Вирус зашифровал файлы [not-a-virus:AdWare.Win32.DealPly.y, not-a-virus:AdWare.Win32.Agent.gjhg ]

[Delion]

Вирус зашифровал файлы, документы, фото, базы данных 1С..

Ссылка на зашифрованный файл.

http://rghost.ru/58411325

[Info_bot]

Уважаемый(ая) Delion, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Delion]

Сделал логи из безопасного режима. В обычном режиме программы не запускаются.. Создался файл virusinfo_autoquarantine.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\пнне\applic~1\digitalsites\updateproc\updatetask.exe','');
 QuarantineFile('C:\Users\пнне\appdata\roaming\digitalsites\updateproc\updatetask.exe','');
 QuarantineFile('C:\Users\A2AC~1\AppData\Local\Temp\3fdd4.exe','');
 QuarantineFile('C:\Users\A2AC~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
 DelBHO('{323C6E6D-1621-470F-8A52-4FDEC4E75E40}');
 QuarantineFile('C:\Program Files\Quiknowledge\IE\QuiknowledgeClientIE.dll','');
 QuarantineFile('C:\windows\System32\BeTwinServiceVS.exe','');
 QuarantineFile('C:\Program Files\Common Files\fbnipub.dll','');
 SetServiceStart('qknfd', 4);
 DeleteService('qknfd');
 SetServiceStart('WebCakeUpdater', 4);
 DeleteService('WebCakeUpdater');
 SetServiceStart('qksvc', 4);
 DeleteService('qksvc');
 SetServiceStart('BeTwinService', 4);
 DeleteService('BeTwinService');
 QuarantineFile('C:\windows\system32\BeTwinServiceVS.exe','');
 QuarantineFile('C:\Program Files\Tepfel\WebCakeDesktop.Updater.exe','');
 QuarantineFile('C:\Program Files\Quiknowledge\Service\qksvc.exe','');
 QuarantineFile('C:\windows\system32\drivers\qknfd.sys','');
 DeleteFile('C:\windows\system32\drivers\qknfd.sys','32');
 DeleteFile('C:\Program Files\Quiknowledge\Service\qksvc.exe','32');
 DeleteFile('C:\Program Files\Tepfel\WebCakeDesktop.Updater.exe','32');
 DeleteFile('C:\windows\system32\BeTwinServiceVS.exe','32');
 DeleteFile('C:\Program Files\Common Files\fbnipub.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Doqeivuar\Parameters','ServiceDll');
 DeleteFile('C:\Users\пнне\AppData\Local\Amigo\Application\amigo.exe','32');
 DeleteFile('C:\windows\System32\BeTwinServiceVS.exe','32');
 DeleteFile('C:\Program Files\Quiknowledge\IE\QuiknowledgeClientIE.dll','32');
 DeleteFile('C:\Users\A2AC~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\windows\Tasks\Digital Sites.job','32');
 DeleteFile('C:\windows\Tasks\ihc6kon7.job','32');
 DeleteFile('C:\Users\A2AC~1\AppData\Local\Temp\3fdd4.exe','32');
 DeleteFile('C:\windows\system32\Tasks\Digital Sites','32');
 DeleteFile('C:\Users\пнне\appdata\roaming\digitalsites\updateproc\updatetask.exe','32');
 DeleteFile('C:\Users\пнне\applic~1\digitalsites\updateproc\updatetask.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Delion]

Лог MBAM не получается сделать, после того как происходит полное сканирование, выбираю экспорт лог, выбираю путь, нажимаю сохранить, потом mbam зависает, лог не сохраняется (в безопасном режиме также).

Результат загрузки

Файл сохранён как 141008_201651_virus_54359bb3b3771.zip
Размер файла 593661
MD5 ef52862f41348a818e8f991a6fcb5e5b

[thyrex]

Удалите файлы

C:\windows\tasks\Dealply.job
C:\windows\tasks\DealPlyLiveUpdateTaskMachineCore. job
C:\windows\tasks\DealPlyLiveUpdateTaskMachineUA.jo b
C:\windows\tasks\DSite.job

Удалите папки

C:\Program Files\password
C:\Program Files\информационный пакет

Лог MBAM не получается сделать

Пробуйте эту версию http://virusinfo.info/soft/mbam-setup-1.75.0.1300.exe

[Delion]

Папки и файлы удалил.

[regist]

KGB Key Logger сами ставили?

[Delion]

Нет.

[regist]

Поместите в карантин MBAM всё найденное. Меняйте все пароли.

[Delion]

Пароли поменяю. Все объекты в карантине.

[mike 1]

Пробуйте http://support.kaspersky.ru/viruses/disinfection/10556

[Delion]

RakhniDecryptor не видит он зашифрованные файлы..

[thyrex]

А Вы выбрали нужное расширение из списка?

[Delion]

А какое расширение нужно выбрать?

У меня все вордовские файлы стали такими "зачисление ОС.doc.id-{HMQUYCGJNRWZDHKOSWADHKOSWZDGKOSWZDHL-03.10.2014 8@49@393057275}[email protected]"

Вроде ничего подобного там нет...

[mike 1]

RakhniDecryptor не видит он зашифрованные файлы..

Извините думал что у вас тоже расширение AES256. С шифратором Cryakl мы не поможем.

[Delion]

Ясненько. Спасибо за попытку...

[regist]

Delion, прочитайте эту статью http://virusinfo.info/showthread.php?t=164586 возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.

+ - Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[thyrex]

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте опять

[regist]

thyrex, у него

шифратором Cryakl