Файлы зашифрованы с расширением [email protected]_hex15 [Trojan-Spy.Win32.Carberp.xvw ]

[avto111]

Здравствуйте! Выполнил всё по правилам.
С одним но! Чтобы система загрузилась пришлось сменить расширение 2 файлов из под Live CD.
Интернет на компьютере не работает никак.Файловый поиск не работает.
Ссылка на (предположительно вирус) файлы которые пришлось перерасширить ,http://dfiles.ru/files/yy2n1hgzv
Ссылка на зашифрованный и оригинал файлы http://dfiles.ru/files/ywb16wtvn

[Info_bot]

Уважаемый(ая) avto111, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\DOCUME~1\admin\LOCALS~1\Temp\3fab3.exe','');
 QuarantineFile('C:\DOCUME~1\admin\LOCALS~1\Temp\3fecb.exe','');
 QuarantineFile('C:\DOCUME~1\admin\LOCALS~1\Temp\3fd18.exe','');
 QuarantineFile('C:\WINDOWS\system32\mzajrml.dll','');
 QuarantineFile('C:\Documents and Settings\admin\Start Menu\Programs\Startup\3YoVW7G082A.exe.vir','');
 QuarantineFile('C:\WINDOWS\riito.sys','');
 DeleteService('newdriver');
 DeleteFile('C:\WINDOWS\riito.sys','32');
 DeleteFile('C:\DOCUME~1\admin\LOCALS~1\Temp\2411406FdOh','32');
 DeleteFile('C:\Documents and Settings\admin\Start Menu\Programs\Startup\3YoVW7G082A.exe.vir','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','2412093');
 DeleteFile('C:\WINDOWS\system32\mzajrml.dll','32');
 DeleteFile('C:\DOCUME~1\admin\LOCALS~1\Temp\3fd18.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\f96o.job','32');
 DeleteFile('C:\WINDOWS\Tasks\gyalbom.job','32');
 DeleteFile('C:\WINDOWS\Tasks\vxpnceggu0.job','32');
 DeleteFile('C:\DOCUME~1\admin\LOCALS~1\Temp\3fecb.exe','32');
 DeleteFile('C:\DOCUME~1\admin\LOCALS~1\Temp\3fab3.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(13); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[avto111]

- - - Добавлено - - -

Карантин выслал.
Новые логи:

[thyrex]

Internet Settings,AutoConfigURL = http://autoproxy.oddc.chrysler.com - сами прописывали эту настройку?

[avto111]

Internet Settings,AutoConfigURL = http://autoproxy.oddc.chrysler.com - сами прописывали эту настройку?

Нет эту ссылку сам не прописывал, возможно прописалась при установке диагностической программы Chrysler
хотя диск оригинальный.

[thyrex]

Смените все пароли

Больше плохого логи не показывают

Дешифратором для данной модификации пока никто не поделился

[avto111]

Смените все пароли

Больше плохого логи не показывают

Дешифратором для данной модификации пока никто не поделился

Спасибо ! Но часть проблем осталась, в стандартном поиске кроме собачки больше ничего нет - т.e. не
отображаются строки поиска и левое меню целиком, настройки модема в норме но сеть не видит в упор(WiFi)?
Есть пара файлов похожих на обсуждаемые в аналогичных темах - типа 267.exe но обнаружил я их в папке
\Temp\- эти файлы могут быть шифровщиками ???, и поможет ли в решении проблемы ???

[thyrex]

Сделайте лог полного сканирования МВАМ

[avto111]

Сделайте лог полного сканирования МВАМ

Вот пожалуйста лог MBAM:

[thyrex]

Удалите в МВАМ все, кроме

Объекты реестра обнаружены:  3
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

C:\WINDOWS\system32\oobe\AntiWPA_Crypt.dll (Hacktool) -> Действие не было предпринято.

[avto111]

Уважаемый Global Moderator!
Всё сделал по рекомендациям.
Сеть так и не появилась попытки отката на раннее состояние ни к чему особо полезному не привели.
Сеть переустановил - заработала.
НО В Реестре теперь полная жопа, не сочтите за труд - взгляните пожалуйста, посоветуйте что теперь
с этим делать.
Половина софта не хочет работать !!!
Ссылка на весь реестр: http://dfiles.ru/files/cwqwt1wnm
А по шифровальщику кстати вестей нет ???
И может вопрос дурацкий - почему MBAM после AVZ обнаружил ещё 28 болячек ???
На компьютере установлена AVG internet security 2013 - но после шифровальщика вырублена, и часть файлов AVG зашифрована !

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\start menu\\programs\\startup\\3yovw7g082a.exe.vir - Trojan-Spy.Win32.Carberp.xvw ( DrWEB: Trojan.Winlock.8811, BitDefender: Trojan.GenericKDV.1185850, AVAST4: Win32:Zbot-RTU [Cryp] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !