Помогите, поймал заразу, зашифровало файлы [Trojan.VBS.Agent.su ]

[Виталий Паламарчук]

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Какой-то "Ваш консультант", создает папку скрытую "Microsoft Office Standart" по пути
C:\User\Imp\AppData\Roaming

[Info_bot]

Уважаемый(ая) Виталий Паламарчук, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Виталий Паламарчук]

есть ли какое-то решения данной проблемы?

[thyrex]

С расшифровкой не поможем

Amigo удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Imp\AppData\Roaming\system app\loader.exe','');
 QuarantineFile('C:\Users\Imp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','');
 QuarantineFile('C:\Users\Imp\AppData\Local\Microsoft\Windows\system.vbs','');
 QuarantineFile('C:\Program Files (x86)\Rublik\rublik.exe','');
 DeleteFile('C:\Users\Imp\AppData\Local\Microsoft\Windows\system.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SystemScript');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SystemScript');
 DeleteFile('C:\Users\Imp\AppData\Roaming\Browsers\amigo.exe.bat','32');
 DeleteFile('C:\Users\Imp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','32');
 DeleteFile('C:\Users\Imp\AppData\Roaming\system app\loader.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','64');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте такой лог

[Виталий Паламарчук]

Как и просили, шлю лог

[mike 1]

Еще просили сделать новые логи по правилам диагностики.

[thyrex]

Пересоздайте эти ярлыки браузеров

C:\Users\Imp\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\Imp\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
C:\Users\Imp\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk
C:\Users\Imp\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\Imp\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Internet Explorer.lnk
C:\Users\Imp\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Yandex\Yandex.lnk

Сделайте логи RSIT

[Виталий Паламарчук]

Огромнейшее спасибо

[thyrex]

Выполните скрипт в AVZ

begin
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\MailRuUpdater');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\RublikAutostartSetting');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\SystemAutorun');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\SystemScript');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\TorrentExpress');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupfolder\C:^Users^Imp^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^SystemAutorun.exe');
RebootWindows(true);
end.

Компьютер перезагрузится

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\imp\appdata\local\microsoft\windows\syste m.vbs - Trojan.VBS.Agent.su ( DrWEB: Trojan.Ormes.9, AVAST4: VBS:AutoRun-CS [Trj] )