Шифровальщик на ноутбуке

[yobot]

Словили шифровальщик на ноутбуке с Windows 8.1. Антивирус не был установлен (к сожалению). Теперь поставим. Для избавления от шифровальщика прогнал на ноутбуке Dr.Web CureIt, который нашел и удалил два файла. Однако у меня есть предположение, что лечение было не окончательным: остался рисунок на рабочем столе с реквизитами bitcoin-кошелька мошенников, повышенная активность жесткого диска, отказы при установке обновлений. Прошу проверить: было ли лечение успешным и что можно еще исправить. Коллекцию логов прилагаю.

[Info_bot]

Уважаемый(ая) yobot, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[yobot]

Выполнил. Архив с логами приложен к этому сообщению.

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2017-04-27 15:43 - 2017-04-27 15:43 - 03148854 _____ C:\Users\1\AppData\Roaming\A5BE5856A5BE5856.bmp
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README9.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README8.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README7.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README6.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README5.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README4.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README3.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README2.txt
2017-04-27 15:43 - 2017-04-27 15:43 - 00004150 _____ C:\Users\1\Desktop\README10.txt
2017-04-27 14:00 - 2017-05-12 10:52 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-04-27 14:00 - 2017-05-12 10:52 - 00000000 __SHD C:\ProgramData\Windows
Task: {0D8A891D-890C-4808-84D8-2F436AB14653} - \Microsoft\Windows\Application Experience\AitAgent -> No File <==== ATTENTION
Task: {1274336E-AB06-46B6-A48C-0671C5557CC6} - \Microsoft\Windows\TaskScheduler\Maintenance Configurator -> No File <==== ATTENTION
Task: {1687544D-7247-4F5A-965A-A6E920E55278} - \Microsoft\Windows\TaskScheduler\Manual Maintenance -> No File <==== ATTENTION
Task: {40525C58-79C2-47A1-9AA2-F1D7FC4F0691} - \Microsoft\Windows\WindowsBackup\ConfigNotification -> No File <==== ATTENTION
Task: {6F02587F-8A2B-4552-97F6-DEEF229E335B} - \Microsoft\Windows\TaskScheduler\Idle Maintenance -> No File <==== ATTENTION
Task: {B7992938-01F1-4F40-A0EC-0D23D2F0F152} - \Microsoft\Windows\TaskScheduler\Regular Maintenance -> No File <==== ATTENTION
Task: {CFD7C21A-808B-487B-A6EC-8A10E44E8360} - \Microsoft\Windows\SettingSync\BackupTask -> No File <==== ATTENTION
AlternateDataStreams: C:\WINDOWS:nlsPreferences [386]
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[yobot]

Процедуру выполнил. Обои рабочего стола от мошенников пока остались. При логине пользователя выводится сообщение об ошибке: "Возникла ошибка при запуске C:\Program Не найден указанный модуль". Лог работы FRST прилагаю.

[thyrex]

При логине пользователя выводится сообщение об ошибке: "Возникла ошибка при запуске C:\Program Не найден указанный модуль"

Это после скрипта?

[yobot]

Нет. После работы Dr.Web CureIt. Прошу прощения, что сразу не указал это в начале темы.

[thyrex]

Обои рабочего стола от мошенников пока остались

Попробуйте сменить их вручную.

По поводу ошибки: что было удалено CureIt?

[yobot]

Обои сменил вручную. Dr.Web CureIt удалил следующие файлы (привожу данные согласно его лога): \device\HarddiskVolume4\ProgramData\Windows\csrss. exe и C:\Users\AppData\Local\Temp\radB9A0F.tmp