Перейти к содержанию

Все тот же AES256

nothing_changhes
 Share Подписчики 0

Рекомендуемые сообщения

nothing_changhes

nothing_changhes 0

Опубликовано
Опубликовано

Доброго времени суток, младший где-то что-то скачал, отхватил трояна. В каждой папке ВНИМАНИЕ_ОТКРОЙТЕ-МЕНЯ.txt

 

Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.
 
Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: https://www.torproject.org/ | Видео инструкция:
HashKey: 4253643b8d506e64c9e996edd760542a
ID: 10575

Лог почему-то не прикрепляется ( 


обычным загрузчиком получилось, извините


лог

CollectionLog-2014.10.07-13.37.zip

Ссылка на сообщение
Поделиться на другие сайты
nothing_changhes

nothing_changhes 0

Опубликовано
  • Автор
Опубликовано

проверьте, есть ли такой файл

C:\Program Files\baidu\unins000.exe

если есть - запустите и удалите Baidu.

 

отпишитесь

вчера был, удалил

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано
Скачайте ComboFix здесь или здесь и сохраните на рабочий стол. 

 

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe

Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

Ссылка на сообщение
Поделиться на другие сайты
nothing_changhes

nothing_changhes 0

Опубликовано
  • Автор
Опубликовано

 

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол. 
 
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe
Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

 

Запаковать, если я правильно понял, обычным архиватором ? 

 

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол. 
 
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe
Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

 

ComboFix.rar

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол. 




KillAll::

 

File::



c:\windows\system32\drivers\BDArKit.sys

c:\windows\system32\drivers\bd0001.sys

c:\windows\system32\drivers\bd0002.sys

c:\windows\system32\drivers\BDMWrench.sys

c:\windows\system32\drivers\BDSafeBrowser.sys

c:\windows\system32\drivers\bd0004.sys

c:\windows\system32\drivers\BDEnhanceBoost.sys



 

Driver::

bd0001

bd0002

BDSafeBrowser

bd0004

BDMWrench

BDArKit

BDSGRTP



 

NetSvc::

 

Folder::

c:\users\nothingchanghes\AppData\Roaming\Baidu

c:\program files\Common Files\Baidu

c:\programdata\Baidu

c:\program files\baidu



Registry::

 

FileLook::

 

DirLook::

 

RegLock::

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

 


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

blogentry-9410-1358286219.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано
Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\Users\nothingchanghes\AppData\Roaming\runWIN\Update.exe','');
 QuarantineFile('C:\Users\nothingchanghes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat','');
 QuarantineFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','');
 DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
 DeleteFile('C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat','32');
 DeleteFile('C:\Users\nothingchanghes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\nothingchanghes\AppData\Roaming\runWIN\Update.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.
Отправьте на проверку файл  Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.
 


Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе

Распакуйте архив с утилитой в отдельную папку

Запустите FixerBro

В главном окне программы нажмите на кнопку "Проверить"

Когда сканирование будет завершено, выделите следующие ярлыки и нажмите "Исправить"

C:\Users\nothingchanghes\Application Data\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Internet Explorer\Quick Launch\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Программы\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Программы\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Программы\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Desktop\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Programs\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Programs\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Программы\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Программы\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Программы\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]

По окончанию исправления нажмите на кнопку "Отчет".

Сохраните лог утилиты

Прикрепите сохраненный отчет в вашей теме.

 

Сделайте новые логи по правилам.
Ссылка на сообщение
Поделиться на другие сайты
nothing_changhes

nothing_changhes 0

Опубликовано
  • Автор
Опубликовано

 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):


begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\Users\nothingchanghes\AppData\Roaming\runWIN\Update.exe','');
 QuarantineFile('C:\Users\nothingchanghes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
 QuarantineFile('C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat','');
 QuarantineFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','');
 DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
 DeleteFile('C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat','32');
 DeleteFile('C:\Users\nothingchanghes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
 DeleteFile('C:\Users\nothingchanghes\AppData\Roaming\runWIN\Update.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:


begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.
Отправьте на проверку файл  Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.
 

Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе

Распакуйте архив с утилитой в отдельную папку

Запустите FixerBro

В главном окне программы нажмите на кнопку "Проверить"

Когда сканирование будет завершено, выделите следующие ярлыки и нажмите "Исправить"



C:\Users\nothingchanghes\Application Data\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Internet Explorer\Quick Launch\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Программы\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Программы\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Application Data\Microsoft\Windows\Start Menu\Программы\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Desktop\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Programs\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Programs\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Программы\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Программы\Internet Explorer.lnk [C:\Program Files\Internet Explorer\iexplore.exe.bat "http://1kanal.org/?src=hp1"]
C:\Users\nothingchanghes\Главное меню\Программы\Yandex\Yandex.lnk [C:\Users\nothingchanghes\AppData\Local\Yandex\YandexBrowser\Application\browser.exe.bat "http://1kanal.org/?src=hp1"]

По окончанию исправления нажмите на кнопку "Отчет".

Сохраните лог утилиты

Прикрепите сохраненный отчет в вашей теме.

 

Сделайте новые логи по правилам

после выполнения первого скрипта, компьютер перезагрузился и к браузерам добавились .bat "http://1kanal.org/?src=hp1"]

 

не мог запустить браузер, ни Yandex, ни Explorer - через свойства удалил эту "приставку". 

 

FixerBro все исправил, кроме того же Yandex

 

карантин AVZ отправил.

newvirus@kaspersky.com
11:51 (37 мин. назад)
cleardot.gif
 
cleardot.gif
cleardot.gif
кому: мне
cleardot.gif
 
 
 
 
Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.   На запросы от лицензионных пользователей, которые были отправлены из Личного Кабинета https://my.kaspersky.com/ru/support/viruslab, или из CompanyAccount (https://companyaccount.kaspersky.com) будет предоставлен дополнительный ответ от вирусного аналитика.

 

browser.exe.bat,

iexplore.exe.bat

 

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

 

С уважением, Лаборатория Касперского

 

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700  http://www.kaspersky.ruhttp://www.viruslist.ru"

CollectionLog-2014.10.08-12.06.zip

FixerBro_20141008.rar

Ссылка на сообщение
Поделиться на другие сайты
nothing_changhes

nothing_changhes 0

Опубликовано
  • Автор
Опубликовано

C:\Users\nothingchanghes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk

 

пересоздайте его начисто.

 

повторите лог FixerBro

Yandex переустановил, FixerBro не ругается

FixerBro_20141008.rar

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано

в профиле хрома удалите стартовую страницу

ProfilePath: C:\Users\nothingchanghes\AppData\Local\Google\Chrome\User Data\Default
StartupUrls: "хттп://1kanal.org/?src=hp1"
Ссылка на сообщение
Поделиться на другие сайты
nothing_changhes

nothing_changhes 0

Опубликовано
  • Автор
Опубликовано

 

в профиле хрома удалите стартовую страницу

ProfilePath: C:\Users\nothingchanghes\AppData\Local\Google\Chrome\User Data\Default
StartupUrls: "хттп://1kanal.org/?src=hp1"

удалил 

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано

Деинсталлируйте ComboFix:
- нажмите Win+R
- в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"
Скачайте OTCleanIt, запустите, нажмите Clean up

Ссылка на сообщение
Поделиться на другие сайты
nothing_changhes

nothing_changhes 0

Опубликовано
  • Автор
Опубликовано

Деинсталлируйте ComboFix:

- нажмите Win+R

- в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt, запустите, нажмите Clean up

ComboFix деинсталировал

 

 OTCleanIt скачал, почистил. после очистки, комп перезагрузился, утилита удалилась

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем
×
×
  • Создать...