Здравствуйте. Сачали файл Акт сверки взаморасчетов с отборкой по договору УНФ.exe. После его выполнения в автозагрузке появился файл svchost.exe который подгружался из папки Documents and Settings\..... Все документы стали Акт звірки ПФ[email protected] так выглядеть.
Акт сверки взаморасчетов с отборкой по договору УНФ.exe и svchost.exe
логи прилагаются
Последний раз редактировалось mike 1; 07.08.2014 в 18:37.
Причина: Вирусная ссылка
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) derek01, спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код:
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\TEMP\_tc\Акт сверки взаморасчетов с отборкой по договору УНФ.exe','');
QuarantineFile('C:\Recycle.Bin\B6232F3A8AA.exe','');
QuarantineFile('C:\Documents and Settings\ADMIN\uvnllfxk.exe','');
QuarantineFile('C:\Documents and Settings\ADMIN\Application Data\UniCryptH\UniCryptHCtrl.exe','');
DeleteFile('C:\Documents and Settings\ADMIN\uvnllfxk.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MSConfig','command');
DeleteFile('C:\Recycle.Bin\B6232F3A8AA.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\4Y3Y0C3A9F7XZDWDPPZRE','command');
DeleteFile('C:\TEMP\_tc\Акт сверки взаморасчетов с отборкой по договору УНФ.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Slаyer');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы
Смените пароли
Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
Скачайте Malwarebytes' Anti-Malware, установите (во время установки откажитесь от использования Пробной версии), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту. Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:
Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве
Здравствуйте. Ничего не удалял. логи сделал как говорили. Вирус "пошел" гулять по сети. Утром включили другой комп в сетке часть файлов уже зашифрована......
Документы уже никак не спасти (ничего не удалял , не лечил комп после заражения) ?
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:
Код:
begin
QuarantineFile('C:\Documents and Settings\ADMIN\Application Data\O3o7o.exe','');
QuarantineFile('C:\WINDOWS\Temp\temp15.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы
Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).
Код:
Обнаруженные ключи в реестре: 10
HKCR\CLSID\{4751C3C7-3353-4F2E-AD9B-4A058C037D85} (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\TypeLib\{1C3E898D-6143-494F-A000-79D980DAE5A5} (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\Alawar Elements.Tool.1 (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\Alawar Elements.Tool (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\CLSID\{E33FF41E-53CB-4D93-885A-FFEFA04CD804} (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\Alawar Elements.ScriptHostObject.1 (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\Alawar Elements.ScriptHostObject (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E33FF41E-53CB-4D93-885A-FFEFA04CD804} (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
HKCR\TypeLib\{964B5888-1AC7-4987-9E61-98EBABBB9BA1} (PUP.Optional.Besttoolbars) -> Действие не было предпринято.
HKCR\Interface\{43969E3F-3E7C-4911-A8F1-79C6CA6AC731} (PUP.Optional.Besttoolbars) -> Действие не было предпринято.
Обнаруженные параметры в реестре: 2
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{D4027C7F-154A-4066-A1AD-4243D8127440} (PUP.Optional.FrostwireTB.A) -> Параметры: -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440} (PUP.Optional.FrostwireTB.A) -> Параметры: -> Действие не было предпринято.
Обнаруженные папки: 1
C:\Recycle.Bin (Trojan.Spyeyes) -> Действие не было предпринято.
Обнаруженные файлы:
C:\Program Files\Alawar Elements\ScriptHost.dll (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
C:\Program Files\Alawar Elements\BackgroundHost.exe (PUP.Optional.Besttoolbars) -> Действие не было предпринято.
C:\Program Files\Alawar Elements\BackgroundHost64.exe (PUP.Optional.Besttoolbars) -> Действие не было предпринято.
C:\Program Files\Alawar Elements\ScriptHost64.dll (PUP.Optional.BestToolBars.A) -> Действие не было предпринято.
C:\TEMP\alawar.single.exe (PUP.Optional.Besttoolbars) -> Действие не было предпринято.
C:\WINDOWS\system32\CPLDAPU\WebBrowserPassView.exe (PUP.PassView) -> Действие не было предпринято.
C:\WINDOWS\Temp\temp15.exe (Malware.Packer.FMSDI) -> Действие не было предпринято.
C:\Documents and Settings\ADMIN\Application Data\O3o7o.exe (Trojan.Agent.FSA62) -> Действие не было предпринято.
Смените все пароли.
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru: