Вирус перекодировал файлы .jpg и .doc в COM_LOT2004 [Trojan-Downloader.Win32.Carberp.cl, , Trojan.Win32.Buzus.okar ]

[Afono4ka]

Здравствуйте! У меня такая проблема: все файлы c изображениями и документами перекодированы в формат COM_LOT2004 и не открываются. DrWeb вирусов не ищет, помогите перекодировать обратно! Логи прилагаю и и испорченные файлы тоже.
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
файлы.zip
Надеюсь все правильно сделала. Заранее благодарю!

[Info_bot]

Уважаемый(ая) Afono4ka, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\я\appdata\local\google\update\gupdate.exe','');
 QuarantineFile('C:\Users\я\appdata\local\microsoft\windows\winupdate.exe','');
 QuarantineFile('C:\windows\system32\Macromed\Flash\FlashUtil10m_ActiveX.exe','');
 QuarantineFile('C:\Users\я\AppData\Roaming\msconfig.exe','');
 QuarantineFile('C:\Users\я\AppData\Roaming\hidserv.exe','');
 QuarantineFile('C:\Users\я\AppData\Roaming\Syak\aczio.exe','');
 QuarantineFile('C:\Users\я\AppData\Roaming\Xyqu\ihyf.exe','');
 QuarantineFile('C:\Users\я\AppData\Local\NVIDIA Corporation\Update\daemonupd.exe','');
 TerminateProcessByName('c:\users\e0f1~1\appdata\local\temp\~dmp2571667238182325265.tmp.exe');
 QuarantineFile('c:\users\e0f1~1\appdata\local\temp\~dmp2571667238182325265.tmp.exe','');
 TerminateProcessByName('c:\users\я\appdata\local\nvidia corporation\update\daemonupd.exe');
 QuarantineFile('c:\users\я\appdata\local\nvidia corporation\update\daemonupd.exe','');
 DeleteFile('c:\users\я\appdata\local\nvidia corporation\update\daemonupd.exe','32');
 DeleteFile('c:\users\e0f1~1\appdata\local\temp\~dmp2571667238182325265.tmp.exe','32');
 DeleteFile('C:\Users\я\AppData\Local\NVIDIA Corporation\Update\daemonupd.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NvUpdService');
 DeleteFile('C:\Users\я\AppData\Roaming\Xyqu\ihyf.exe','32');
 DeleteFile('C:\Users\я\AppData\Roaming\Syak\aczio.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{448943B4-CB04-6AA5-CC88-22CEB0B03D2E}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{ABB58B95-C079-66A0-B831-3F9715835355}','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Up-date System','command');
 DeleteFile('C:\Users\я\AppData\Roaming\hidserv.exe','32');
 DeleteFile('C:\Users\я\AppData\Roaming\msconfig.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WindowsUpdate','command');
 DeleteFile('C:\windows\Tasks\aq3cuskz.job','32');
 DeleteFile('C:\Users\я\appdata\local\microsoft\windows\winupdate.exe','32');
 DeleteFile('C:\Users\я\appdata\local\google\update\gupdate.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Afono4ka]

вот...сделала
MBAM-log-2014-03-13 (03-17-19).txt

[mike 1]

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
QuarantineFile('C:\Users\я\AppData\Local\Temp\tmp84b5d19d.exe','');
QuarantineFile('C:\Users\я\AppData\Roaming\qghumeaylnlfdxfircvs85.exe','');
QuarantineFile('C:\Users\я\AppData\Roaming\igfxtray.dat','');
QuarantineFile('C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-39a09142',''); 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

Обнаруженные ключи в реестре:  36
HKCR\CLSID\{291BCCC1-6890-484a-89D3-318C928DAC1B} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\TypeLib\{AD25754E-D76C-42B3-A335-2F81478B722F} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Interface\{C2434722-5C85-4CA0-BA69-1B67E7AB3D68} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\esrv.BabylonESrvc.1 (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\esrv.BabylonESrvc (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\CLSID\{B8276A94-891D-453C-9FF3-715C042A2575} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\TypeLib\{B12E99ED-69BD-437C-86BE-C862B9E5444D} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Interface\{78888F8B-D5E4-43CE-89F5-C8C18223AF64} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\bbylntlbr.xtrnl.1 (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\bbylntlbr.xtrnl (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Typelib\{6E8BF012-2C85-4834-B10A-1B31AF173D70} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Interface\{706D4A4B-184A-4434-B331-296B07493D2D} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\CLSID\{FFB9ADCB-8C79-4C29-81D3-74D46A93D370} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\bbylnApp.appCore.1 (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\bbylnApp.appCore (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\CLSID\{98889811-442D-49dd-99D7-DC866BE87DBC} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Babylon.dskBnd.1 (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Babylon.dskBnd (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\BabylonToolbar (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\CLSID\{3c471948-f874-49f5-b338-4f214a2ee0b1} (PUP.Optional.Conduit) -> Действие не было предпринято.
HKCU\SOFTWARE\BabylonToolbar (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCU\Software\winxarj (Hoax.ArchSMS) -> Действие не было предпринято.
HKCU\Software\AppDataLow\Software\PriceGong (PUP.Optional.PriceGong.A) -> Действие не было предпринято.
HKCU\Software\InstallCore\1I1T1Q1S (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKLM\SOFTWARE\BabylonToolbar (PUP.Optional.Babylon.A) -> Действие не было предпринято.
HKCR\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\TypeLib\{09C554C3-109B-483C-A06B-F14172F1A947} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\Interface\{3718D0AF-A3B8-4F5E-86F3-FAD8D02043BE} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\bbylntlbr.bbylntlbrHlpr.1 (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCR\bbylntlbr.bbylntlbrHlpr (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4A99-B4B6-146BF802613B} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B} (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  2
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{98889811-442D-49DD-99D7-DC866BE87DBC} (PUP.Optional.BabylonToolBar.A) -> Параметры: Babylon Toolbar -> Действие не было предпринято.
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 0Q1O1J1S -> Действие не было предпринято.

Объекты реестра обнаружены:  1
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Плохо: (http://174.37.200.81) Хорошо: (http://www.google.com) -> Действие не было предпринято.

Обнаруженные папки:  4
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1 (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\bh (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb (PUP.Optional.Babylon.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0 (PUP.Optional.Babylon.A) -> Действие не было предпринято.

Обнаруженные файлы:  36
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\BabylonToolbarsrv.exe (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\BabylonToolbarEng.dll (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Temp\tmp84b5d19d.exe (Trojan.Crypt.NKN) -> Действие не было предпринято.
C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-1667457c (Extension.Mismatch) -> Действие не было предпринято.
C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-35ae8fd5 (Extension.Mismatch) -> Действие не было предпринято.
C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-39a09142 (Extension.Mismatch) -> Действие не было предпринято.
C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-44b4a5ed (Extension.Mismatch) -> Действие не было предпринято.
C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-58e626a1 (Extension.Mismatch) -> Действие не было предпринято.
C:\Users\я\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\11\6223be8b-6bc8c973 (Extension.Mismatch) -> Действие не было предпринято.
C:\Users\я\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected]\components\FFHst.dll (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\BabylonToolbarApp.dll (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\BabylonToolbarTlbr.dll (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\uninstall.exe (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Program Files\Conduit\Community Alerts\Alert1.dll (PUP.Optional.Conduit) -> Действие не было предпринято.
C:\Program Files\ICQ7.5\upgrade\2dcd1d63cb45e6613582211c3d5f4b23 (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\я\AppData\Roaming\qghumeaylnlfdxfircvs85.exe (Backdoor.Agent) -> Действие не было предпринято.
C:\Users\я\AppData\Roaming\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.1\bh\BabylonToolbar.dll (PUP.Optional.BabylonToolBar.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0\babylon48.png (PUP.Optional.Babylon.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0\BabylonChromePI.dll (PUP.Optional.Babylon.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0\bg.html (PUP.Optional.Babylon.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0\bg.js (PUP.Optional.Babylon.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0\cs.js (PUP.Optional.Babylon.A) -> Действие не было предпринято.
C:\Users\я\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.9_0\manifest.json (PUP.Optional.Babylon.A) -> Действие не было предпринято.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[Afono4ka]

новый лог
mbam-log-2014-03-13 (17-49-00).txt

[thyrex]

Без оригинального дешифратора не обойтись

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 54
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\e0f1~1\appdata\local\temp\~dmp25716672381 82325265.tmp.exe - Trojan.Win32.Buzus.okar ( BitDefender: Gen:Variant.Kazy.325855, AVAST4: Win32:Malware-gen )
  2. c:\users\я\appdata\local\google\update\gupdate.exe - Trojan-Downloader.Win32.Carberp.cl ( BitDefender: Trojan.GenericKD.1588322, AVAST4: Win32:Downloader-UXG [Trj] )
  3. c:\users\я\appdata\local\microsoft\windows\winupda te.exe - Trojan-Downloader.Win32.Carberp.cl ( BitDefender: Trojan.GenericKD.1588322, AVAST4: Win32:Downloader-UXG [Trj] )
  4. c:\users\я\appdata\local\nvidia corporation\update\daemonupd.exe - Trojan-Downloader.Win32.Carberp.cl ( BitDefender: Trojan.GenericKD.1588322, AVAST4: Win32:Downloader-UXG [Trj] )
  5. c:\users\я\appdata\local\temp\tmp84b5d19d.exe - Trojan.Win32.Cutwail.clr ( AVAST4: Win32:Kryptik-NMP [Trj] )
  6. c:\users\я\appdata\roaming\syak\aczio.exe - Trojan.Win32.VBKrypt.uomw ( BitDefender: Trojan.Encpk.Gen.4 )