Показано с 1 по 10 из 10.

Все файлы зашифровались в XTBL [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen, not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ] (заявка № 175915)

  1. #1
    Junior Member Репутация
    Регистрация
    28.01.2015
    Адрес
    Владивосток, Россия
    Сообщений
    4
    Вес репутации
    11

    Все файлы зашифровались в XTBL [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen, not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ]

    Включил утром компьютер, но все файлы (документы, картинаки, музыка, видео и прочее) оказались зашифрованы и переименованы в файлы расширения ".XTBL".На фоне рабочего стола рисунок с требованием отправить специальный код на deshifrovka01@gmail.com или deshifrovka@india.com, чтобы получить дальнейшие инструкции.Пример зашифрованного файла http://www.fayloobmennik.net/4541018
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,457
    Вес репутации
    341
    Уважаемый(ая) BloodMan, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,243
    Вес репутации
    3015
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
     QuarantineFile('C:\Users\Admin\appdata\roaming\x11\engine.exe','');
     QuarantineFile('C:\Users\Admin\appdata\roaming\etranslator\etranslator.exe','');
     DelBHO('{7CE987D5-11B3-44FC-9C3D-03069360D462}');
     DelBHO('{cfda5cac-9fdf-4b62-a646-863ee01a031f}');
     DelBHO('{80056886-ac51-49d4-b659-e87017e5e1b2}');
     DelBHO('{3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6}');
     QuarantineFile('C:\Program Files (x86)\ccOpuNko\nuRBOHcduH5YrA.dll','');
     QuarantineFile('C:\Program Files (x86)\adsuy\0lyGtiZi7qFQ0W.dll','');
     QuarantineFile('C:\Users\Admin\AppData\Roaming\GetNowUpdater\update.0\bin\GetNowUpdater.exe','');
     DeleteService('PirritDesktop');
     QuarantineFile('C:\Users\Admin\AppData\Local\PirritSuggestor\PirritService.exe','');
     QuarantineFile('C:\Users\Admin\AppData\Local\ced660ad8659b41c9a2ecef2fdd87e61\FormatKernelProgram.exe','');
     DeleteService('FormatKernelProgram.exe');
     DeleteService('9d409da061bee9f.exe');
     QuarantineFile('C:\Users\Admin\AppData\Local\6141a8c2bf46d55ce89489d967b73a2f\9d409da061bee9f.exe','');
     QuarantineFile('C:\Users\Admin\AppData\Local\fb9ec59501b866b56573d61b41fc2b36\32e5b4cac2c4d13.exe','');
     DeleteService('32e5b4cac2c4d13.exe');
     SetServiceStart('Update Service for advPlugin', 4);
     DeleteService('Update Service for advPlugin');
     QuarantineFile('C:\Program Files (x86)\VK Downloader\Interfaces32.dll','');
     QuarantineFile('C:\Program Files (x86)\VK Downloader\Toolbar32.dll','');
     TerminateProcessByName('c:\users\admin\appdata\roaming\ssleas.exe');
     QuarantineFile('c:\users\admin\appdata\roaming\ssleas.exe','');
     TerminateProcessByName('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe');
     QuarantineFile('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe','');
     TerminateProcessByName('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe');
     QuarantineFile('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe','');
     TerminateProcessByName('c:\programdata\windows\csrss.exe');
     QuarantineFile('c:\programdata\windows\csrss.exe','');
     TerminateProcessByName('c:\users\admin\appdata\roaming\cppredistx86.exe');
     QuarantineFile('c:\users\admin\appdata\roaming\cppredistx86.exe','');
     TerminateProcessByName('c:\program files (x86)\vk downloader\backgroundsingleton.exe');
     QuarantineFile('c:\program files (x86)\vk downloader\backgroundsingleton.exe','');
     DeleteFile('c:\program files (x86)\vk downloader\backgroundsingleton.exe','32');
     DeleteFile('c:\users\admin\appdata\roaming\cppredistx86.exe','32');
     DeleteFile('c:\programdata\windows\csrss.exe','32');
     DeleteFile('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe','32');
     DeleteFile('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe','32');
     DeleteFile('c:\users\admin\appdata\roaming\ssleas.exe','32');
     DeleteFile('C:\Program Files (x86)\VK Downloader\Toolbar32.dll','32');
     DeleteFile('C:\Program Files (x86)\VK Downloader\Interfaces32.dll','32');
     DeleteFile('C:\Users\Admin\AppData\Local\fb9ec59501b866b56573d61b41fc2b36\32e5b4cac2c4d13.exe','32');
     DeleteFile('C:\Users\Admin\AppData\Local\6141a8c2bf46d55ce89489d967b73a2f\9d409da061bee9f.exe','32');
     DeleteFile('C:\Users\Admin\AppData\Local\ced660ad8659b41c9a2ecef2fdd87e61\FormatKernelProgram.exe','32');
     DeleteFile('C:\Users\Admin\AppData\Local\PirritSuggestor\PirritService.exe','32');
     DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe','32');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
     DeleteFile('C:\Program Files (x86)\eDealsPop\eDealsPop.exe','32');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eDealsPop','command');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
     DeleteFile('C:\Users\Admin\AppData\Roaming\GetNowUpdater\update.0\bin\GetNowUpdater.exe','32');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GetNowUpdater','command');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CMD','command');
     DeleteFile('C:\Program Files (x86)\adsuy\0lyGtiZi7qFQ0W.dll','32');
     DeleteFile('C:\Program Files (x86)\ccOpuNko\nuRBOHcduH5YrA.dll','32');
     DeleteFile('C:\Users\Admin\appdata\roaming\etranslator\etranslator.exe','32');
     DeleteFile('C:\Users\Admin\appdata\roaming\x11\engine.exe','32');
     DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;	
    RebootWindows(false);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Сделайте новые логи

    Сделайте лог полного сканирования МВАМ
    Сделайте логи RSIT
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. #4
    Junior Member Репутация
    Регистрация
    28.01.2015
    Адрес
    Владивосток, Россия
    Сообщений
    4
    Вес репутации
    11

    Логи

    Логи
    Вложения Вложения
    • Тип файла: txt log.txt (80.4 Кб, 2 просмотров)
    • Тип файла: txt info.txt (72.8 Кб, 0 просмотров)
    • Тип файла: txt mbam.txt (33.5 Кб, 1 просмотров)

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,243
    Вес репутации
    3015
    Ну раз сами все впихнули в карантин МВАМ, тогда сделайте новый лог RSIT
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member Репутация
    Регистрация
    28.01.2015
    Адрес
    Владивосток, Россия
    Сообщений
    4
    Вес репутации
    11
    Цитата Сообщение от thyrex Посмотреть сообщение
    Ну раз сами все впихнули в карантин МВАМ, тогда сделайте новый лог RSIT
    Извиняюсь, я не понял что от меня требуется, я создал логи info и log после того как засунул все в карантин, или этого не надо было делать? можете объяснить поподробнее ?

  8. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,243
    Вес репутации
    3015
    Пофиксите в HIJack
    Код:
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.qone8.com/web/?type=ds&ts=1399088981&from=sien&uid=WDCXWD10EZEX-00RKKA0_WD-WMC1S057597375973&q={searchTerms}
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.qone8.com/web/?type=ds&ts=1399088981&from=sien&uid=WDCXWD10EZEX-00RKKA0_WD-WMC1S057597375973&q={searchTerms}
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:28666
    Удалите вручную
    C:\Program Files (x86)\WasteNoTime
    C:\Program Files (x86)\CopUnkk
    C:\Program Files (x86)\ccOpuNko
    C:\Program Files (x86)\couinssave
    C:\ProgramData\lmcmhamjahflhjlghlkogbphidjmgaig
    C:\Program Files (x86)\adsuy
    C:\Program Files (x86)\ccoinsaVe
    C:\Program Files (x86)\TampaGeneration
    C:\ProgramData\14921784604832167312
    C:\Program Files (x86)\unIIsalues
    C:\ProgramData\flflgmbccgcihbpjaidkklapjhdlckpc
    C:\ProgramData\goffjdnfbdljhomfdbpccaildhnjjmlc
    C:\ProgramData\{5cb70d60-4f15-8724-5cb7-70d604f13581}
    C:\Users\Admin\AppData\Roaming\data13.dat
    C:\Users\Admin\AppData\Roaming\VK Downloader
    C:\Program Files (x86)\VK Downloader
    C:\Users\Admin\AppData\Roaming\advPlugin
    C:\Program Files (x86)\Аудио и видео скачивание
    C:\Program Files (x86)\advPlugin
    C:\Users\Admin\AppData\Roaming\x11
    C:\Users\Admin\AppData\Roaming\etranslator
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  9. #8
    Junior Member Репутация
    Регистрация
    28.01.2015
    Адрес
    Владивосток, Россия
    Сообщений
    4
    Вес репутации
    11
    Я все сделал
    Последний раз редактировалось BloodMan; 30.01.2015 в 08:32.

  10. #9
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,243
    Вес репутации
    3015
    С расшифровкой не поможем

    http://virusinfo.info/announcement.php?f=46&a=52
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  11. #10
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 13
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\program files (x86)\vk downloader\toolbar32.dll - not-a-virus:WebToolbar.Win32.Agent.bgn
      2. c:\program files (x86)\аудио и видео скачивание\ie\x86\downloader.dll - not-a-virus:Downloader.Win32.Agent.cvyt ( DrWEB: Trojan.Admess.4, BitDefender: Trojan.GenericKD.1996586 )
      3. c:\programdata\windows\csrss.exe - Backdoor.Win32.Androm.gcuz ( AVAST4: Win32:Malware-gen )
      4. c:\users\admin\appdata\roaming\cppredistx86.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen ( DrWEB: Trojan.Siggen6.20589, BitDefender: Trojan.Generic.11510469, AVAST4: Win32:Agent-ATWQ [Trj] )
      5. c:\users\admin\appdata\roaming\x11\engine.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ( DrWEB: Tool.BtcMine.479, BitDefender: Trojan.Generic.12296710 )


  • Уважаемый(ая) BloodMan, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 2
      Последнее сообщение: 27.01.2015, 15:47
    2. Ответов: 10
      Последнее сообщение: 22.01.2015, 22:25
    3. Зашифровались файлы в расширение .xtbl
      От Yuliaqwerty в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 19.01.2015, 23:08
    4. Зашифровались файлы в XTBL
      От Серёга_28_Rus в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 13.01.2015, 12:20

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01391 seconds with 17 queries