Перейти к содержанию

Произошло нападение вредоносного ПО

madwhip
 Share

Рекомендуемые сообщения

madwhip Новичок

madwhip

Опубликовано
Опубликовано

Включил компьютер, после чего увидел на рабочем столе измененную заставку где было написано "на вашем компьютере все файлы были зашифрованы , если хотите их разблокировать пришлите деньги". Все файлы были переименованы и изменен формат "xtbl".

CollectionLog-2015.02.09-20.11.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! Деинсталлируйте:
 

Torntv V6.0
SecretSauce
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 SetServiceStart('{345422e3-72fa-447a-9550-97803edfacf3}t', 4);
 SetServiceStart('{345422e3-72fa-447a-9550-97803edfacf3}Gt', 4);
 StopService('{345422e3-72fa-447a-9550-97803edfacf3}t');
 StopService('{345422e3-72fa-447a-9550-97803edfacf3}Gt');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\cppredistx86.exe','');
 QuarantineFile('C:\Program Files\SecretSauce\bin\utilSecretSauce.exe','');
 QuarantineFile('C:\Program Files\SecretSauce\updateSecretSauce.exe','');
 QuarantineFile('C:\windows\system32\drivers\{345422e3-72fa-447a-9550-97803edfacf3}t.sys','');
 QuarantineFile('C:\windows\system32\drivers\{345422e3-72fa-447a-9550-97803edfacf3}Gt.sys','');
 DeleteFile('C:\windows\system32\drivers\{345422e3-72fa-447a-9550-97803edfacf3}Gt.sys','32');
 DeleteFile('C:\windows\system32\drivers\{345422e3-72fa-447a-9550-97803edfacf3}t.sys','32');
 DeleteFile('C:\Program Files\SecretSauce\updateSecretSauce.exe','32');
 DeleteFile('C:\Program Files\SecretSauce\bin\utilSecretSauce.exe','32');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\cppredistx86.exe','32');
 DeleteFile('C:\windows\Tasks\Torntv V6.0-firefoxinstaller.job','32');
 DeleteFile('C:\windows\Tasks\Torntv V6.0-updater.job','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
 DeleteService('{345422e3-72fa-447a-9550-97803edfacf3}t');
 DeleteService('{345422e3-72fa-447a-9550-97803edfacf3}Gt');
 DeleteService('Util SecretSauce');
 DeleteService('Update SecretSauce');
 DeleteFileMask('C:\Documents and Settings\Admin\Application Data\x13', '*', true, ' ');
 DeleteDirectory('C:\Documents and Settings\Admin\Application Data\x13');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
 
O4 - HKCU\..\Run: [Microsoft Visual C++ 2010] C:\Documents and Settings\Admin\Application Data\cppredistx86.exe
 
 
Avira
Kaspersky Internet Security
 
Второй антивирус деинсталлируйте. Оставьте какой-нибудь один из них.
 
Сделайте новые логи Автологгером. 
 
 
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.
 
 
В следующем вашем ответе мне требуются следующие отчеты:
 
1. CollectionLog-yyyy.mm.dd-hh.mm.zip
 
2. AdwCleaner[R0].txt
Ссылка на комментарий
Поделиться на другие сайты
madwhip Новичок

madwhip

Опубликовано
  • Автор
Опубликовано

KLAN-2504468064

 

Все скрипты выполнил

 


новый файл с таким именем отсутствует "CollectionLog-yyyy.mm.dd-hh.mm.zip"

AdwCleanerS1.txt

AdwCleanerR0.txt

AdwCleanerS0.txt

AdwCleanerR1.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Воспользуйтесь этой   http://dlpro.antivir.com/package/regcleaner/win32/en/avira_registry_cleaner_en.zip    утилитой. 

 

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
B92LqRQ.png
 
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} ->  No File
Toolbar: HKU\S-1-5-21-2025429265-261903793-682003330-500 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - No Path
Folder: C:\dec
Folder: C:\Documents and Settings\All Users\Application Data\Windows
2015-02-06 21:31 - 2015-02-08 17:43 - 00000000 __SHD () C:\Documents and Settings\All Users\Application Data\Windows
2015-01-19 20:17 - 2015-01-11 21:33 - 00442896 _____ () C:\Documents and Settings\Admin\Application Data\data13.dat
2015-01-19 20:17 - 2015-01-11 21:33 - 00442880 _____ () C:\Documents and Settings\Admin\Application Data\ssleas.exe
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
 
 
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Варианты:

 

1. Восстановить все из резервных копий.

 

2. Если резервных копий нет, то забыть про файлы.

 

3. Если первые два варианта не приемлемы для вас, то этот вариант очевиден.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • vlanzzy
      Вредоносное заражение с task.vbs
      От vlanzzy
      CollectionLog-2024.12.19-19.35.zip
      Произошло заражение вирусом, выполнял проверку через KVRT и смог удалить вирусы, но теперь запускается task.vbs
       
    • hu553in
      [РЕШЕНО] Поймал вредоносное ПО
      От hu553in
      Проблема схожая с соседними темами.
      C:\ProgramData\Google\Chrome\updater.exe, который восстанавливается сам собой, Malwarebytes кладет его в карантин с пометкой Trojan.Crypt.Generic ежеминутные запросы от C:\Windows\System32\dialer.exe на fcm1sx3iteasdfyn2ewsd.zip, которые Malwarebytes так же блокирует в hosts все домены Windows Updates и антивирусов редиректятся на 0.0.0.0 Удаление не помогает, никакой софт для удаления (KVRT, drweb, Malwarebytes и т.п.) не помогает.
      Помогите пожалуйста.
      Прикрепляю FRST и UVS отчеты по инструкциям из соседних тем.
      DESKTOP-CIJDVRS_2024-09-22_22-35-23_v4.99.1v x64.7z Addition.txt FRST.txt
    • grammer91
      [РЕШЕНО] Powershell пытается запустить переход по вредоносной ссылке
      От grammer91
      Добрый день!
       
      Проблема в следующем: после запуска системы примерно через 30 секунд запускается и сразу закрывается Powershell, после чего антивирус публикует уведомление, что был заблокирован переход по ссылке. 
      Проверку на вирусы запускал дважды, никакие угрозы найти не удалось.
      Тест сообщения антивируса:
      Помогите устранить проблему, пожалуйста
      CollectionLog-2024.11.14-11.33.zip
    • mksmith
      Возникли проблемы с удалением вредоносного ПО на моем компьютере
      От mksmith
      Всем привет,
      Мне нужна помощь с проблемой вредоносного ПО которая постоянно появляется на моем компьютере Я заметил необычное поведение, например частые всплывающие окна и значительное замедление производительности. После сканированя Kaspersky было обнаружено несколько угроз но даже после выполнения предлагаемых шагов по их удалению проблемы сохраняются,
      Также я использовал Kaspersky Virus Removal Tool и выполнил полное сканирование системы, но я все еще вижу симптом заражения Я беспокоюсь о безопасноти своих данных и конфиденциальности, потому что мой браузер постоянно перенаправляет меня на неизвестные веб сайты.
      Может ли кто нибудь посоветовать мне, что еще мне следует сделать, чтобы избавиться от этого вредоносного ПО?? Есть ли какие-то конкретные инструменты или методы, которые вы рекомендуете для полной очистки??
      Кроме того, я нашел эти ресурсы, когда проводил исследование по этому вопросу https://forum.kasperskyclub.ru/rpa-Interview-questopic/464326-netmalwareurl/ и если у кого tо есть какие либо ресурсы, руководства или личный опыт, пожалуйста, поделитесь со мной, я буду очень признателен!!
       
      Спасибо

       
    • ***Leeloo***
      Мошенники,которые не имеют вредоносных ссылок и вложений
      От ***Leeloo***
      Банк России опубликовал статистику, согласно которой за первый квартал 2024 года банки отразили почти 14 млн попыток похищения денежных средств граждан кибермошенниками. Вместе с тем, злоумышленникам все-таки удалось украсть более 4,3 млрд руб. Увы! вернуть похищенное удалось только 7.7% от этой суммы. Большинство хищений произвелось с помощью социальной инженерий и телефонной связи.Многие люди считают, что аферисты обладают неким гипнозом, заставляя выполнять указания. Однако, как объяснила психолог, жертвы поддаются уговорам не из-за гипноза, а из-за особенностей работы человеческого организма во время стресса. В связи с чем мошенники могут обмануть практически любого человека.Мошенники во время звонка создают стрессовую для жертвы ситуацию. В частности, рассказывают о попытке кражи денег, оформления кредита, возбуждении уголовного дела и так далее. Человек, понятное дело, начинает нервничать.

      Далее в его организме начинает вырабатываться кортизол и адреналин, активизируется центр принятия эмоциональных решений (амигдала), в результате чего человек перестаёт рационально мыслить. Потому и совершает глупые поступки, на которые никогда не пойдёт в спокойной ситуации.Процесс работы амигдалы может длиться от двух секунд до нескольких дней, если стрессовая ситуация продолжается. Всё индивидуально, зависит от организма. Поэтому неудивительно, что некоторые люди могут переводить деньги мошенникам в течение недели.
      Один из самых лучших способов защиты от мошенников - это не разговаривать с ними вовсе. Можно сразу класть трубку, услышав про некие проблемы со счётом, картой и так далее. Можно вовсе не отвечать на звонки с незнакомых номеров.
      Есть ещё один способ мошенников,связанный с мессенджерами.

      Почти у всех есть мессенджеры и большинство пользуются ими.Как не попасть к мошенникам в сети обмана.На своём примере покажу факт обмана и как ему противостоять. После того, как появились интернет магазины в том числе и такие как маркетплейсы ОЗОН и Wildberries.Кстати многие пользуются их услугами и мошенники тоже хотят их использовать.Присылая вот такие заманчивые сообщения

      Для того чтобы проверить информацию о таком сообщении.Достаточно перейти на сам маркетплейс в раздел "Безопасность" 

      Как видим маркетплейсы, не используют мессенджеры.В результате можно догадаться кто стоит за этим сообщением и о его цели. Результат, которого будет в раскрытии вашей финансовой секретной информации.При этом будет просить какие то документы в виде паспорта для оформлении договора и т.д.,а также и номера и пин коды банковских карт,куда якобы перечислять финансовое вознаграждение.
      Будьте внимательны и осмотрительны.Особенно бдительны к разным заманчивым предложениям.
       
×
×
  • Создать...