Файлы зашифрованы в .xtbl [not-a-virus:AdWare.Win32.Vopak.akp, not-a-virus:HEUR:Adware.NSIS.ConvertAd.heur ]

[Svjatko]

Здравствуйте, помогите пожалуйста. Все файлы зашифрованы и вместо файлов теперь длинные названия с расширением .xtbl

С помощью утилиты Dr. Web CureIt проверил комп и было обнаружено 198 вирусов - лог додается.
http://www.ex.ua/995632879329

Потом проделал вашими утилитами скрипты - логи предоставил.

Если надо будет заплатить чтобы вы качественно расшифровали, то скажите процедуру кто первый должен платить и какие гарантии, что ваш скрипт позволит хорошо расшифровать.

[Info_bot]

Уважаемый(ая) Svjatko, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Уведомление

Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.43

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);    
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;;
 TerminateProcessByName('c:\documents and settings\Администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260\nsw293.tmp');
 DelBHO('{D5FEC983-01DB-414a-9456-AF95AC9ED7B5}');
 DelBHO('{fe063412-bea4-4d76-8ed3-183be6220d17}');
 StopService('hypixyje'); 
 QuarantineFile('c:\documents and settings\Администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260\nsw293.tmp','');
 QuarantineFileF('c:\documents and settings\Администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260', '*', false,'', 0, 0);
 QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa\kometaup.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa\Panel\KometaLaunchPanel.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.url','');
 QuarantineFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','');
 QuarantineFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','');
 QuarantineFile('C:\Program Files\BonanzaDeals\BonanzaDealsUpdate.exe','');
 DeleteFile('c:\documents and settings\Администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260\nsw293.tmp','32');
 DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa\kometaup.exe','32');
 DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa\Panel\KometaLaunchPanel.exe','32');
 DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.url','32');
 DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
 DeleteFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','32');
 DeleteFile('C:\Program Files\BonanzaDeals\BonanzaDealsUpdate.exe','32');
 DeleteFileMask('C:\Program Files\AnyProtectEx', '*', true, ' ');
 DeleteDirectory('C:\Program Files\AnyProtectEx');
 DeleteFileMask('C:\Program Files\BonanzaDeals', '*', true, ' ');
 DeleteDirectory('C:\Program Files\BonanzaDeals');
 DeleteFileMask('C:\Program Files\BonanzaDealsLive', '*', true, ' ');
 DeleteDirectory('C:\Program Files\BonanzaDealsLive');
 DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa', '*', true, ' ');
 DeleteDirectory('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa');
 DeleteFileMask('c:\documents and settings\Администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260', '*', true, ' ');
 DeleteDirectory('c:\documents and settings\Администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260');
 DeleteFile('C:\windows\Tasks\APSnotifierPP1.job','32');
 DeleteFile('C:\windows\Tasks\APSnotifierPP2.job','32');
 DeleteFile('C:\windows\Tasks\APSnotifierPP3.job','32');
 DeleteFile('C:\windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
 DeleteFile('C:\windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
 DeleteFile('C:\windows\Tasks\BonanzaDealsUpdate.job','32');
 DeleteService('hypixyje');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KometaLaunchPanel','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kometaup','command');
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
 RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW', 2, 3, true);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Приложите новые логи AVZ

[Svjatko]

Добрый день!!!
Все сделал как вы написали, архив на карантин прикрепил, а вот новых логов я не нашел. Только логи за 01 08 2015. Может опять запустить первый скрипт???
Мне очень нужно востановить ети файлы там много детских фото а также личных, если нужно заплатить я заплачу, только не тому кто ето мне сделал. Вот мой ел адрес [email protected]

[SQ]

Только логи за 01 08 2015. Может опять запустить первый скрипт???

Да, Сделайте новые логи AVZ, как делали ранее.

[Svjatko]

Раньше я запускал "Стандартные скрипты" согласно инструкции и они автоматически создавали логи. В вашем скрипте не прописано автоматически создать логи, потому их негде нет. Я выбирал "Выполнить скрипт" вставлял ваш код и нажимал запустить после того комп перезагрузился и логов я не могу найти. Даже папки "Лог" скрипт автоматически не создал.

[SQ]

Так от Вас требуется также запустить "Стандартные скрипты" согласно правилам создать новые логи AVZ.

P.S. Скрипт не нужно заново запускать.

[Svjatko]

Предоставляю логи

[SQ]

Логи соответствуют ранее загруженным, от Вас требовалось предоставить логи вида virusinfo_syscure.zip, virusinfo_syscheck.zip, только новые.

[Svjatko]

извиняюсь, вот они

[SQ]

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);    
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Xpom\Application\run_chrome.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa\Application\kometa.exe', '');
 DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Kometa\Application\kometa.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KometaAutoLaunch_1C303B7E1CCC0A6FFA26C08512F7CD81','command');
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
 RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW', 2, 3, true);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

- Сделайте лог Check Browsers' LNK и приложите его в теме.

[Svjatko]

Логи предоставил

[SQ]

[*]Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке


[*]Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Svjatko]

Добрый день! Логи я то прикрепил, но думаю что все идет к тому что вы просто очищаете мой комп и все, а с расшифровкой вы не поможете.
Я уже говорил напишите мне в личку кто сможет расшифровать эти данные. Кто сможет какой то код написать на дизассемблере, чтобы сделать все то же что вирус, только наоборот?

[SQ]

Добрый день! Логи я то прикрепил, но думаю что все идет к тому что вы просто очищаете мой комп и все, а с расшифровкой вы не поможете.
Я уже говорил напишите мне в личку кто сможет расшифровать эти данные. Кто сможет какой то код написать на дизассемблере, чтобы сделать все то же что вирус, только наоборот?

Да, все идет к тому, чтобы очистить компьютер от вредоносного ПО, для того чтобы не наносили и далее ущерб Вашему ПК.
К сожалению с расшифровкой не поможем.

[Svjatko]

Да, все идет к тому, чтобы очистить компьютер от вредоносного ПО, для того чтобы не наносили и далее ущерб Вашему ПК.
К сожалению с расшифровкой не поможем.

Спасибо

[SQ]

Если Вы желаете и дальше продолжить инструкции по очистки ПК от вредоносного ПО, то предоставьте логи следуя инструкциям:

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 20
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260\nsw293.tmp - not-a-virus:AdWare.Win32.Vopak.akp
  2. c:\documents and settings\администратор\application data\6eb7ba8b-1427025809-da11-a372-000ea68f7260\uninstall.exe - not-a-virus:HEUR:Adware.NSIS.ConvertAd.heur