Помогите пожалуйста вирус зашифровал все файлы better_call_saul [Trojan-Ransom.NSIS.Onion.lqe ]

[Rostislav343]

Хотел обратиться в помогите+ но там написано что человек не может принять деньги.

[Info_bot]

Уважаемый(ая) Rostislav343, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Users\House\AppData\Local\Esdmtion\7E828A4A.exe','');
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 DeleteFile('C:\Users\House\AppData\Local\Esdmtion\7E828A4A.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Esdmtion','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Osxbics','command');
 DeleteFile('C:\Users\House\AppData\Local\Esdmtion\tpcwigtc.dll','32');
 DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe','32');
 DeleteFile('C:\Users\House\AppData\Local\YsjxPack\tpcwigtc.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YsjxPack','command');
 DeleteFile('C:\Users\House\AppData\Local\Kometa\Application\kometa.bat','32');
 DeleteFile('C:\Windows\system32\Tasks\Experience Video','64');
 DeleteFile('C:\Users\House\AppData\Local\Experience Video\xBin\ExperienceVideo.dll','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Rostislav343]

Выкладываю логи.

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Rostislav343]

Лог

- - - - -Добавлено - - - - -

Еще

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
   CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
   AutoConfigURL: [S-1-5-21-1692322565-4045753494-2126263557-1000] => hxxps://larevante.com/J3khabn/I5xMm.eup
   ManualProxies: 0hxxps://larevante.com/J3khabn/I5xMm.eup
   Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
   Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -  No File
   Toolbar: HKLM-x32 - No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
   Toolbar: HKU\S-1-5-21-1692322565-4045753494-2126263557-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
   2016-03-21 12:17 - 2016-03-23 08:05 - 00000000 ____D C:\Users\House\AppData\Local\YsjxPack
   2016-03-21 12:11 - 2016-03-21 12:11 - 00001567 _____ C:\Users\House\AppData\Roaming\CollieBullwhip
   2016-03-21 12:00 - 2016-03-26 01:27 - 00000000 ____D C:\Users\House\AppData\Local\Esdmtion
   2016-03-21 12:00 - 2016-03-21 12:00 - 03888054 _____ C:\Users\House\AppData\Roaming\7C2A64F37C2A64F3.bmp
   2016-03-21 09:35 - 2016-03-23 10:58 - 00000000 __SHD C:\Users\Все пользователи\Windows
   2016-03-21 09:35 - 2016-03-23 10:58 - 00000000 __SHD C:\ProgramData\Windows
   2013-05-09 02:14 - 2013-05-09 02:14 - 0044968 _____ () C:\Users\House\AppData\Roaming\61A1.exe
   2014-10-07 08:39 - 2014-10-07 08:39 - 0011264 _____ () C:\Users\House\AppData\Roaming\System.dll
   2016-03-20 02:42 - 2016-03-20 02:42 - 0009728 _____ () C:\Users\House\AppData\Roaming\comets.dll
   C:\Users\House\AppData\Local\Temp\7E828A4A.exe
   Task: {CD8923FF-1524-450B-AF96-2C09598902A1} - \Experience Video -> No File <==== ATTENTION
   zip:C:\FRST\Quarantine

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

1. Скачайте Check Browsers' LNK и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите Check Browsers LNK.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет Check_Browsers_LNK.log
5. Прикрепите этот отчет в вашей теме.

[Rostislav343]

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
После выполнения этого пункта был синий экран смерти.

[mike 1]

Заново выполните скрипт в FRST.

+

1. Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
2. Распакуйте архив с утилитой в отдельную папку.
3. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
   
   
   
4. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
5. Прикрепите этот отчет к своему следующему сообщению.

[Rostislav343]

Z146-zOTDtI.jpg
FRST не может закончить синий экран не дает.

[mike 1]

Выполняйте значит в безопасном режиме скрипт.

[Rostislav343]

Лог frst

[mike 1]

Пароли меняйте. С расшифровкой не поможем.

[Rostislav343]

А в помогите+ есть смысл обратиться или вообщеиесть надежда или просто смириться, куча нужной информации(

[mike 1]

Нет. Помогут только злодеи с расшифровкой. Нужная информация должна бэкапиться, иначе она не такая уж и нужная.

[Rostislav343]

Пока не столкнешся не задумаешся. Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\house\appdata\local\esdmtion\7e828a4a.exe - Trojan-Ransom.NSIS.Onion.lqe