email-trojanencoder@aol.com.ver-CL 1.3.0.0.id

[Artem_ 0]

Добрый день!

Поймали email-trojanencoder@aol.com.ver-CL 1.3.0.0.id , помогите с расшифровкой пожалуйста.

[mike 1 1 093]

http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

[Artem_ 0]

Вирус ранее каспером вычистили. Логи сделал.

CollectionLog-2016.07.25-11.49.zip

[mike 1 1 093]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);

 QuarantineFile('C:\Users\Sergey\appdata\local\microsoft\extensions\extsetup.exe','');

 QuarantineFile('C:\Users\Sergey\AppData\Local\Adobe\PPAPI\44D43AC9-170F-4D33-8E61-36AA249A6AD5\3006395F-5DAE-4530-82D6-7271BDB2BD20.exe','');

 DeleteFile('C:\Users\Sergey\AppData\Local\Adobe\PPAPI\44D43AC9-170F-4D33-8E61-36AA249A6AD5\3006395F-5DAE-4530-82D6-7271BDB2BD20.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','44D43AC9-170F-4D33-8E61-36AA249A6AD5');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','AppDownloads');

 DeleteFile('C:\Program Files (x86)\Common Files\3DCC905D-2088-4C19-9093-99265D059211\AAF88888-9A05-499C-9892-201A38BDD6C5.exe','32');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\A44D43AC9-170F-4D33-8E61-36AA249A6AD5','64');

 DeleteFile('C:\Users\Sergey\appdata\local\microsoft\extensions\extsetup.exe','32');

ExecuteSysClean;

RebootWindows(true);

end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

 

Сделайте новые логи Автологгером. 

 

[Artem_ 0]

отправил вам quarantine.zip. шансы есть?

[mike 1 1 093]

Не знаю. Если давно поймали, то уже скорее всего нет. Новых логов не вижу.

[Artem_ 0]

Не заметил про новые логи, извините. Выкладываю.

CollectionLog-2016.07.27-10.27.zip

[mike 1 1 093]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Artem_ 0]

Сделал.

Addition.txt

FRST.txt

[mike 1 1 093]

Уже больше месяца прошло с момента заражения. Слишком поздно уже.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKLM-x32\...\Run: [] => [X]

GroupPolicy: Restriction - Chrome <======= ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File

Toolbar: HKU\S-1-5-21-3084311429-1322067573-1768325249-1000 -> No Name - {00011268-E188-40DF-A514-835FCD78B1BF} -  No File

OPR Extension: (News Tab) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\aaebjepcfidgkojljbgoilgkgklehldj [2016-05-24]

OPR Extension: (Smart Browser™) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhmpnibiagopmobamhlgaghkojlcjnfn [2016-06-26]

OPR Extension: (Smart Browser™) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\gamgcdlfhmmigjmbffodgkpglbnejkjm [2016-06-16]

OPR Extension: (ClickGet) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfgdmpfihlmdekaclngibpjhdebndhdj [2016-07-10]

OPR Extension: (Smart Browser™) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\ocggccaacacpienfcgmgcihoombokbbj [2016-06-13]

2016-05-24 07:14 - 2016-05-24 19:46 - 00000000 ____D C:\Users\Sergey\AppData\Local\Kometa

2016-05-24 07:14 - 2016-05-24 07:14 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk

2016-05-24 07:14 - 2016-05-24 07:14 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk

2016-05-24 07:14 - 2016-05-24 07:14 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk

2016-05-24 07:14 - 2016-05-24 07:14 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk

2016-05-24 07:14 - 2016-05-24 07:14 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Aliexpress.lnk

2016-05-23 11:15 - 2016-05-23 11:15 - 00000000 ____D C:\Users\Sergey\AppData\Local\Вoйти в Интeрнет

2016-05-23 11:11 - 2016-06-20 22:55 - 00000000 __SHD C:\Users\Все пользователи\KRB Updater Utility

2016-05-23 11:11 - 2016-06-20 22:55 - 00000000 __SHD C:\ProgramData\KRB Updater Utility

2016-05-23 11:11 - 2016-05-23 11:35 - 00000000 ____D C:\Program Files (x86)\Kinoroom Browser

2016-05-23 11:11 - 2016-05-23 11:11 - 00000000 ____D C:\Users\Sergey\AppData\Roaming\Awesomium

2016-05-23 11:11 - 2016-05-23 11:11 - 00000000 ____D C:\Users\Sergey\AppData\Local\Поиcк в Интeрнете

2016-05-23 11:10 - 2016-05-23 11:10 - 00003078 _____ C:\Windows\System32\Tasks\MailRuUpdater

2016-06-20 11:26 - 2016-06-20 11:26 - 0000082 _____ () C:\Program Files (x86)\YDQVVCKXHZ.YBS

Task: {1C8AEF3D-CD6A-445F-87BA-D04D6AB78605} - \Microsoft\KRBUUS\KRBLNKRUN -> No File <==== ATTENTION

Task: {FA651E33-2420-4A8A-9B7A-2DA559D73500} - \Microsoft\KRBUUS\KRB Updater Utility Service -> No File <==== ATTENTION

Task: {FF27E039-6BB9-4D61-8DCA-11D8D341D7C3} - \Microsoft\Windows\A44D43AC9-170F-4D33-8E61-36AA249A6AD5 -> No File <==== ATTENTION

C:\Users\Sergey\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Artem_ 0]

Выкладываю. А upload.zip не появился.

Fixlog.txt

[mike 1 1 093]

С расшифровкой помочь не сможем.

[Artem_ 0]

С расшифровкой помочь не сможем.

Жаль. Надо было нам раньше шевелится?  Mike 1, большое спасибо вам за помощь, за потраченное время!!

[mike 1 1 093]

Чем раньше, тем лучше.