Добрый день!
Вирус зашифровал все файлы.
id-9661064547_btcpay
aol.com
Прошу помощи в расшифровке.
Добрый день!
Вирус зашифровал все файлы.
id-9661064547_btcpay
aol.com
Прошу помощи в расшифровке.
Уважаемый(ая) art200, спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Выполните скрипт в AVZ
Компьютер перезагрузится.Код:begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; QuarantineFile('C:\ProgramData\CreativeAudio\rjrwzmzis.exe',''); QuarantineFile('C:\ProgramData\bett2f00\rjrwzmzis.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\downloader.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe',''); QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\ssndii.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\splwow64.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\hh.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\HelpPane.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\ververyunique_dir_name\my_hsvlbynasd.exe',''); QuarantineFile('C:\Users\Администратор\Documents\CommonData\Winhlp31.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\onvbx\onvbx.exe',''); QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\Ashwhw.exe',''); QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\x2ed.exe',''); QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\rdpdzohzppl.exe',''); QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\KB08108339.exe',''); QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\KB04520955.exe',''); QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-319234\1aj384x.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-17814835\e8rvrg1.exe',''); QuarantineFile('C:\ProgramData\Windows\csrss.exe',''); QuarantineFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe',''); QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe',''); QuarantineFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe',''); DeleteFile('C:\Program Files (x86)\Common Files\Distribute Application\appdistrib.exe','32'); DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32'); DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32'); DeleteFile('C:\ProgramData\Windows\csrss.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-17814835\e8rvrg1.exe','32'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-319234\1aj384x.exe','32'); DeleteFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe','32'); DeleteFile('C:\Users\836D~1\AppData\Local\Temp\KB04520955.exe','32'); DeleteFile('C:\Users\836D~1\AppData\Local\Temp\KB08108339.exe','32'); DeleteFile('C:\Users\836D~1\AppData\Local\Temp\rdpdzohzppl.exe','32'); DeleteFile('C:\Users\836D~1\AppData\Local\Temp\x2ed.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftDfCnt'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftSrCnt'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftStCnt'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','rdpdzohzppl.exe'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicrosoftSfCnt'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','KB04520955.exe'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','a1b34j4'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ek8rrgg'); DeleteFile('C:\Users\Администратор\AppData\Local\ok.bat','32'); DeleteFile('C:\Users\Администратор\AppData\Local\vk.bat','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\Ashwhw.exe','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\onvbx\onvbx.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Update'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ashwhw'); DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe','32'); DeleteFile('C:\Users\Администратор\Documents\CommonData\Winhlp31.exe','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\ververyunique_dir_name\my_hsvlbynasd.exe','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\eTranslator\eTranslator.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft AMP'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft AMP'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Winhlp31'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ssndii.exe'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','splwow64.exe'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','hh.exe'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','HelpPane.exe'); DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\HelpPane.exe','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\hh.exe','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\splwow64.exe','32'); DeleteFile('C:\Users\Администратор\AppData\Roaming\XTREME-E0SLEQ6E\ssndii.exe','32'); DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32'); DeleteFile('C:\Windows\system32\Tasks\chrome5','64'); DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64'); DeleteFile('C:\Windows\system32\Tasks\extsetup','64'); DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe','32'); DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','64'); DeleteFile('C:\Windows\system32\Tasks\appdistrib','64'); DeleteFile('C:\Windows\system32\Tasks\Microsoft Downloader','64'); DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\downloader.exe','32'); DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64'); DeleteFile('C:\ProgramData\bett2f00\rjrwzmzis.exe','32'); DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x04200134','64'); DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC','64'); DeleteFile('C:\ProgramData\CreativeAudio\rjrwzmzis.exe','32'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(false); end.
Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением темы.
Сделайте новые логи по правилам
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Добрый день!
Файл в карантин отправил, новыеи логи сделал
Зловреда еще на компе, так как вчерашние логи уже зашифрованы
Сделайте лог полного сканирования МВАМ
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Добрый день!
Сделал проверку, логи прикладываю.
Удалите в МВАМ все найденное
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Добрый день!
Все сделано.
- - - - -Добавлено - - - - -
Подскажите как убрать из браузера (IE) рекламу казино вулкан?
И как убрать заставку-сообщение о шифровании файлов, которая появляется каждый раз при загрузке.
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
- Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
- Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
- Нажмите кнопку Scan.
- После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
- Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Добрый день!
Все сделано по инструкции
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
Код:CreateRestorePoint: HKU\S-1-5-21-680076848-2757899757-79060170-500\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2871808 2011-02-25] (Microsoft Corporation) <==== ATTENTION FF Plugin: @microsoft.com/GENUINE -> disabled No File FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll No File OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-04-13] OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\baohinapilmkigilbbbcccncoljkdpnd [2015-04-22] OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhloflhklmhfpedakmangadcdofhnnoh [2015-03-06] OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-12-09] OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\fnbdnhhicmebfgdgglcdacdapkcihcoh [2015-01-30] OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\gmbgaklkmjakoegficnlkhebmhkjfich [2015-03-26] OPR Extension: (SocialLife for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\kejbdjndbnbjgmefkgdddjlbokphdefk [2015-03-16] OPR Extension: (SL for Google Chrome™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-05-19] 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README9.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README8.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README7.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README6.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README5.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README4.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README3.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README2.txt 2015-05-19 13:16 - 2015-05-19 13:16 - 00000901 _____ () C:\README10.txt 2015-05-19 13:14 - 2015-05-19 13:14 - 00310662 _____ () C:\Users\Администратор\AppData\Roaming\btcpay.bmp 2015-05-19 13:13 - 2015-05-20 09:02 - 00000000 __SHD () C:\Users\Все пользователи\Windows 2014-12-10 10:13 - 2014-12-10 10:13 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\380A.exe 2014-09-23 12:16 - 2014-09-23 12:16 - 0000395 _____ () C:\Users\Администратор\AppData\Roaming\51D3.exe 2014-11-28 13:29 - 2014-11-28 13:29 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\81BC.exe 2014-11-25 09:39 - 2014-11-25 09:39 - 0000000 _____ () C:\Users\Администратор\AppData\Roaming\B39A.exe 2015-05-19 13:14 - 2015-05-19 13:14 - 0310662 _____ () C:\Users\Администратор\AppData\Roaming\btcpay.bmp 2014-09-23 12:02 - 2014-09-23 12:02 - 0000395 _____ () C:\Users\Администратор\AppData\Roaming\C08A.exe 2014-12-10 10:00 - 2014-12-10 10:00 - 0001245 _____ () C:\Users\Администратор\AppData\Roaming\D61A.exe 2014-09-25 10:01 - 2014-09-25 10:01 - 0000285 _____ () C:\Users\Администратор\AppData\Roaming\F2F7.exe 2014-11-26 13:19 - 2014-11-26 13:19 - 0016352 _____ () C:\Users\Администратор\AppData\Roaming\F3C8.exe 2015-05-20 07:52 - 2015-05-20 07:52 - 6220854 _____ () C:\Users\Администратор\AppData\Roaming\FDAC20D5FDAC20D5.bmp Reboot:
- Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
- Обратите внимание, что компьютер будет перезагружен.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 2
- В ходе лечения обнаружены вредоносные программы:
- c:\programdata\windows\csrss.exe - Backdoor.Win32.Androm.gxcf ( AVAST4: Win32:Malware-gen )
- c:\users\администратор\appdata\roaming\microsoft\w indows\start menu\programs\startup\svchost.exe - P2P-Worm.Win32.Palevo.hrlt ( AVAST4: Win32:Trojan-gen )
Уважаемый(ая) art200, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.