шифровальщик dizulexy. exe почти на весь экран

[Александр Сазонов]

Доброго времени суток.
01.12.2014 почти на весь экран красного цвета баннер:в заголовке "Личные данные зашифрованы"
чтоб расшифровать файлы оплатите 0,07 ВТС (примерно 1000 руб),расшифровать можно не позднее стояло 62-65 часов,начальное время ~75-80 часов.
Были вариантов обменников,кошелек начинался с цифр "18...."После оплаты подождите,и нажмите кнопку "Проверить оплату",ну естественно не платил,выдало "оплата не произведена"
Баннер всегда находился поверх всех окон.ни КАВ КРистал(не окончилось 30дней) ни АВЗ сдвинуть не мог.
Видимо ступил сам и нажал завершение сеанса админа(Windows XP),нажал выход,и снова зашел под админом?Уже КАВ Кристал начинал блокировать вирус,но при проверке Dr.Web CureIt! находил вирус,как в безопасном так и просто,но после перезагрузки,банер всплывал.
Не помню в какой проверке заметил время было 11 утра.
Сегодня 02.12.2014 через F3 решил найти этот файл в 11 утра,мне показало dizulexy. exe,открыл в какой папке,там ехе,и три картинки с изображением баннера (примерно с\юзер,локал сетинг\),удалил все 4 файла через шифт+дел,банер не появляется.
Теперь не могу фото открыть,через просмотр изображений "Просмотр не доступен"
имя.JPG тип файла Рисунок JPEG
Word: при открытии выдаёт ошибку "невозможно открыть существующий файл(Normal.dot)
Свойтва :тип файла Документ Microsoft Word

[Info_bot]

Уважаемый(ая) Александр Сазонов, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
DeleteFile('C:\DOCUME~1\Admin\APPLIC~1\WSE_Vosteran\UpdateProc\bkup.dat','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','WSE_Vosteran');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\UpdSysDrv32Xz32\dizulexy.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\UpdSysDrvX32z32','command');
 DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
 DeleteFile('C:\Program Files\Mobogenie\DaemonProcess.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Schedule');
 DeleteFile('C:\DOCUME~1\Admin\APPLIC~1\WSE_VO~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Александр Сазонов]

Объясните порядок пожалуйста,
После ввода скрипта,перезагрука,а в АВЗ пишет "Внимание! Создание архива не возможно,т.к.вы не отметили ни одного файла"
Там нет файлов
я читал http://virusinfo.info/content.php?r=136-pravila
Приложение 2. Как прислать запрошенные файлы.
Или сначала новые логи и их по карантину прислать?

[thyrex]

Ну так отметьте файлы для помещения в карантин, как написано в приложении 2

[Александр Сазонов]

Приложение 2. Как прислать запрошенные файлы.
Запустите AVZ, выберите в меню "Файл" -> "Просмотр карантина".
Справа в списке файлов отметьте те файлы, которые нужно выслать.
Там нет ни одного файла,вот я и спрашиваю какой порядок действий

[thyrex]

Делайте новые логи

[Александр Сазонов]

вот пожалйста новые логи

[thyrex]

Сделайте лог полного сканирования МВАМ

[Александр Сазонов]

логи из MBAM

[thyrex]

Поместите в карантин МВАМ всё, кроме

Hijack.ControlPanelStyle, HKU\S-1-5-18-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|ForceClassicControlPanel, 1, , [ba5446181c60c76f5eea975e36cd6898]
Hijack.ControlPanelStyle, HKU\S-1-5-19-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|ForceClassicControlPanel, 1, , [54ba15493547191dee5a03f2f80bb14f]
Hijack.ControlPanelStyle, HKU\S-1-5-20-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|ForceClassicControlPanel, 1, , [d8363d213943de5893b550a55ea5c937]
Hijack.ControlPanelStyle, HKU\S-1-5-21-1801674531-1788223648-2147339321-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|ForceClassicControlPanel, 1, , [4bc3411d3d3fcd696ade807540c3cd33]
Hijack.ControlPanelStyle, HKU\S-1-5-21-1801674531-1788223648-2147339321-500-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|ForceClassicControlPanel, 1, , [bb5339255e1eda5c8dbb1bda17ecac54]

Trojan.Agent, C:\Program Files\Volumecontrol2\LConfig.exe, , [3ad49fbfadcf6dc9165be21834d09d63], 
Trojan.Dropped, C:\WINDOWS\system32\hidcon.exe, , [0fff6bf3770553e3f22933d604fe837d], 
PUP.Optional.OpenCandy, C:\WINDOWS\Temp\NeroInstallFiles\NERO20140905112657244\ISSetupPrerequisites\opencandy\OCSetupHlp.dll, , [4ac4104ebac2ad8961ddfc89a0656a96], 
Trojan.Downloader, D:\Downloads\14.rar, , [2be3a8b6df9d072f48593c3631cf30d0], 
PUP.Optional.InstallCore, D:\Downloads\DownloadManagerSetup.exe, , [cb43a3bbd3a96bcb9d614bcfbd4820e0],

[Александр Сазонов]

угроз не обнаружено в МВАМ

[thyrex]

С расшифровкой не поможем

[Александр Сазонов]

ну а если через помогите+или ++ ,мне нужно

[thyrex]

Увы

[Александр Сазонов]

Добрый день,снова я,сегодня пришёл с работы включил монитор,пол экрана синий банер,за пределы которого не выйти,просят деньги на номер +79034558549,через безопасный режим такая же фигня,помог др.веб.лайв 900сд,

Так как не можете помочь расшифровать файлы,решил переустановить винду,может вам нужно для помощи другим людям,Могу скинуть логи,или что надо ещё.

Кстати сижу через роутер с компа ХР,рядом есть ноут винд7,там в хроме открывается вместо вкладок яндекса,открывается сайт казино вулкан(сейчас проверил а в яндексе открывается яндекс,ру и вторая вулкан,Е-ксплоер не запускался до этого,там не пишет) .

- - - - -Добавлено - - - - -

thyrex, http://virusinfo.info/showthread.php?t=172169&p=1195874#post1195874