Win32/Kryptik.GUOB (Cerbu.58337) - Dr. Web Security Space защитил?

[Mbus7cx]

Доброго времени суток.
В результате поисков нелегального ПО похоже наткнулся на замаскированный троян с шифровальщиком. (т.к. зашифрованный архив, естественно ни один антивирус на virustotal не пикнул, в том числе на ПК)
О самом трояне - похоже - самораспаковывающийся зашифрованный архив, который сам был запакован еще на 2 уровня тоже с шифрованием. Внутри - скрипт cmd, запускающий .exe-ники.
В итоге, потерял бдительность и запустил тело самораспаковывающегося архива, но спас Dr. Web Security Space, а также контроль учетных записей (сижу всегда под обычным пользователем).
Далее понял, что к чему и не отверг запрос вируса на админ права, после чего антивирус его успешно ликвидировал (вроде). Никаких защифрованных файлов, или сбоев в ОС, ПО, интернете нет.
После этого просканировал компьютер загрузочными дисками Dr. Web, Kaspersky, Avira, - Dr.Web только нашел один .exe файл с случайным именем (и также определил его вроде как какой-то cryptor) во временной папке пользователя (сейчас он в карантине). Остальные антивирусы - ничего.
На всякий случай решил обратиться к вам - вдруг есть какие-то не вычищенные оставленные следы.
ПС: Сам файл трояна, а также ссылку на первоисточник (веб-сайт) могу скинуть (не стал тут прикреплять из-за соображений безопасности)
(Эту же информацию направлю компании-разработчику АВ доктор Веб).
Вот ссылка на анализ содержимого этого архива

Архив с логами превышает лимит в 1 мб, залил на файлообменники:
https://send.firefox.com/download/ae...iX0PmutK77hOqw
https://ru.files.fm/u/brg5m8tr

Заранее благодарю всех специалистов за столь муторную, но очень важную работу!

[Info_bot]

Уважаемый(ая) Mbus7cx, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

Сами прописывали?

R1 - HKU\S-1-5-21-1491404928-1398095864-2272447609-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = 127.0.0.1

HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.

O2-32 - HKLM\..\BHO: (no name) - AutorunsDisabled - (no file)
O9 - Button: HKLM\..\AutorunsDisabled: (no name) - (no file)
O9-32 - Button: HKLM\..\AutorunsDisabled: (no name) - (no file)
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: &Связанные заметки OneNote - (no file)
O9-32 - Tools menu item: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: &Связанные заметки OneNote - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\AutorunsDisabled: (no name) -  - (no file)

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

[Mbus7cx]

Здравствуйте! Спасибо что откликнулись

Сами прописывали?

R1 - HKU\S-1-5-21-1491404928-1398095864-2272447609-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = 127.0.0.1

Да, все верно. Прокси (DNS-сервер на локалхосте) сам прописывал.
HiJackThis - пофиксил.
AVZ - скрипт выполнил.
AVZ- файл карантина - пустой получился, поэтому пишет ошибку при загрузке - такой файл уже был загружен.
лог AdwCleaner прикрепил.

[SQ]

AVZ- файл карантина - пустой получился, поэтому пишет ошибку при загрузке - такой файл уже был загружен.

Карантина в скрипте не было, случайно добавился шаблон.

Сами устанавливали WinRepairPro?


- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "SigCheckExt".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Mbus7cx]

Сами устанавливали WinRepairPro?

Нет. Этой проги и в списке установленных (в панели управления) нет.
Логи FRSTприкреплены

[SQ]

В логе AdwCleaner есть упоменание этой программы.

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

- - - - -Добавлено - - - - -

Сами отключали восстановление системы?

HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <==== ATTENTION

[Mbus7cx]

Удалите в AdwCleaner

Ок.

Сами отключали восстановление системы?

HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <==== ATTENTION

Да, система на SSD, плюс резервные копии хоть и не часто но делаю Акронисом.

- - - - -Добавлено - - - - -

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Сделано. (Кстати, там он на 2 необычных ярлыка ругался - я их пропустил - я забыл, что сам их создал для своих браузеров). Еще раз благодарю за вашу помощь

[SQ]

Да, система на SSD, плюс резервные копии хоть и не часто но делаю Акронисом.

Хорошо, а то обычно что шифровальщики делают отключают резервное копирования и теневые копии.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Mbus7cx]

Сделано
https://ru.files.fm/u/s2hx7fnm (файл более 1 мб)

[SQ]

Ничего плохого в логах не замечено. Что-то беспокоит вас?

[Mbus7cx]

Ничего плохого в логах не замечено. Что-то беспокоит вас?

Понял)
Да вроде все в порядке. Больше ничего не беспокоит) Большое вам спасибо, что откликнулись. Разве что к вам лично вопрос немного не по теме - сейчас есть толковые бесплатные антивирусы (и брандмауэры)? Заранее благодарю за ответ.

[SQ]

Разве что к вам лично вопрос немного не по теме - сейчас есть толковые бесплатные антивирусы (и брандмауэры)? Заранее благодарю за ответ.

К сожалению такие незнаю, с этим помочь не смогу.

В завершение:
1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

[Mbus7cx]

Благодарю за помощь, инструкции выполнил. Всего доброго