Шифрованные файлы *[email protected]

[Bekish]

Зашифровались все офисные файлы и приняли следующий вид:[email protected]
Помогите пожалуйста! Заранее Спасибо!
virusinfo_syscure.zipvirusinfo_syscheck.ziphijackthis.log

[Info_bot]

Уважаемый(ая) Bekish, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\SystemDir\nethost.exe','');
 QuarantineFile('E:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\Накладные и pdf.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentoolkit.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentool.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentkup.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\Microsoft\Extensions\safebrowser.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Local Settings\Application Data\ConvertAd\ConvertAd.exe','');
 QuarantineFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','');
 QuarantineFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk','');
 DeleteService('bd0002');
 SetServiceStart('BDSafeBrowser', 4);
 DeleteService('BDSafeBrowser');
 SetServiceStart('BDMWrench', 4);
 DeleteService('BDMWrench');
 SetServiceStart('BDArKit', 4);
 DeleteService('BDArKit');
 SetServiceStart('bd0004', 4);
 DeleteService('bd0004');
 SetServiceStart('bd0001', 4);
 DeleteService('bd0001');
 DeleteService('servervo');
 QuarantineFile('E:\Documents and Settings\Admin\Application Data\VOPackage\VOsrv.exe','');
 QuarantineFile('E:\Program Files\ver1BlockAndSurf\Z5QL180.exe','');
 DeleteService('BlockAndSurf');
 DeleteService('BDSGRTP');
 DeleteFile('E:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe','32');
 DeleteFile('E:\Program Files\ver1BlockAndSurf\Z5QL180.exe','32');
 DeleteFile('E:\Documents and Settings\Admin\Application Data\VOPackage\VOsrv.exe','32');
 DeleteFile('E:\WINDOWS\system32\DRIVERS\BDSafeBrowser.sys','32');
 DeleteFile('E:\WINDOWS\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('E:\WINDOWS\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('E:\WINDOWS\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('E:\WINDOWS\system32\DRIVERS\bd0002.sys','32');
 DeleteFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk','32');
 DeleteFile('E:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk','32');
 DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\ConvertAd\ConvertAd.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ConvertAd','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MailRuUpdater');
 DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\Microsoft\Extensions\safebrowser.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser');
 DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentkup.exe','32');
 DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentool.exe','32');
 DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\screentk\screentoolkit.exe','32');
 DeleteFile('E:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\Накладные и pdf.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentoolkit.exe','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentk','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\screentkUpdater','command');
 DeleteFile('E:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','KRB Updater Utility');
 DeleteFile('E:\Documents and Settings\Admin\Local Settings\Application Data\SystemDir\nethost.exe','32');
 DeleteFile('E:\WINDOWS\Tasks\nethost task.job','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Bekish]

Новые логи

[thyrex]

Сделайте лог полного сканирования МВАМ

[Bekish]

Лог

[thyrex]

Удалите в МВАМ все, кроме

PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|FirewallDisableNotify, 1, Good: (0), Bad: (1),,[a001c3495c2fa591dce858fb58ad0df3]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UpdatesDisableNotify, 1, Good: (0), Bad: (1),,[c6db7f8dcbc03cfa5b6a5300e91ca15f]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|AntiVirusDisableNotify, 1, Good: (0), Bad: (1),,[cbd6da328b005dd9695aaba832d355ab]

RiskWare.Tool.CK, D:\Disk_D\ВСЕ\Best Soft №7 2008\Архиваторы\WinRAR 3.71 Rus  XP, Vista\Crack.exe, , [cbd650bcd8b382b4e53697cbdd23768a], 
RiskWare.Tool.CK, D:\Disk_D\ВСЕ\Best Soft №7 2008\Графика\CorelDraw X3  SP2 Rus & Eng Xp, Vista\Crack\keygen.exe, , [8f1265a75536c373ac392b3cd43160a0], 
PUP.Optional.OpenCandy, D:\Disk_D\ВСЕ\Мои документы\Downloads\CheatEngine61.exe, , [a8f97e8e8803ec4ace64274b6d95ed13], 
RiskWare.RAAmmyy, E:\Documents and Settings\Admin\Мои документы\AA_v3.exe, , [4160ad5f6427072f1b5c814b48b94cb4], 
Trojan.Dropped, E:\WINDOWS\system32\hidcon.exe, , [c6db3dcfe2a9ca6cace743a25ca59c64],

[Bekish]

Выполнено.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

[Bekish]

Логи FRST

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-1757981266-2025429265-1417001333-500\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1757981266-2025429265-1417001333-500\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text={searchTerms}
HKU\S-1-5-21-1757981266-2025429265-1417001333-500\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1757981266-2025429265-1417001333-500 -> {77F2B683-BFE4-4140-A5D5-3004C16E3A8F} URL = hxxp://inet123.ru/?cx=partner-pub-7107628092852806%3Asxiti5-ktqk&cof=FORID%3A10&ie=utf-8&q={searchTerms}&sa=%CF%EE%E8%F1%EA&siteurl=inet123.ru%2F#881
SearchScopes: HKU\S-1-5-21-1757981266-2025429265-1417001333-500 -> {95F663C0-C370-4955-8B39-63069DB1F6C0} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text={searchTerms}
DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b6b3db427f096002a2fb9dacd44dee68&text= <==== ATTENTION
FF Extension: No Name - E:\Program Files\WebexpEnhancedV1\WebexpEnhancedV1alpha508\ff [not found]
FF Extension: No Name - E:\Program Files\VideoPlayerV3\VideoPlayerV3beta460\ff [not found]
FF Extension: No Name - E:\Documents and Settings\Admin\Application Data\Mozilla\Firefox\Profiles\nc4jd6n9.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
R1 BDEnhanceBoost; E:\WINDOWS\system32\drivers\BDEnhanceBoost.sys [61256 2014-10-01] (Baidu)
R0 BDMWrench; E:\WINDOWS\System32\DRIVERS\BDMWrench.sys [245576 2014-12-21] (Baidu)
S1 bd0001; system32\DRIVERS\bd0001.sys [X]
S1 bd0002; system32\DRIVERS\bd0002.sys [X]
S1 bd0004; system32\DRIVERS\bd0004.sys [X]
E:\Documents and Settings\Admin\Local Settings\Temp\08cq594rqiBn.exe
E:\Documents and Settings\Admin\Local Settings\Temp\5nFLIiCjGjhP.exe
E:\Documents and Settings\Admin\Local Settings\Temp\F0722_s_30803.exe
E:\Documents and Settings\Admin\Local Settings\Temp\G0722_s_70904.exe
E:\Documents and Settings\Admin\Local Settings\Temp\hdinst_x64.exe
E:\Documents and Settings\Admin\Local Settings\Temp\int_tmp_n.exe
E:\Documents and Settings\Admin\Local Settings\Temp\jMjufdDOVKm8.exe
E:\Documents and Settings\Admin\Local Settings\Temp\lite_installer.exe
E:\Documents and Settings\Admin\Local Settings\Temp\xCggwzaRlnkP.exe
E:\Documents and Settings\Admin\Local Settings\Temp\zaaU1.dll
E:\Documents and Settings\Admin\Local Settings\Temp\zaaU1.exe
E:\Documents and Settings\Admin\Local Settings\Temp\zLwK5fgr4YES.exe
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[Bekish]

Лог

[thyrex]

С расшифровкой не поможем

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены