Добрый день!
Поймал сабж.
Провёл лечение согласно рекомендациям из темы http://virusinfo.info/content.php?r=136-pravila
В приложении логи AVZ и Hijack.
На компьютере осталось много зашифрованных файлов, переименованных а-ля *[email protected]_lot3021
Прошу помочь расшифровать файлы.
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) simplelex, спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\user\AppData\Local\Temp\rad59972.tmp.exe','');
QuarantineFile('C:\Users\user\AppData\Local\jerlobw.dll','');
DeleteFile('C:\Users\user\AppData\Local\jerlobw.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\jerlobw','DLLName');
DeleteFile('C:\Users\user\AppData\Local\Temp\rad59972.tmp.exe','32');
DeleteFile('C:\Windows\Tasks\t639rpcll1.job','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.
Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы
Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).
Код:
Обнаруженные ключи в реестре: 2
HKCU\Software\InstallCore\1I1T1Q1S (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
Обнаруженные параметры в реестре: 2
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 0M1S1H1K2U -> Действие не было предпринято.
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings|AutoConfigURL (Hijack.Autoconfig) -> Параметры: https://elsantana.com/gif/ewq.exf -> Действие не было предпринято.
Обнаруженные папки: 5
C:\Recycle.Bin (Trojan.Spyeyes) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\C7D965394C184599ACC9AE6C4C7E041E (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\D8C2F58642084FEC8BE8AE8044C3684C (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\OpenCandy_C7D965394C184599ACC9AE6C4C7E041E (PUP.Optional.OpenCandy) -> Действие не было предпринято.
Обнаруженные файлы: 11
C:\Users\user\AppData\Roaming\OpenCandy\OpenCandy_C7D965394C184599ACC9AE6C4C7E041E\LatestDLMgr.exe (PUP.Optional.OpenCandy.A) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\OpenCandy_C7D965394C184599ACC9AE6C4C7E041E\OpenCandyU1Dlm.dll (PUP.Optional.OpenCandy.A) -> Действие не было предпринято.
C:\Users\user\Favorites\Free Porn Videos - XVIDEOS.COM.url (Rogue.Link) -> Действие не было предпринято.
C:\Users\user\Favorites\Free Porn, Sex, Tube Videos, XXX Pics, Porno Movies - XNXX.COM.url (Rogue.Link) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\C7D965394C184599ACC9AE6C4C7E041E\3211.ico (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\C7D965394C184599ACC9AE6C4C7E041E\speedupmypcRU_p1v1.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\user\AppData\Roaming\OpenCandy\D8C2F58642084FEC8BE8AE8044C3684C\TuneUpUtilities2013-2200268_ru-RU.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.