Снова расшифровка файлов aes256 [not-a-virus:AdWare.Win32.MMag.k ]

**vladdrac10** · 11.10.2014, 23:26

ЗДравствуйте! Помогите расшифровать файлы.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 11.10.2014, 23:27

Уважаемый(ая) vladdrac10, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 12.10.2014, 00:04

savepass
baidu

удалите через Установку программ

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Admin\appdata\roaming\mail.ru newgamest\api.dll','');
 QuarantineFile('C:\Windows\cuda.exe','');
 QuarantineFile('c:\windows\core.exe','');
 QuarantineFile('C:\Program Files\Uniblue\SpeedUpMyPC\speedupmypc.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_2\s_inst.exe','');
 QuarantineFile('C:\Program Files\SavePass\SavePass-nova.exe','');
 QuarantineFile('C:\Program Files\SavePass\SavePass-novainstaller.exe','');
 QuarantineFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-5.exe','');
 QuarantineFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-4.exe','');
 QuarantineFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-2.exe','');
 QuarantineFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-11.exe','');
 QuarantineFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-10.exe','');
 QuarantineFile('C:\Program Files\SavePass\SavePass-codedownloader.exe','');
 DelBHO('{11111111-1111-1111-1111-110511701150}');
 QuarantineFile('C:\Program Files\SavePass\SavePass-bho.dll','');
 QuarantineFile('C:\Users\Admin\LOCALS~1\Temp\msvlcaq.com','');
 QuarantineFile('C:\Program Files\Obnovi Soft\ObnoviSoft.exe','');
 QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
 QuarantineFile('C:\ProgramData\Schedule\timetasks.exe','');
 QuarantineFile('C:\ProgramData\Program status\scheck.exe','');
 TerminateProcessByName('c:\program files\savepass\b0625964-2eb3-4760-87c9-78a749ff7827-10.exe');
 QuarantineFile('c:\program files\savepass\b0625964-2eb3-4760-87c9-78a749ff7827-10.exe','');
 DeleteFile('c:\program files\savepass\b0625964-2eb3-4760-87c9-78a749ff7827-10.exe','32');
 DeleteFile('C:\Program Files\Google\chrome.bat','32');
 DeleteFile('C:\ProgramData\Program status\scheck.exe','32');
 DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
 DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
 DeleteFile('C:\Program Files\Obnovi Soft\ObnoviSoft.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Обнови Софт','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sCloudStatusCheck','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule','command');
 DeleteFile('C:\Users\Admin\AppData\Local\Amigo\Application\amigo.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Local\Yandex\browser.bat','32');
 DeleteFile('C:\Users\Admin\LOCALS~1\Temp\msvlcaq.com','32');
 DeleteFile('C:\Program Files\SavePass\SavePass-bho.dll','32');
 DeleteFile('C:\Program Files\SavePass\SavePass-codedownloader.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-1','32');
 DeleteFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-10.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-10','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-11','32');
 DeleteFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-11.exe','32');
 DeleteFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-2.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-2','32');
 DeleteFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-4.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-4','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-5','32');
 DeleteFile('C:\Program Files\SavePass\b0625964-2eb3-4760-87c9-78a749ff7827-5.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-5_user','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-6','32');
 DeleteFile('C:\Program Files\SavePass\SavePass-novainstaller.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\b0625964-2eb3-4760-87c9-78a749ff7827-7','32');
 DeleteFile('C:\Program Files\SavePass\SavePass-nova.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_2\s_inst.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\newSI_2','32');
 DeleteFile('C:\Windows\system32\Tasks\newSI_23','32');
 DeleteFile('C:\Program Files\Uniblue\SpeedUpMyPC\speedupmypc.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SpeedUpMyPC Maintenance','32');
 DeleteFile('C:\Windows\system32\Tasks\SpeedUpMyPC Startup','32');
 DeleteFile('c:\windows\core.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\UpCH','32');
 DeleteFile('c:\users\admin\appdata\local\amigo\application\amigo.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{8BD9CF05-08A6-4268-BE6F-0E9AEBAA3592}','32');
 DeleteFile('C:\Windows\system32\Tasks\{ED4FD45C-DD1B-4D65-9C28-9DC54A7C324B}','32');
 DeleteFile('C:\Windows\cuda.exe','32');
 DeleteFile('C:\Users\Admin\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFileMask('c:\users\admin\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('c:\users\admin\AppData\Roaming\runWIN');
DeleteFileMask('c:\users\admin\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('c:\users\admin\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('c:\programdata\schedule', '*', true);
DeleteDirectory('c:\programdata\schedule');
DeleteFileMask('C:\ProgramData\Program status', '*', true);
DeleteDirectory('C:\ProgramData\Program status');
DeleteFileMask('C:\Program Files\Uniblue', '*', true);
DeleteDirectory('C:\Program Files\Uniblue');
DeleteFileMask('C:\Users\Admin\AppData\Roaming\newSI_2', '*', true);
DeleteDirectory('C:\Users\Admin\AppData\Roaming\newSI_2');
DeleteFileMask('C:\Program Files\SavePass', '*', true);
DeleteDirectory('C:\Program Files\SavePass');
DeleteFileMask('C:\Program Files\Obnovi Soft', '*', true);
DeleteDirectory('C:\Program Files\Obnovi Soft');
DeleteFileMask('C:\Program Files\Zaxar', '*', true);
DeleteDirectory('C:\Program Files\Zaxar');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT
Сделайте такой лог

**vladdrac10** · 12.10.2014, 11:14

Вот сделал новые логи.

**thyrex** · 12.10.2014, 12:55

Поместите в карантин МВАМ всё, кроме

Код:

PUP.Hacktool, C:\Program Files\Microsoft Office\Activator\mKMSAct.exe, , [fb7ade35fe7e0d297f5f2468eb154ab6], 
Hacktool.CheatEngine, D:\30.04.2014\???°??N?N??·????\CrazyKybezymie 2 v42(1).EXE, , [165f70a3225a54e28fb8b48679876799], 
Hacktool.CheatEngine, D:\30.04.2014\???°??N?N??·????\CrazyKybezymie 2 v42.EXE, , [4530a46f89f303335ee981b96a96b050], 
Hacktool.CheatEngine, D:\30.04.2014\???°??N?N??·????\CrazyKybezymue2 v41.exe, , [7bfa54bfe4981224ff486cce26da7888], 
Hacktool.CheatEngine, D:\???°??N?\(???°????N??°N?N?)\FrostoHacksKopatel v57.exe, , [91e4957e0d6f0b2bccc851e4c8395ba5],

Пересоздайте ярлык C:\Users\Admin\AppData\Roaming\Microsoft\Windows\S tart Menu\Programs\Yandex\Yandex.lnk

Сделайте лог ComboFix

**vladdrac10** · 12.10.2014, 13:53

А теперь это.

**thyrex** · 12.10.2014, 14:07

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С

Код:

KillAll::

File::
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\BDEnhanceBoost.sys

Driver::
BDSafeBrowser
bd0004
BDEnhanceBoost
BDMWrench
BDArKit
BDSGRTP

Folder::
c:\users\Admin\AppData\Roaming\Microsoft DB
c:\users\Admin\AppData\Roaming\GemWare
c:\users\Admin\AppData\Roaming\ICL
c:\users\Admin\AppData\Roaming\Baidu
c:\program files\Common Files\Baidu
c:\programdata\Baidu
c:\program files\test
c:\users\Admin\AppData\Roaming\Obnovi Soft

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\amigo]
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Schedule]
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\sCloudStatusCheck]
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ZaxarLoader]
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Обнови Софт]

DDS::
uDefault_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=024408d7c7c649fb3e64600bf6d99904&text={searchTerms}

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**vladdrac10** · 12.10.2014, 14:32

Есть такое

**thyrex** · 12.10.2014, 15:12

Папку C:\supermegabest удалите

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

**regist** · 12.10.2014, 15:14

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Обнови Софт','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sCloudStatusCheck','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
 ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

**vladdrac10** · 12.10.2014, 15:56

Есть

**regist** · 12.10.2014, 16:28

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\Program Files\SavePass\Uninstall.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\9B7364B0.sys','');
 QuarantineFile('C:\Users\Admin\appdata\roaming\newsi_23\s_inst.exe','');
 QuarantineFileF('C:\Users\Admin\appdata\roaming\newsi_23\','*.exe', true,'',0 ,0);
 DeleteFile('C:\Program Files\SavePass\Uninstall.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{E0DE1ADB-5964-4BEC-9A58-454EFB6DB70C}','32');
 DeleteFile('C:\Users\Admin\appdata\roaming\newsi_23\s_inst.exe','32');
 DeleteFile('C:\Users\Admin\appdata\roaming\newsi_23\s_inst.exe', '32');
 DeleteFileMask('C:\Users\Admin\appdata\roaming\newsi_23\', '*', true);
 DeleteDirectory('C:\Users\Admin\appdata\roaming\newsi_23\');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Сообщение от thyrex

http://support.kaspersky.ru/viruses/disinfection/10556 пробуйте

пробовали?

**vladdrac10** · 12.10.2014, 17:03

http://support.kaspersky.ru/viruses/disinfection/10556
Пробовал, не расшифровует.

- - - - -Добавлено - - - - -

ещё раз

**regist** · 12.10.2014, 17:16

прочитайте эту статью http://virusinfo.info/showthread.php?t=164586 возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.

**vladdrac10** · 12.10.2014, 17:20

Это значит, что ничего не выйдет. Я правильно понимаю?

**regist** · 12.10.2014, 18:59

ну, если вы будете сидеть и ждать пока вам преподнесут всё готовое, вместо того чтобы попытаться, написать заявление, то да не ничего не выйдет.

**vladdrac10** · 12.10.2014, 19:29

Понятно. И на том спасибо!

**mike 1** · 13.10.2014, 01:21

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt, запустите, нажмите Clean up

**regist** · 17.10.2014, 20:22

Снова пробуйте RakhniDecryptor, она обновилась.

**thyrex** · 17.10.2014, 20:25

http://support.kaspersky.ru/viruses/disinfection/10556 снова пробуйте

Снова расшифровка файлов aes256 [not-a-virus:AdWare.Win32.MMag.k ] (заявка № 168380)

Опции темы

Снова расшифровка файлов aes256 [not-a-virus:AdWare.Win32.MMag.k ]

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Похожие темы

Файлы зашифрованы AES256 [not-a-virus:RiskTool.Win32.BitCoinMiner.wnm, not-a-virus:RiskTool.Win32.BitCoinMiner.wmu ]

Почти все файлы зашифрованы AES256 [not-a-virus:AdWare.Win32.Tirrip.d, not-a-virus:AdWare.Win32.MMag.k ]

Вирус шифрует файлы. Расширение AES256 [not-a-virus:HEUR:Downloader.Win32.LMN.gen, not-a-virus:AdWare.Win32.MMag.k ]

Карантин 8B6052B951471B66F0AB0D95496D2363 [not-a-virus:AdWare.Win32.Agent.eqwa, not-a-virus:AdWare.Win32.Agent.gu= uy]

Тормозит компьютер при подключении к интернет [not-a-virus:AdWare.Win32.BetterSurf.b, not-a-virus:RiskTool.Win32.BitCoinMiner.lkl ]

Метки для этой темы

Ваши права в разделе