Все файлы на всех дисках были зашифрованы в формат .xtbl [not-a-virus:RiskTool.Win32.AVDown.k, not-a-virus:RiskTool.Win32.SearchProtect.a ]

**AlecksMerser** · 12.04.2015, 14:11

Во время работы в интернете фоновый рисунок рабочего стола был изменён на картинку с надписью "Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы. Вся информация по дешифровке находится в Readme". Все файлы зашифровали в формат .xtbl . Помогите.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 12.04.2015, 14:12

Уважаемый(ая) AlecksMerser, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 12.04.2015, 15:32

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Саша\AppData\Roaming\newSI_4667\s_inst.exe','');
 QuarantineFile('C:\Users\Саша\AppData\Roaming\newSI_23\s_inst.exe','');
 DelBHO('{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}');
 QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
 QuarantineFile('C:\PROGRA~2\SEARCH~1\SEARCH~1\bin\VC64LO~1.DLL','');
 QuarantineFile('C:\PROGRA~2\SEARCH~1\SEARCH~1\bin\VC32LO~1.DLL','');
 DeleteService('iSafeKrnlBoot');
 SetServiceStart('iSafeNetFilter', 4);
 DeleteService('iSafeNetFilter');
 SetServiceStart('iSafeKrnlR3', 4);
 DeleteService('iSafeKrnlR3');
 SetServiceStart('iSafeKrnlMon', 4);
 DeleteService('iSafeKrnlMon');
 SetServiceStart('iSafeKrnlKit', 4);
 DeleteService('iSafeKrnlKit');
 SetServiceStart('iSafeKrnl', 4);
 DeleteService('iSafeKrnl');
 SetServiceStart('winzipersvc', 4);
 DeleteService('winzipersvc');
 QuarantineFile('C:\Windows\mlwps.exe','');
 QuarantineFile('C:\Program Files (x86)\SearchProtect\Main\bin\CltMngSvc.exe','');
 SetServiceStart('CltMngSvc', 4);
 DeleteService('CltMngSvc');
 QuarantineFile('c:\program files (x86)\winzipper\winzipersvc.exe','');
 TerminateProcessByName('c:\program files (x86)\winzipper\winzipersvc.exe');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('c:\programdata\windows\csrss.exe','');
 TerminateProcessByName('c:\program files (x86)\searchprotect\main\bin\cltmngsvc.exe');
 QuarantineFile('c:\program files (x86)\searchprotect\main\bin\cltmngsvc.exe','');
 DeleteFile('c:\program files (x86)\searchprotect\main\bin\cltmngsvc.exe','32');
 DeleteFile('c:\programdata\windows\csrss.exe','32');
 DeleteFile('c:\program files (x86)\winzipper\winzipersvc.exe','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\iSafeNetFilter.sys','32');
 DeleteFile('C:\Program Files (x86)\SearchProtect\Main\bin\CltMngSvc.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\iSafeKrnlBoot.sys','32');
 DeleteFile('C:\PROGRA~2\SEARCH~1\SEARCH~1\bin\VC32LO~1.DLL','32');
 DeleteFile('C:\PROGRA~2\SEARCH~1\SEARCH~1\bin\VC64LO~1.DLL','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\Users\Саша\AppData\Local\Amigo\Application\amigo.exe','32');
 DeleteFile('C:\Users\Саша\AppData\Local\Amigo\Application\ok.exe','32');
 DeleteFile('C:\Users\Саша\AppData\Local\Amigo\Application\vk.exe','32');
 DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
 DeleteFile('C:\Users\Саша\AppData\Roaming\newSI_23\s_inst.exe','32');
 DeleteFile('C:\Users\Саша\AppData\Roaming\newSI_4667\s_inst.exe','32');
 DeleteFile('C:\Windows\Tasks\newSI_4667.job','64');
 DeleteFile('C:\Windows\Tasks\newSI_23.job','64');
 DeleteFile('C:\Windows\system32\Tasks\newSI_23','64');
 DeleteFile('C:\Windows\system32\Tasks\newSI_4667','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Сделайте новые логи по правилам

**AlecksMerser** · 12.04.2015, 18:32

Готово

**thyrex** · 13.04.2015, 18:17

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**AlecksMerser** · 13.04.2015, 21:05

Сделано

**thyrex** · 14.04.2015, 19:35

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=ds&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = 0x00
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=ds&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 0x00
HKU\S-1-5-21-523430158-2520174961-1840899593-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=ds&ts=1414228851&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166&q={searchTerms}
HKU\S-1-5-21-523430158-2520174961-1840899593-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
HKU\S-1-5-21-523430158-2520174961-1840899593-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
HKU\S-1-5-21-523430158-2520174961-1840899593-1000\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://ru.msn.com/
HKU\S-1-5-21-523430158-2520174961-1840899593-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=ds&ts=1414228851&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166&q={searchTerms}
HKU\S-1-5-21-523430158-2520174961-1840899593-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
SearchScopes: HKU\S-1-5-21-523430158-2520174961-1840899593-1000 -> {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://www.trovi.com/Results.aspx?gd=&ctid=CT3325585&octid=EB_ORIGINAL_CTID&ISID=MFF23603F-5328-4B3D-84B4-FFB3F337437A&SearchSource=58&CUI=&UM=5&UP=SPAE501E8A-15DC-4DF0-AD8D-B5E362868AB1&q={searchTerms}&SSPV=
SearchScopes: HKU\S-1-5-21-523430158-2520174961-1840899593-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://istart.webssearches.com/web/?type=ds&ts=1418210779&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166&q={searchTerms}
SearchScopes: HKU\S-1-5-21-523430158-2520174961-1840899593-1000 -> {2E57EF74-B069-48AF-AE59-FA284881F311} URL = http://goinf.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-523430158-2520174961-1840899593-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = http://webalta.ru/search?q={searchTerms}&from=IE
Toolbar: HKU\S-1-5-21-523430158-2520174961-1840899593-1000 -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File
FF SearchPlugin: C:\Users\Саша\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\webalta-search.xml [2013-10-03]
FF Extension: Network Security v14.5.29 - C:\Users\Саша\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2014-06-01]
FF Extension: Screeny - C:\Users\Саша\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{17238372-3743-33ab-8a9f-93722af74c79} [2014-06-28]
FF Extension: site_navigation - C:\Users\Саша\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2014-07-25]
CHR HomePage: Default -> hxxp://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166
CHR StartupUrls: Default -> "hxxp://istart.webssearches.com/?type=hp&ts=1420882166&from=irs&uid=SAMSUNGXHD322HJ_S17AJ1KS207166"
CHR DefaultSearchKeyword: Default -> webssearches
CHR HKLM-x32\...\Chrome\Extension: [bjjlbcacffbohhnhgmkdebadjbncnhag] - C:\Program Files (x86)\Аудио и видео скачивание\avdownloader-sk.crx [2014-07-25]
OPR Extension: (NetSecurity) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\aapbdbdomjkkjkaonfhkkikfgjllcleb [2014-06-01]
OPR Extension: (Audio Informer) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\ainmdbchbbpamcfcjknekaocfakdnajd [2014-06-14]
OPR Extension: (Скачивание музыки с ВК) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\bjjlbcacffbohhnhgmkdebadjbncnhag [2014-07-25]
OPR Extension: (Site navigation) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\cfafloknjegbmpkhaaoacllnngplcppa [2014-07-25]
OPR Extension: (advPlugin) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\dkgpajbdcbgaciibdeknligdaofmegma [2014-07-25]
OPR Extension: (Site navigation) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\gpfbncnkoeocopnpcacbbkdljdfhekcl [2014-07-25]
OPR Extension: (Screeny) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnjejilcobdkeaholenhgcchnelddigl [2014-06-28]
OPR Extension: (ХромоКупоно) - C:\Users\Саша\AppData\Roaming\Opera Software\Opera Stable\Extensions\nempgcppdjebbgbbdbanlogeieombmgn [2014-06-14]
R2 PrivoxyService; C:\Program Files (x86)\Jelbrus Secure Web\privoxy.exe [443202 2015-02-07] (The Privoxy team - www.privoxy.org) [File not signed] <==== ATTENTION
2015-04-11 22:05 - 2015-04-12 20:05 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2015-04-11 22:05 - 2015-04-12 20:05 - 00000000 __SHD () C:\ProgramData\Windows
2015-04-07 21:03 - 2015-04-12 01:55 - 00000000 ____D () C:\Users\Саша\AppData\Roaming\x11
2015-04-07 14:27 - 2015-04-07 14:27 - 00442896 _____ () C:\Users\Саша\AppData\Roaming\data13.dat
2014-06-14 15:14 - 2014-06-14 15:14 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
2015-02-07 15:22 - 2015-02-07 15:22 - 0000000 _____ () C:\Users\Саша\AppData\Roaming\4F0B.tmp
2015-02-07 15:22 - 2015-02-07 15:22 - 0851968 _____ () C:\Users\Саша\AppData\Roaming\4F0B.tmp.exe
2015-04-07 14:27 - 2015-04-07 14:27 - 0442896 _____ () C:\Users\Саша\AppData\Roaming\data13.dat
2014-12-04 20:59 - 2014-12-05 15:41 - 0000690 _____ () C:\Users\Саша\AppData\Roaming\del.bat
Task: {14D8B438-34DC-44A2-90DC-AE20138B8DC7} - \{230121F9-D194-4DDB-92AA-836498A3555D} No Task File <==== ATTENTION
Task: {1A4C63C5-E227-432C-97DF-72F5B79DFE19} - \{700F06F1-8048-4AB4-B0B1-9590FF3411A2} No Task File <==== ATTENTION
Task: {280FCDE4-93FA-48E7-8428-791CB1FA9B25} - \{1C88B3C6-9098-493B-80B7-827F35852ECF} No Task File <==== ATTENTION
Task: {732C6843-59BF-4020-9DFE-88DE8819746C} - \GPUP No Task File <==== ATTENTION
Task: {75C2EA69-7F4F-46B2-B482-A0730EF319F0} - \Microsoft\Windows\Media Center\ObjectStoreRecoveryTask No Task File <==== ATTENTION
Task: {DC61D6AE-D3D8-4E48-A1E1-1B8FD38756C4} - \Microsoft\Windows\Media Center\MediaCenterRecoveryTask No Task File <==== ATTENTION
Task: {DDA485AB-4B2C-4B7A-906C-4A252A05716E} - System32\Tasks\Jelbrus Secure Web Task => C:\Program Files (x86)\Jelbrus Secure Web\jswtask.exe [2015-02-07] () <==== ATTENTION
Task: {EA13B025-47AD-427D-B418-55A79981FC1C} - \Выкл. No Task File <==== ATTENTION
Task: {F3453C64-D911-453F-B463-1523CD2DDCD1} - \Microsoft\Windows\Media Center\SqlLiteRecoveryTask No Task File <==== ATTENTION
Task: {F55BE880-31AB-44EA-AE68-8A6A02FF0D44} - \Microsoft\Windows\Media Center\PvrScheduleTask No Task File <==== ATTENTION
Task: {F8EFDDEC-04C2-483B-A9C8-A468E96B6A04} - System32\Tasks\mcleaner => C:\Users\Саша\AppData\Roaming\4F0B.tmp.exe [2015-02-07] () <==== ATTENTION
Reboot:

Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**AlecksMerser** · 14.04.2015, 20:23

Всё как сказали

**thyrex** · 14.04.2015, 22:14

С расшифровкой не поможем.
Как вариант, http://virusinfo.info/showthread.php?t=156188

**AlecksMerser** · 15.04.2015, 15:54

И на том спасибо

**CyberHelper** · 15.04.2015, 16:04

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 9
В ходе лечения обнаружены вредоносные программы:
1. c:\program files (x86)\searchprotect\main\bin\cltmngsvc.exe - not-a-virus:RiskTool.Win32.SearchProtect.a ( DrWEB: Adware.Conduit.207 )
2. c:\program files (x86)\аудио и видео скачивание\ie\x86\downloader.dll - not-a-virus:RiskTool.Win32.AVDown.k ( DrWEB: Trojan.Admess.4, BitDefender: Trojan.GenericKD.1890088 )
3. c:\programdata\windows\csrss.exe - Trojan.Win32.Fsysna.btpp ( AVAST4: Win32:Malware-gen )
4. c:\progra~2\search~1\search~1\bin\vc32lo~1.dll - not-a-virus:RiskTool.Win32.SearchProtect.a ( BitDefender: Application.SearchProtect.AG )
5. c:\progra~2\search~1\search~1\bin\vc64lo~1.dll - not-a-virus:RiskTool.Win32.SearchProtect.a ( BitDefender: Application.SearchProtect.AF )
6. c:\users\саша\appdata\roaming\newsi_23\s_inst.exe - not-a-virus:AdWare.Win32.MMag.k ( DrWEB: Trojan.Fakealert.47029, BitDefender: Gen:Variant.Adware.Graftor.154914, AVAST4: Win32:Evo-gen [Susp] )
7. c:\users\саша\appdata\roaming\newsi_4667\s_inst.ex e - not-a-virus:AdWare.Win32.MMag.k ( DrWEB: Trojan.Fakealert.47029, BitDefender: Gen:Variant.Adware.Graftor.154914, AVAST4: Win32:Evo-gen [Susp] )

Все файлы на всех дисках были зашифрованы в формат .xtbl [not-a-virus:RiskTool.Win32.AVDown.k, not-a-virus:RiskTool.Win32.SearchProtect.a ] (заявка № 181695)

Опции темы

Все файлы на всех дисках были зашифрованы в формат .xtbl [not-a-virus:RiskTool.Win32.AVDown.k, not-a-virus:RiskTool.Win32.SearchProtect.a ]

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Итог лечения

Похожие темы

Файлы на всех дисках были зашифрованы xtbl

Внимание! Все важные файлы на всех дисках были зашифрованы.

Все важные файлы на всех дисках были зашифрованы.

Все файлы на компьютере были зашифрованы и превратились в формат *.XTBL

Ваши права в разделе