вирус [Trojan-Ransom.Win32.PornoAsset.bomv ]

[FTN]

Здравствуйте, мой второй компьютер вылечили, за что большое спасибо, теперь необходимо очистить первый)
я нашёл только один .ехе файл из-за которого выходила ошибка диск отсутствует
Безымянный.PNG

[Info_bot]

Уважаемый(ая) FTN, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Рузаль\AppData\Roaming\3A46E6.exe','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10879\w8it198v12.exe','');
 TerminateProcessByName('c:\users\Рузаль\appdata\roaming\npxguwo\npxguwo.exe');
 QuarantineFile('c:\users\Рузаль\appdata\roaming\npxguwo\npxguwo.exe','');
 DeleteFile('c:\users\Рузаль\appdata\roaming\npxguwo\npxguwo.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10879\w8it198v12.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-16349\wiv12.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-16379\wi1v12.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-163879\w8i1v12.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10879\w8it198v12.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-16879\w8it1v12.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-16689\w7five172.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12689\w7fiv172.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12389\wfiv172.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12349\wfiv12.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','nPxGUwo');
 DeleteFile('C:\Users\Рузаль\AppData\Roaming\3A46E6.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Zona');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
O3 - Toolbar: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
O4 - HKCU\..\Run: [77075e37fee2dd957befac7ac5a7786017a594645d23a903] iexplore.exe

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[FTN]

сделал повторные логи, Malware тоже чего-то нашёл.

[Techno]

Удалите в MBAM:

HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Плохо: (http://webalta.ru) Хорошо: (http://www.google.com/) -> Действие не было предпринято.

C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-10879\w8it198v12.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-12349\wfiv12.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-12389\wfiv172.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-12689\w7fiv172.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-16349\wiv12.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-16379\wi1v12.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-163879\w8i1v12.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-16689\w7five172.exe (Trojan.Downloader) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1642050167-4278828254-1991860036-1000\$RHLRLEH\S-1-5-21-0243556031-888888379-781863308-16879\w8it1v12.exe (Trojan.Downloader) -> Действие не было предпринято.

C:\Users\Рузаль\AppData\Local\Temp\nPxGUwo.exe (Trojan.Zbot) -> Действие не было предпринято.
C:\Users\Рузаль\AppData\Roaming\new.file (Trojan.Bublik) -> Действие не было предпринято.
C:\Users\Рузаль\AppData\Roaming\new.file.scr (Trojan.Bublik) -> Действие не было предпринято.
c:\windows\system32\drivers\etc\hоsts (Hijack.Trace) -> Действие не было предпринято.

- Выполните в АВЗ:

begin
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','VPetsPlayer');
 DeleteFile('C:\Program Files (x86)\VPets\VPets.exe');
DeleteFileMask('C:\Program Files (x86)\VPets','*',true);
DeleteDirectory('C:\Program Files (x86)\VPets');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

- Выполните в AVZ скрипт из файла ScanVuln.txt
- Откройте файл avz_log.txt из под-папки LOG.
- Пройдитесь по ссылкам из файла avz_log.txt и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Повторите логи АВЗ и hijackthis.

[FTN]

новые логи

[Techno]

Что с проблемами?

[FTN]

Компьютер стал работать как и прежде, проблем больше нету, спасибо за столь быструю помощь=)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\рузаль\\appdata\\roaming\\npxguwo\\npxg uwo.exe - Trojan-Ransom.Win32.PornoAsset.bomv ( BitDefender: Trojan.Generic.KDZ.3598 )