Показано с 1 по 19 из 19.

Зашифрованы файлы Word, Exel, картинки [Trojan.Win32.Yakes.ftru ] (заявка № 165736)

  1. #1
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13

    Зашифрованы файлы Word, Exel, картинки [Trojan.Win32.Yakes.ftru ]

    Зашифрованы файлы Word, Exel, картинки. Предложили написать на адрес ivanivanov34@aoi.com , написали, они требуют 10000 руб., дальше не пишем...

    В инструкции к форуму написано выложить ссылки на файлы, вот выложил...

    Примеры файлов здесь:
    https://yadi.sk/d/SIbr72roadq57 ,
    https://yadi.sk/i/cDxFgh1PadsBy,
    https://yadi.sk/d/sWxtDZgBadsMh

    Что дальше делать, паника.....

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,458
    Вес репутации
    343
    Уважаемый(ая) Romarrio, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. Это понравилось:


  5. #3
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    вот логи сканирования указанными программами:

    и еще есть сам файл который все это натворил, называется Attachment, тип: Программа заставка, вес: 588 кб.
    Вложения Вложения
    Последний раз редактировалось Romarrio; 29.08.2014 в 16:27.

  6. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    Здравствуйте!

    Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

    Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

    Код:
    begin
     ExecuteAVUpdate;
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
      then
       begin
        SearchRootkit(true, true);
        SetAVZGuardStatus(true);
       end;
     ClearQuarantine;
     TerminateProcessByName('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe');
     SetServiceStart('Wpm', 4);
     StopService('Wpm');
     QuarantineFile('C:\Program Files\parol_ot_failov\svchost.exe','Утка');
     QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\G9Y3O52B\install[1].exe','');
     QuarantineFile('c:\documents and settings\all users\application data\wpm\wprotectmanager.exe','');
     DeleteFile('C:\Documents and Settings\All Users\Application Data\WPM\wprotectmanager.exe','32');
     DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\G9Y3O52B\install[1].exe','32');
     DeleteFile('C:\Program Files\parol_ot_failov\svchost.exe','32');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','install');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
     DeleteService('Wpm');     
     DeleteFileMask('C:\Program Files\parol_ot_failov', '*', true, ' ');
     DeleteDirectory('C:\Program Files\parol_ot_failov');
    BC_ImportAll;
    ExecuteSysClean;
    ExecuteWizard('TSW',2,3,true);    
    BC_Activate;
    RebootWindows(false);
    end.
    Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

    Код:
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.delta-homes.com/web/?type=ds&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.delta-homes.com/web/?type=ds&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?type=hp&ts=1402653341&from=wpm0612&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.qone8.com/web/?type=ds&ts=1383140996&from=cor&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://start.qone8.com/web/?type=ds&ts=1383140996&from=cor&uid=ST3120026A_3LJ09KJHXXXX3LJ09KJH&q={searchTerms}
    O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
    O4 - HKCU\..\Run: [install] C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\G9Y3O52B\install[1].exe
    Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

    Скачайте Malwarebytes' Anti-Malware, установите (во время установки откажитесь от использования Пробной версии), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
    Самостоятельно ничего не удаляйте!!!
    Если лог не открылся, то найти его можно в следующей папке:
    Код:
    %appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs
    Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
    Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
    Подробнее читайте в руководстве
    Последний раз редактировалось mike 1; 29.08.2014 в 17:36.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  7. #5
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    Новые логи:
    Вложения Вложения

  8. #6
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    Лог MBAM где?
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  9. #7
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    Извините за задержку, дети имеются.........

    Вот лог MBAM:
    Вложения Вложения

  10. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    Выполните скрипт в AVZ:

    Код:
    begin
    QuarantineFile('C:\Program Files\abobe soft\информационное извещение\svchost.exe','Утка');
    CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
    end.
    quarantine2.zip пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    В MBAM удалите все, кроме:

    Код:
    Обнаруженные файлы:  142
    C:\Documents and Settings\Admin\Application Data\Rambler\Holdem\{D9527E5B-427D-450F-9FDF-351C08163520}\7.0.75.0\holdem.msi (PUP.Optional.Rambler.A) -> Действие не было предпринято.
    C:\Documents and Settings\Admin\Local Settings\Application Data\Rambler\RamblerUpdater\RUpdate.exe (PUP.Optional.Rambler.A) -> Действие не было предпринято.
    C:\Documents and Settings\Admin\Мои документы\Downloads\VideoConverterSetup.exe (PUP.Optional.InstallCore) -> Действие не было предпринято.
    C:\Program Files\Adobe\Adobe Photoshop CS6\amtlib.dll (PUP.RiskwareTool.CK) -> Действие не было предпринято.
    C:\Program Files\Microsoft Office\activator.exe (PUP.Hacktool) -> Действие не было предпринято.
    C:\WINDOWS\AutoKMS\AutoKMS.exe (Trojan.AutoKMS) -> Действие не было предпринято.
    D:\Дистриб\Качать видео с инета\rsload.net.Internet.Download.Manager.v6.15.Build.5.Retail\patch\Tonec.Inc.Internet.Download.Manager.v6.xx.WinALL.Incl.Keygen.and.Patch-UnREaL.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
    После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  11. #9
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    карантин 2.zip выслал, лог MBAM прикрепил......

    спасибо что возитесь со мной.......
    Вложения Вложения

  12. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    1. Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
    2. Распакуйте архив с утилитой в отдельную папку
    3. Запустите sitlog.exe
      Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
    4. В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
    5. По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
    6. Прикрепите эти отчеты в вашей теме.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  13. #11
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    вот эти два отчета:
    Вложения Вложения

  14. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    Эти папку удалите вручную:

    29.08.2014 10:45:41 ----D---- C:\Program Files\abobe soft
    • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
    • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
    • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
    • Прикрепите отчет к своему следующему сообщению.


    Подробнее читайте в этом руководстве.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  15. #13
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    Просканировал, вот отчет:

    А удалять что-либо нужно было? Я ничего не удалял....
    Вложения Вложения

  16. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    А удалять что-либо нужно было?
    В предыдущем своем сообщении я просил удалить только 1 папку.

    • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
    • По окончанию сканирования снимите галочки со следующих строк:
      Код:
      Папка Найдено : C:\Documents and Settings\Admin\Application Data\Mra
      Папка Найдено : C:\Documents and Settings\Admin\Local Settings\Application Data\Mail.Ru
      Папка Найдено : C:\Program Files\Mail.Ru
    • Нажмите кнопку "Clean" и дождитесь окончания удаления.
    • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
    • Прикрепите отчет к своему следующему сообщению

    Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

    Подробнее читайте в этом руководстве.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  17. #15
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    очистил кроме указанных Вами, вот лог:
    Вложения Вложения

  18. #16
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    Больше помочь особо нечем.

    Пароли все смените т.к. злоумышленник мог удаленно подключаться к вашему компьютеру.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  19. #17
    Junior Member Репутация
    Регистрация
    29.08.2014
    Сообщений
    10
    Вес репутации
    13
    Спасибо за муки со мной, но мне немного не понятно, а что мы вообще делали?
    Просто чистили комп от всяких мелких вирусишек?
    Проблема ведь была изначально в том, что закодированы файлы word, exel, и jpg картинки т. е. нужно их как бы, было раскодировать..

    То что мы с Вами проделали, удалили, очистили , это наверное важно и полезно, но это и до того не причиняло никаких проблем работе компьютера, сейчас все работает так же как и ранее...

    Проблема осталась одна! невозможно воспользоваться закодированными файлами!

    И теперь вопрос, если дать денег злоумышленникам, смогут ли они все обратно восстановить? Раскодировать? или теперь после проделанных нами инсинуаций смысла в этом нет? и можно запустить всесильную команду [format C:\] ?

  20. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    42,377
    Вес репутации
    1028
    Файлы расшифровать без оригинального дешифратора не получится. Оригинальный дешифратор есть только у автора этого шифратора.

    а что мы вообще делали?
    Чистили компьютер от вирусов. У вас кстати шифратор в автозагрузке был прописан и теоретически мог дальше шифровать файлы если бы мы его не удалили.

    И теперь вопрос, если дать денег злоумышленникам, смогут ли они все обратно восстановить?
    Думаю смогут. Тариф у них около 10000 рублей за дешифратор.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool
    Интересный блог Андрея Иванова по шифровальщикам
    Антивирус на 45 дней => https://goo.gl/1yHAAg

  21. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,317
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 9
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\documents and settings\all users\application data\wpm\wprotectmanager.exe - not-a-virus:AdWare.Win32.WProtManager.e ( DrWEB: Trojan.Click3.8485, BitDefender: Adware.PUQF, AVAST4: Win32:Agent-ATRV [Trj] )
      2. c:\program files\abobe soft\информационное извещение\svchost.exe - Trojan.Win32.Yakes.ftru ( BitDefender: Gen:Variant.Symmi.45917, AVAST4: Win32:Crypt-RHH [Trj] )
      3. c:\program files\parol_ot_failov\svchost.exe - Trojan.Win32.Yakes.ftru ( BitDefender: Gen:Variant.Symmi.45917, AVAST4: Win32:Crypt-RHH [Trj] )


  • Уважаемый(ая) Romarrio, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Зашифрованы все файлы Word Exel Pdf и др. RSA-1024
      От astreya в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 16.06.2014, 17:53
    2. Ответов: 3
      Последнее сообщение: 09.12.2013, 09:12
    3. Зашифровались файлы Word Exel
      От k.a.r.i.m.o.v в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 23.07.2013, 13:34
    4. Ответов: 2
      Последнее сообщение: 26.04.2013, 15:27
    5. Ответов: 12
      Последнее сообщение: 06.07.2012, 00:08

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01416 seconds with 17 queries