Перейти к содержанию

Help me people!


Georgia21rus

Рекомендуемые сообщения

Начну со вступления, признаюсь и каюсь, в поисках в интернете бесплатного ключа для игры StarCraft 2 Нашёл кейген, скачал его, открыл, компьютер перезагрузился и начались действия вируса. Все окна открываемые мной закрываются секунды через 2.

 

Начал поиски по поводу этого со второго своего компьютера в интернете, и наткнулся на ваш форум. Увидел то что вы советовали программу ComboFix.exe. Я скачал её она работает, уже Stage_32. Но не понял что делать по завершению её работы. Подскажите. Спасибо.

Ссылка на комментарий
Поделиться на другие сайты

Добро пожаловать на форум.

Лечение в каждом случае должно проводиться индивидуально. Поэтому, выполните эти указания http://forum.kasperskyclub.ru/index.php?showtopic=1698 и тогда вам смогут помочь.

Ссылка на комментарий
Поделиться на другие сайты

Как бы я это сделал, если у меня ничего не запускалось? Сейчас закончилась работа программмы ComboFix.exe и всё прошло, сейчас я могу это сделать, нужно?

Ссылка на комментарий
Поделиться на другие сайты

Как бы я это сделал, если у меня ничего не запускалось? Сейчас закончилась работа программмы ComboFix.exe и всё прошло, сейчас я могу это сделать, нужно?

Добрый день.

 

Выполните логи по правилам, отчеты прикрепите к следующему сообщению.

 

Отчет о работе ComboFix сохранился (стандартное расположение C:\ComboFix.txt )? Прикрепите его тоже.

Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ClearQuarantine;
StopService('JMCR');
StopService('AFBAgent');
QuarantineFile('C:\Windows\SysWOW64\H@tKeysH@@k.DLL','');
QuarantineFile('C:\Windows\System32\H@tKeysH@@k.DLL','');
QuarantineFile('C:\Windows\Installer\2340ca.msi','');
QuarantineFile('C:\Windows\system32\DRIVERS\jmcr.sys','');
QuarantineFile('C:\Windows\system32\FBAgent.exe','');
QuarantineFile('C:\32788R22FWJFW\*.* ',' ');
DeleteFileMask('C:\32788R22FWJFW\ ','*.* ',true ,' ');
DeleteDirectory('C:\32788R22FWJFW\ ',' ');
QuarantineFile('c:\windows\SysWow64\A303.tmp',' ');
QuarantineFile('c:\windows\SysWow64\lflknag.dll ',' ');
DeleteFile('c:\windows\SysWow64\A303.tmp ');
DeleteFile('c:\windows\SysWow64\lflknag.dll ');
DelAutorunByFileName('c:\windows\SysWow64\lflknag.dll ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Для создания архива с карантином выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).

Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.

В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите адрес своей электронной почты.

Полученный ответ сообщите в этой теме.

 

Рекомендуется удалить ПО, которое может конфликтовать с установленной антивирусной программой:

- Kaspersky Virus Removal Tool;

- DrWeb.

Если данные программы были ранее удалены некорректно, можно воспользоваться специализированными утилитами по очистке их следов с сайтов производителей данного ПО.

 

После проведённого лечения рекомендуется:

- установить текущий пакет обновлений (SP) для Windows (может потребоваться активация Windows)

* выберите SP для своей версии Windows: Windows XP - SP3, Windows Vista x86 - SP2x86, Windows Vista x64 - SP2x64, Windows 7 x86 - SP1x86, Windows 7 x64 - SP1x64

- обновить Internet Explorer до версии 9.0 (даже если им не пользуетесь!)

- установить все обновления на Windows (может потребоваться активация Windows)

- проверить на наличие уязвимостей в ОС и используемом ПО / установить актуальные версии используемого ПО (подробнее)

 

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

RegLock::
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}]
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\ProxyStubClsid32]
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\TypeLib]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0003\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0004\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0005\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0006\AllUserSettings]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

post-9410-1312203666.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

Сделайте новые логи по правилам.

+

Скачайте Malwarebytes' Anti-Malware здесь или здесь.

Установите mbam-setup.exe

Обновите базы.

Выберите "Perform Full Scan/Полное сканирование", нажмите "Scan/Сканирование", после сканирования - Ok - "Show Results/Показать результаты".

Полученный лог прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты

2340ca.msi - not-a-virus:Monitor.Win32.ActualSpy.28

 

Этот файл уже детектируется нашими расширенными базами как потенциально опасное программное обеспечение.

 

H@tKeysH@@k.DLL,

H@tKeysH@@k_0.DLL

 

Вредоносный код в файлах не обнаружен.

 

lflknag.dll,

lflknag_0.dll

 

Файлы в процессе обработки.

 

С уважением, Лаборатория Касперского

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • il1dar
      От il1dar
      Добрый день!
      Прошу помочь с расшифровкой файлов. Поймал вирус на сервере, сменили пароль пользователя для входа (в систему попал). В системе зашифрованы офисные файлы и базы 1С. 
      Addition.txt FRST.txt readme.txt aes.rar
    • Gennadiy89
      От Gennadiy89
      Всем привет недавно зашифровали файлы на компе расширение "MZEM8GTPE" . Электронную почту в файле readme оставили почта help@room155.online или room155@tuta.io. Требуют 20-30 тысяч за восстановление файлов. Хорошо многие файлы дома на другом компе сохранены, за последние пару недель файлы остались зашифрованными только. Подскажите добрые люди можно ли как то расшифровать?
      выписка.docx
    • SorZol
      От SorZol
      I am writing to you today regarding a recent MedusaLocker attack on my personal computer on December [date] 2023.

      Unfortunately, the attack resulted in the encryption of a significant number of my files.
      However, during the incident, an unusual turn of events occurred. My laptop froze midway through the encryption process, causing the attacker to leave some files behind. Among these files, I was able to identify and run the encryption executable (within a controlled virtual machine environment, of course). This allowed me to extract the public key associated with the attack.

      Furthermore, through an additional, unexpected development, I also managed to obtain the corresponding private key. While this presents a potential opportunity for decryption, there exists a hurdle: both the public and private keys are encoded in Base64 format, rather than the standard XML format with Exponent and Modulus components.

      Recognizing the expertise and capabilities of your team in the field of ransomware decryption, I am reaching out with a proposal for collaboration. I am eager to share my unique experience and the acquired keys with your experts in the hope of finding a way to decrypt my files and potentially aid others affected by the same attacker or public key.

      I understand the inherent challenges and complexities involved in this endeavor. However, I believe that combining my firsthand experience with your technical know-how could lead to a breakthrough. I am open to discussing various collaboration models that would mutually benefit both parties.
      Thank you for considering my request. I am available at your convenience to discuss this further and provide any additional information you may require.
    • denis12345
      От denis12345
      Help me! сегодня взломали и подсадили шифровальщика BlackBit, файлы особо не важны, но срочно нужно восстановление базы 1С, вся работа предприятия парализована. Может кто-то уже сталкивался и расшифровывал, подскажите методы или ? Заранее спасибо!
    • ОСЭП
      От ОСЭП
      Добрый день.
      Рабочий ПК подвергся атаке шифровальщика. ОС загружается, есть возможность выполнять навигацию по папкам. Рабочие файлы в папках изменили свое расширение с привычных docx, xlcx, pdf на CyiHMxBuf.
      Так получилось что Касперский был выключен мной пару недель назад (настраивал доступ к специфичным гос сайтам), так и забыл его включить, в это время вирус видимо и попапал с очередной влэшки, которые приносят по работе с других организаций. Учетная запись пользователя с правами локального администратора.
      Логи и шифрованные файлы с письмом вымогателей прикрепляю.
       
      Addition.txt FRST.txt virus.7z
×
×
  • Создать...