Перейти к содержанию
Правила раздела

Trojan-Ranson. Win32.Blocker.ckeq

iv.56@mail.ru

Автор iv.56@mail.ru
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

iv.56@mail.ru Новичок

iv.56@mail.ru

Опубликовано
Опубликовано

Добрый день. Выполнила скрипт утилитой avz 2- скрипт сбора информации для раздела "Помогите"; скрипт сбора неопознанных и подозрительных файлов; скрипт сбора файлов для экспресс анализа Пк 2 файла загрузить не смогла. Эта рабочая машина на которой браузер не загружается, много различных архивов которые сами появляюся и другие какие то файлы сами появляются работа по загрузке компьютера очень медленная, происходит отключение компьютера, произвольное закрытие файлов. Заражение по всей локальной сети пошло с этой рабочей машины. 


этот компьютер чист.

нужны логи с заражённого компьютера.

тогда я, возможно, напишу универсальный скрипт, чтобы можно было его применить на всех компьютерах сети.

Добрый день Подскажите, если этот компьютер чист то почему продолжают появляться различные архивы вместе с файлами разрешения exe. Отправила принт-скрин карантина касперского. Так каждый день в карантине. Что делать, как мне очистить мой сервер. Сегодня отправила логи и скрипты с зараженного компьютера.

virusinfo_syscheck.zip

AdwCleanerR0.txt

AdwCleanerR1.txt

info.txt

log.txt

Для форума.doc

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):





begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ygfns.exe');
TerminateProcessByName('c:\windows\system32\jgurldeutlqjnovdzliw.exe');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\qejxirjqgpl.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\qirjylhsmzznmik.bat','');
QuarantineFile('D:\qejxirjqgpl.bat','');
QuarantineFile('D:\mcjzmxrasdbnk.bat','');
QuarantineFile('C:\DOCUME~1\9335~1\APPLIC~1\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','');
QuarantineFile('c:\windows\system32\jgurldeutlqjnovdzliw.exe','');
DeleteFile('c:\windows\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe .','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\APPLIC~1\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
DeleteFile('D:\mcjzmxrasdbnk.bat','32');
DeleteFile('D:\qejxirjqgpl.bat','32');
DeleteFile('D:\qirjylhsmzznmik.bat','32');
DeleteFile('C:\WINDOWS\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile('C:\WINDOWS\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile(' C:\WINDOWS\system32\poedztwopjqlrudnlzyonj.exe','32');
DeleteFile(' C:\WINDOWS\poedztwopjqlrudnlzyonj.exe','32');
DeleteFile(' C:\WINDOWS\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\WINDOWS\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\WINDOWS\cwhbshfsodfvwuydw.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile(' C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile(' C:\WINDOWS\system32\cwhbshfsodfvwuydw.exe','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001517.bat','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001518.bat','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001519.bat','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\qejxirjqgpl.bat','32');
DeleteFile('D:\autorun.inf','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wsfbullayptlooubwhd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','lgsnfvuifvyprqvbvf');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','cwhbshfsodfvwuydw');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voyrhvseznoddadh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:





begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.

 

 

Исправьте через AVZ -> Файл -> Мастер поиска и устранения проблем -> Все проблемы -> отметить указанное -> Исправить

>> Блокировка редактора реестра
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
>> Повреждено меню настройки отображения папок
>> Повреждены настройки SafeBoot

 

Сделайте новые логи по правилам.

+

(отдельно скачайте Hijackthis и сделайте его лог)

 

а также:

avz - сервис - поиск файлов на диске - дата создания 19.02.2014

область поиска - все локальные диски 

пуск.

протокол сохраните и приложите


post-9410-0-60018300-1396418958_thumb.jpg

Ссылка на комментарий
Поделиться на другие сайты
iv.56@mail.ru Новичок

iv.56@mail.ru

Опубликовано
  • Автор
Опубликовано

Добрый день Выполнила предложенный скрипт, создала архив с карантином, исправила через avz, сделала новые логи, произвела поиск файлов прилагаю протокол. Не смогла сделать лог программой Hijackthis, она не запускается, скачала обе предложенные программы они обе не запустились. Компьютер ведет себя по прежнему. Подскажите по предложенному скрипту можно прочистить все остальные машины?

virusinfo_syscheck.zip

virusinfo_syscheck.xml

virusinfo_syscheck.htm

протокол файлов поиска 19.02.2014.txt

протокол 2.txt

протокол 3.txt

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

 

 


Подскажите по предложенному скрипту можно прочистить все остальные машины?

боюсь, что нет. придётся лечить по отдельности.

зловред генерирует своё имя из случайного набора символов и находится в памяти...

 

отключайте машины от сети по очереди и лечите с помощью Kaspersky Rescue Disk 

http://support.kaspersky.ru/viruses/disinfection/8005#block2

 

эти два компьютера вылечим здесь. логи для компьютера секретаря я вынес в отдельную тему.

карантин на форуме не прикрепляйте.

 

у Вас на компьютерах пользуются проводником в качестве файлового менеджера?


Загрузившись в безопасном режиме, 

выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\ywljexzqqjpjoqyherpec.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ygfns.exe');
QuarantineFile('E:\qejxirjqgpl.bat','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\qejxirjqgpl.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\qejxirjqgpl.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','');
QuarantineFile('C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cwhbshfsodfvwuydw.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\lgsnfvuifvyprqvbvf.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','');
QuarantineFile('c:\windows\system32\ywljexzqqjpjoqyherpec.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cwhbshfsodfvwuydw.exe','32');
DeleteFile('C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\system32\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\qejxirjqgpl.bat','32');
DeleteFile('D:\autorun.inf','32');
DeleteFile('D:\qejxirjqgpl.bat','32');
DeleteFile('E:\autorun.inf','32');
DeleteFile('E:\qejxirjqgpl.bat','32');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\DigitalSites\UpdateProc\info.dat','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\ygfnsvhisvlpeqibifnmuzcopzc.wlx ','32');
DeleteFile('C:\Program Files\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\Program Files\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\WINDOWS\system32\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
DeleteFile('C:\WINDOWS\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\WINDOWS\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ncixjtmulvsd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wsfbullayptlooubwhd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','lgsnfvuifvyprqvbvf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','qirjylhsmzznmik');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','cwhbshfsodfvwuydw');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voyrhvseznoddadh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
deletefilemask ('C:\Documents and Settings\Администратор\Local Settings\Temp\','*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:
begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.
Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.

Сделайте новые логи по правилам.

 

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe
Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

Ссылка на комментарий
Поделиться на другие сайты
iv.56@mail.ru Новичок

iv.56@mail.ru

Опубликовано
  • Автор
Опубликовано

Kaspersky Rescue Disk работает на современных машинах, на машинах на которых системные требования слабые он не работает. Не могли бы вы мне предложить что нибудь полегче, для прочистки компьютеров (старых). Для выполнения предложенного скрипта машина не загружается в безопасном режиме, скрипт не выполнила.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Belvol
      [РЕШЕНО] Не удаляется вирус Win32/Trojan.Generic.HgLATxcA
      Автор Belvol
      Здравствуйте. Поймал троян-майнер. Чищу антивирусом и после перезагрузки появляется снова. Помогите разобраться, пожалуйста
      CollectionLog-2025.07.01-00.20.zip
    • gulyeza
      [РЕШЕНО] Скачал и запустил Trojan
      Автор gulyeza
      Здравствуйте, вчера умудрился попостятся на троян. Если рассказывать кратко, качал зип архив с UploadHeaven, но начались перебросы по ссылкам и по итогу скачался exe файл. Сразу закинуть его в проверку ума не хватило, да и повода сомневается не было, очень много в свое время оттуда качал, вот и подумал, может у них обновление какое то, что распаковщик теперь такой. Но стоило только открыть, сразу антивирус начал всю систему грузить, начал пытаться закрывать, но только через диспетчер смог. Так же в диспетчере появились 3 новые процесса, 1 из которых не запомнил, а остальные 2 были: reason cybersecurite и reason cybersecurite vpn. Начал через параметры их удалять, так то даже получилось. Затем зашел в виндоус дефендер, он как то странно тупил, подгружался постоянно, через пару секунд вообще выключился. Ну я и нажал снова включить, как я понял, это и была главная ошибка, потому что высветилось окно подтверждения с изменением файлов (стандартное когда запускаешь антивирусник) я и нажал на "Да". На первый взгляд вообще ничего не поменялось, подумал что пора винду сносить. Все переустановил, правда не с внешнего накопителя, а локально, с этого же ноута. И есть подозрения, что особо красок не поменяло, потому что при заходе в дефендер пишет, мол "Ваш системный администратор ограничил доступ", пытался это выключить по гайдам на сайте майкрасофта, ничего не сработало. Подумал надо и биос сбросить, зашел потыкался, не особо понял поменялось ли вообще что то.
      Прикладываю скан того exe с вирус тотала:
      Так же файл с логами:CollectionLog-2025.06.22-19.56.zip
      Еще, после сбора логов, эта надпись "Ваш системный администратор ограничил доступ" в дефендере пропала, не знаю хорошо это или плохо.
      Заранее Спасибо за ответ, надеюсь проблема решаема.
      upd: после сброса винды, запускал скан доктор веба, ничего не нашел
    • Kdademon
      Помогите в расшифровке файлов после вируса шифровальщика Trojan-Ransom.Win32.Mimic.gen
      Автор Kdademon
      02.072025 обнаружили что на 2 компа (Windows 7) попал вирус шифровальщик 
      подключились предположительно по RDP
      зашифровали все базы 1с, бэкапы, архивы, документы
      файл с обращением от вымогателей нашли
      Kaspersky Virus Removal Tool нашел вируc HEUR:Trojan-Ransom.Win32.Mimic.gen

      Подскажите порядок действий по лечению этих компов и возможна ли дешифровка?
      Как можно обезопасится от подобного?
      Поможет ли установка Kaspersky на все компьютеры сети?

      Во вложении архив с примерами зашифрованных файлов из папки php
      Файлы постарался выбрать стандартные, общеизвестные может поможет в дешифровке
      Также приложил скрин с проверкой от Kaspersky Virus Removal Tool

      php.rar
    • The_LastNight
      Словил MEM: Trojan. Multi.Agent.Gen
      Автор The_LastNight
      Добрый день! После посещения несколько сайтов словил вирус MEM: TROJAN. MULTI.AGENT.GEN. Касперский его видит, но удалить не может, появляется снова. Некоторые способы с форума уже пробовал, не помогли.
    • жаждущий ответа
      Виндовс долго загружается ,не получается зайти в редактор реестра, он сразу крашится, в касперском пишет про такой троян trojan win32 sepeh gen
      Автор жаждущий ответа
      CollectionLog-2025.03.19-16.56.zip
      Виндовс долго загружается ,не получается зайти в редактор реестра, он сразу крашится, в касперском пишет про такой троян trojan win32 sepeh gen
×
×
  • Создать...