Помогите атаковал вирус шифровщик [email protected]_lot3023

[Светлана Шарова]

Здравствуйте!ноут поразил вирус шифровщик ,переименовав файлы jpg в [email protected]_lot3023 При включении компьютера начинает запускаться какая то установка ,выключить ее получается только с помощью диспетчера задач и так при каждом включении.Сканировал ноут антивирусом касперского,утилитами AVPTool , Dr.Web Curelt, все найденные угрозы удалил ,при включении комп так и начинается какая то загрузка ,я так понимаю это вирусная программа ,если остановить ее можно только диспетчером задач.Что делать с пораженными файлами ?можно ли их восстановить если у меня есть для некоторых файлов оригинал

[Info_bot]

Уважаемый(ая) Светлана Шарова, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\BD18~1\AppData\Local\Temp\vuiwajd.tmp','');
 QuarantineFile('C:\Users\BD18~1\AppData\Local\Temp\iaecm.exe','');
 QuarantineFile('C:\Users\BD18~1\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\BD18~1\AppData\Roaming\METACR~1\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\BD18~1\AppData\Local\Temp\radD69B9.tmp.exe','');
 QuarantineFile('C:\Users\BD18~1\AppData\Local\Temp\rad7575A.tmp.exe','');
 QuarantineFile('C:\Users\дом\AppData\Roaming\Evoxz\alof.exe','');
 DeleteFile('C:\Users\дом\AppData\Roaming\Evoxz\alof.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{00D1B880-B99C-D4A5-0F75-9DBACF926E8F}','command');
 DeleteFile('C:\Users\BD18~1\AppData\Local\Temp\rad7575A.tmp.exe','32');
 DeleteFile('C:\Windows\Tasks\10u608vwf6.job','32');
 DeleteFile('C:\Users\BD18~1\AppData\Local\Temp\radD69B9.tmp.exe','32');
 DeleteFile('C:\Windows\Tasks\fypzpdt.job','32');
 DeleteFile('C:\Users\BD18~1\AppData\Roaming\METACR~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\MetaCrawler.job','32');
 DeleteFile('C:\Users\BD18~1\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\UpdaterEX.job','32');
 DeleteFile('C:\Windows\Tasks\wqgiet0u2.job','32');
 DeleteFile('C:\Windows\system32\Tasks\10u608vwf6','32');
 DeleteFile('C:\Windows\system32\Tasks\MetaCrawler','32');
 DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Светлана Шарова]

Лог мвам

[mike 1]

В MBAM удалите все кроме:

Подробнее читайте в руководстве

Обнаруженные файлы:
C:\Users\дом\AppData\Local\Temp\Temp4_OpenDiag1.3.3.zip\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\AppData\Local\Temp\Temp1_OpenDiag1.3.3.zip\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\AppData\Local\Temp\Temp2_OpenDiag1.3.3.zip\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\AppData\Local\Temp\Temp3_OpenDiag1.3.3.zip\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\AppData\Local\Temp\Temp2_OpenDiag1.3.3.zip\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\AppData\Local\Temp\Temp3_OpenDiag1.3.3.zip\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\Desktop\Олег\DoubleM7.3\Loader_m73.exe (Spyware.PWS) -> Действие не было предпринято.
C:\Users\дом\Desktop\Программы\Alcohol 120 2.0.2. 4713 Final\Alcohol 120 2.0.2. 4713 [email protected]_lot3023 (RiskWare.Tool.CK) -> Действие не было предпринято.
C:\Users\дом\Desktop\Программы\OpenDiag1.3.3\OpenDiag1.3.3.exe (Malware.Packer.Mew) -> Действие не было предпринято.
C:\Users\дом\Desktop\Программы\UltraISO PE 9.3.3.2685 Rus\UltraISO PE 9.3.3.2685 [email protected]_lot3023 (Riskware.Tool.CK) -> Действие не было предпринято.
C:\Users\дом\Desktop\Программы\UltraISO PE 9.3.3.2685 Rus\EZB.Systems.UltraISO.Premium.Edition.v9.3.3.2685.Multilingual.Retail.Incl.Keymaker-ZWT\Keygen\keygen.exe (Riskware.Tool.CK) -> Действие не было предпринято.
C:\Users\дом\AppData\Local\Rambler\RamblerUpdater\rupdate_standalone.exe (PUP.Optional.Rambler.A) -> Действие не было предпринято.

Смените все пароли

Проверьте эти файлы на virustotal

C:\Users\дом\Desktop\Олег\DoubleM7.3\Loader_m73.exe

кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[Светлана Шарова]

Удалил в МВАМ все что мне говорили ,при вкл виндовс начинает запускаться по прежнему какая то установка(f2400),отключить можно только диспетчером задач ,появляется окно просит вставить диск F2400 в дисковод ,до вируса этого не было.В первое включение ноута после вируса вместе с установкой f2400 была картинка я ее удалил ,ее содержаниеATTENTION! SERVICE RETURN OF CREDITS CASINOS, INFORMS YOU ABOUT THE ARREST OF YOUR FILESAND SUSPENSION OF THE OPERATION OF YOUR COMPUTER. FOR RESOLUTION OF SITUATION, PLEASE CONTACT OUR CUSTOMER SUPPORT. [email protected]. После удаления она больше не появлялась .Я так полагаю вирус так и не удален с компьютера.!?Помогите с дешифратором ,может уже кто поделился в форуме

[thyrex]

при вкл виндовс начинает запускаться по прежнему какая то установка(f2400)

Через msconfig отключите автозапуск всех несистемных программ и проследите, начнется ли установка неизвестной программы

Дешифратором пока никто не поделился

[Светлана Шарова]

Отключаю автозапуск не системных программ ,установка неизвестной программы не начинается ,включаю, опять начинается установка и выскакивает окно где : "нужный файл находится на компакт-диске или другом съемном носителе ,который сейчас недоступен, вставьте диск F2400 и нажмите ок ."

[thyrex]

,включаю, опять начинается установка

А Вы включаете снова все сразу? Нужно по одной, перезагружаетесь и найдете виновника

[Светлана Шарова]

спасибо нашел hp digital imaging ,совсем забыл принтер стоит в настройках серии F2400.Что делать с системой восстановления ?Вирус может остаться на ранее созданных точках?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 15
• В ходе лечения вредоносные программы в карантинах не обнаружены