Все файлы зашифровались в XTBL [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen, not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ]

[BloodMan]

Включил утром компьютер, но все файлы (документы, картинаки, музыка, видео и прочее) оказались зашифрованы и переименованы в файлы расширения ".XTBL".На фоне рабочего стола рисунок с требованием отправить специальный код на [email protected] или [email protected], чтобы получить дальнейшие инструкции.Пример зашифрованного файла http://www.fayloobmennik.net/4541018

[Info_bot]

Уважаемый(ая) BloodMan, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
 QuarantineFile('C:\Users\Admin\appdata\roaming\x11\engine.exe','');
 QuarantineFile('C:\Users\Admin\appdata\roaming\etranslator\etranslator.exe','');
 DelBHO('{7CE987D5-11B3-44FC-9C3D-03069360D462}');
 DelBHO('{cfda5cac-9fdf-4b62-a646-863ee01a031f}');
 DelBHO('{80056886-ac51-49d4-b659-e87017e5e1b2}');
 DelBHO('{3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6}');
 QuarantineFile('C:\Program Files (x86)\ccOpuNko\nuRBOHcduH5YrA.dll','');
 QuarantineFile('C:\Program Files (x86)\adsuy\0lyGtiZi7qFQ0W.dll','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\GetNowUpdater\update.0\bin\GetNowUpdater.exe','');
 DeleteService('PirritDesktop');
 QuarantineFile('C:\Users\Admin\AppData\Local\PirritSuggestor\PirritService.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\ced660ad8659b41c9a2ecef2fdd87e61\FormatKernelProgram.exe','');
 DeleteService('FormatKernelProgram.exe');
 DeleteService('9d409da061bee9f.exe');
 QuarantineFile('C:\Users\Admin\AppData\Local\6141a8c2bf46d55ce89489d967b73a2f\9d409da061bee9f.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\fb9ec59501b866b56573d61b41fc2b36\32e5b4cac2c4d13.exe','');
 DeleteService('32e5b4cac2c4d13.exe');
 SetServiceStart('Update Service for advPlugin', 4);
 DeleteService('Update Service for advPlugin');
 QuarantineFile('C:\Program Files (x86)\VK Downloader\Interfaces32.dll','');
 QuarantineFile('C:\Program Files (x86)\VK Downloader\Toolbar32.dll','');
 TerminateProcessByName('c:\users\admin\appdata\roaming\ssleas.exe');
 QuarantineFile('c:\users\admin\appdata\roaming\ssleas.exe','');
 TerminateProcessByName('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe');
 QuarantineFile('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe','');
 TerminateProcessByName('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe');
 QuarantineFile('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe','');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('c:\programdata\windows\csrss.exe','');
 TerminateProcessByName('c:\users\admin\appdata\roaming\cppredistx86.exe');
 QuarantineFile('c:\users\admin\appdata\roaming\cppredistx86.exe','');
 TerminateProcessByName('c:\program files (x86)\vk downloader\backgroundsingleton.exe');
 QuarantineFile('c:\program files (x86)\vk downloader\backgroundsingleton.exe','');
 DeleteFile('c:\program files (x86)\vk downloader\backgroundsingleton.exe','32');
 DeleteFile('c:\users\admin\appdata\roaming\cppredistx86.exe','32');
 DeleteFile('c:\programdata\windows\csrss.exe','32');
 DeleteFile('c:\program files (x86)\advplugin\basement\extensionupdaterservice.exe','32');
 DeleteFile('c:\program files (x86)\vk downloader\basement\extensionupdaterservice.exe','32');
 DeleteFile('c:\users\admin\appdata\roaming\ssleas.exe','32');
 DeleteFile('C:\Program Files (x86)\VK Downloader\Toolbar32.dll','32');
 DeleteFile('C:\Program Files (x86)\VK Downloader\Interfaces32.dll','32');
 DeleteFile('C:\Users\Admin\AppData\Local\fb9ec59501b866b56573d61b41fc2b36\32e5b4cac2c4d13.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Local\6141a8c2bf46d55ce89489d967b73a2f\9d409da061bee9f.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Local\ced660ad8659b41c9a2ecef2fdd87e61\FormatKernelProgram.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Local\PirritSuggestor\PirritService.exe','32');
 DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
 DeleteFile('C:\Program Files (x86)\eDealsPop\eDealsPop.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eDealsPop','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\Users\Admin\AppData\Roaming\GetNowUpdater\update.0\bin\GetNowUpdater.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GetNowUpdater','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CMD','command');
 DeleteFile('C:\Program Files (x86)\adsuy\0lyGtiZi7qFQ0W.dll','32');
 DeleteFile('C:\Program Files (x86)\ccOpuNko\nuRBOHcduH5YrA.dll','32');
 DeleteFile('C:\Users\Admin\appdata\roaming\etranslator\etranslator.exe','32');
 DeleteFile('C:\Users\Admin\appdata\roaming\x11\engine.exe','32');
 DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[BloodMan]

Логи

[thyrex]

Ну раз сами все впихнули в карантин МВАМ, тогда сделайте новый лог RSIT

[BloodMan]

Ну раз сами все впихнули в карантин МВАМ, тогда сделайте новый лог RSIT

Извиняюсь, я не понял что от меня требуется, я создал логи info и log после того как засунул все в карантин, или этого не надо было делать? можете объяснить поподробнее ?

[thyrex]

Пофиксите в HIJack

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.qone8.com/web/?type=ds&ts=1399088981&from=sien&uid=WDCXWD10EZEX-00RKKA0_WD-WMC1S057597375973&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.qone8.com/web/?type=ds&ts=1399088981&from=sien&uid=WDCXWD10EZEX-00RKKA0_WD-WMC1S057597375973&q={searchTerms}
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:28666

Удалите вручную

C:\Program Files (x86)\WasteNoTime
C:\Program Files (x86)\CopUnkk
C:\Program Files (x86)\ccOpuNko
C:\Program Files (x86)\couinssave
C:\ProgramData\lmcmhamjahflhjlghlkogbphidjmgaig
C:\Program Files (x86)\adsuy
C:\Program Files (x86)\ccoinsaVe
C:\Program Files (x86)\TampaGeneration
C:\ProgramData\14921784604832167312
C:\Program Files (x86)\unIIsalues
C:\ProgramData\flflgmbccgcihbpjaidkklapjhdlckpc
C:\ProgramData\goffjdnfbdljhomfdbpccaildhnjjmlc
C:\ProgramData\{5cb70d60-4f15-8724-5cb7-70d604f13581}
C:\Users\Admin\AppData\Roaming\data13.dat
C:\Users\Admin\AppData\Roaming\VK Downloader
C:\Program Files (x86)\VK Downloader
C:\Users\Admin\AppData\Roaming\advPlugin
C:\Program Files (x86)\Аудио и видео скачивание
C:\Program Files (x86)\advPlugin
C:\Users\Admin\AppData\Roaming\x11
C:\Users\Admin\AppData\Roaming\etranslator

[BloodMan]

Я все сделал

[thyrex]

С расшифровкой не поможем

http://virusinfo.info/announcement.php?f=46&a=52

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\vk downloader\toolbar32.dll - not-a-virus:WebToolbar.Win32.Agent.bgn
  2. c:\program files (x86)\аудио и видео скачивание\ie\x86\downloader.dll - not-a-virus:Downloader.Win32.Agent.cvyt ( DrWEB: Trojan.Admess.4, BitDefender: Trojan.GenericKD.1996586 )
  3. c:\programdata\windows\csrss.exe - Backdoor.Win32.Androm.gcuz ( AVAST4: Win32:Malware-gen )
  4. c:\users\admin\appdata\roaming\cppredistx86.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen ( DrWEB: Trojan.Siggen6.20589, BitDefender: Trojan.Generic.11510469, AVAST4: Win32:Agent-ATWQ [Trj] )
  5. c:\users\admin\appdata\roaming\x11\engine.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.wzo ( DrWEB: Tool.BtcMine.479, BitDefender: Trojan.Generic.12296710 )