAC','32');
 DeleteFile('C:\Program Files\Enigma Software Group\SpyHunter\Spyhunter4.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SpyHunter4Startup','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

**13dimon666q** · 12.03.2017, 21:37

Сообщение от thyrex

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\WiperSoft\WiperSoft.exe','');
 QuarantineFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','');
 QuarantineFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','');
 QuarantineFile('E:\file6.exe','');
 QuarantineFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','');
 QuarantineFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','');
 QuarantineFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','');
 DeleteFile('C:\PROGRA~2\LOCALS~1\Temp\ccfuiv.cmd','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','60747');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Abjworks','command');
 DeleteFile('C:\Users\0019\AppData\Local\Ohdbics\zsccuwjr.dll','32');
 DeleteFile('C:\Users\0019\AppData\Local\Temp\mscorsvw.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mscorsvw.exe','command');
 DeleteFile('E:\file6.exe','32');
 DeleteFile('C:\Users\0019\AppData\Local\YPZPack\hgrharxz.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YPZPack','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Run','command');
 DeleteFile('C:\Users\0019\AppData\Roaming\NsCpuCNMiner\IMG001.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\UAC','32');
 DeleteFile('C:\Program Files\Enigma Software Group\SpyHunter\Spyhunter4.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SpyHunter4Startup','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

отправил

**thyrex** · 12.03.2017, 22:12

Про новые логи мне каждый раз напоминать нужно?

**13dimon666q** · 13.03.2017, 09:20

Сообщение от thyrex

Про новые логи мне каждый раз напоминать нужно?

извеняюсь ...

**thyrex** · 13.03.2017, 21:38

Диванный комментатор откланивается и закрывает тему

**CyberHelper** · 13.03.2017, 21:48

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 15
В ходе лечения обнаружены вредоносные программы:
1. c:\users\0019\appdata\local\ypzpack\hgrharxz.dll - HEUR:Trojan.Win32.Generic ( BitDefender: Gen:Variant.Miuref.3 )

Вирус зашифровал Word файлы [HEUR:Trojan.Win32.Generic ] (заявка № 210121)

Опции темы