Перейти к содержанию

Ваши файлы были зашифрованы .xtbl

dmitriy.avp
 Share Подписчики 0

Рекомендуемые сообщения

dmitriy.avp

dmitriy.avp 0

Опубликовано
Опубликовано

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
FAA6F54ADA7AFAED3A44|0
на электронный адрес deshifrator01@gmail.com или deshifrovka@india.com .
Далее вы получите все необходимые инструкции.  
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

 

Добрый день ! Вот такая штука, по всему экрану и в файлах .txt.

 

p.s тему создал только здесь. Очень надеюсь на вашу помощь.

CollectionLog-2015.02.11-13.56.zip

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! Деинсталлируйте:
 

Settings Manager
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\intel\web\microsoft\surfguard.exe');
 TerminateProcessByName('c:\program files\assets manager\smdmf\smdmfservice.exe');
 TerminateProcessByName('c:\intel\web\microsoft\safesurf.exe');
 SetServiceStart('F06DEFF2-5B9C-490D-910F-35D3A9119622', 4);
 StopService('F06DEFF2-5B9C-490D-910F-35D3A9119622');
 QuarantineFile('c:\program files\settings manager\smdmf\x64\sysapcrt.dll','');
 QuarantineFile('C:\windows\TEMP\1A6.tmp','');
 QuarantineFile('C:\windows\TEMP\130.tmp','');
 QuarantineFile('C:\WINDOWS\system32\FdDttQYRsYxGpS.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\IEUpdate\w32tm.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\IEUpdate\ntvdm.exe','');
 QuarantineFile('C:\Documents and Settings\user\Application Data\Abipho\ylkyn.exe','');
 QuarantineFile('C:\Documents and Settings\Default User\Application Data\Microsoft\Windows\IEUpdate\w32tm.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe','');
 QuarantineFile(',G:\DUSKO\svjetlana.exe','');
 QuarantineFile('C:\Program Files\Settings Manager\smdmf\smdmfmgrc3.cfg','');
 QuarantineFile('c:\intel\web\microsoft\surfguard.exe','');
 QuarantineFile('c:\program files\assets manager\smdmf\smdmfservice.exe','');
 QuarantineFile('c:\intel\web\microsoft\safesurf.exe','');
 DeleteFile('c:\intel\web\microsoft\safesurf.exe','32');
 DeleteFile('c:\program files\assets manager\smdmf\smdmfservice.exe','32');
 DeleteFile('c:\intel\web\microsoft\surfguard.exe','32');
 DeleteFile('C:\Program Files\Settings Manager\smdmf\smdmfmgrc3.cfg','32');
 DeleteFile(',G:\DUSKO\svjetlana.exe','32');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe','32');
 DeleteFile('C:\Documents and Settings\Default User\Application Data\Microsoft\Windows\IEUpdate\w32tm.exe','32');
 DeleteFile('C:\Documents and Settings\user\Application Data\Abipho\ylkyn.exe','32');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\IEUpdate\ntvdm.exe','32');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\IEUpdate\w32tm.exe','32');
 DeleteFile('C:\windows\TEMP\130.tmp','32');
 DeleteFile('C:\windows\TEMP\1A6.tmp','32');
 DeleteFile('C:\windows\system32\FdDttQYRsYxGpS.exe','32');
 DeleteFile('c:\program files\settings manager\smdmf\x64\sysapcrt.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','w32tm');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','w32tm');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Command Processor','AutoRun');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Command Processor\','Autorun');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','w32tm');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','w32tm');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Command Processor','AutoRun');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Command Processor\','Autorun');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3375732510-733476473-3849998313-1003\Software\Microsoft\Windows\CurrentVersion\Run','{81CDE739-4F21-EA85-B58B-74AC2B9EEC65}');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3375732510-733476473-3849998313-1003\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','UeLDwwBIrwI_QtizZrzjwUJXsW');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CrashReportSaver');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','TimeChecker');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3375732510-733476473-3849998313-1003\Software\Microsoft\Windows\CurrentVersion\Run','UeLDwwBIrwI_QtizZrzjwUJXsW');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 DeleteService('F06DEFF2-5B9C-490D-910F-35D3A9119622');  
 DeleteFileMask('C:\Documents and Settings\All Users\Application Data\smdmf', '*', true, ' ');
 DeleteDirectory('C:\Documents and Settings\All Users\Application Data\smdmf');
 DeleteFileMask('C:\Program Files\Assets Manager', '*', true, ' ');
 DeleteDirectory('C:\Program Files\Assets Manager');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(9);
end.
 
Перезагрузите сервер вручную. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
 
O4 - HKLM\..\Run: [CrashReportSaver] C:\windows\TEMP\1A6.tmp
O4 - HKLM\..\Run: [TimeChecker] C:\windows\TEMP\130.tmp
O4 - HKUS\S-1-5-21-3375732510-733476473-3849998313-1003\..\Policies\Explorer\Run: [UeLDwwBIrwI_QtizZrzjwUJXsW] C:\WINDOWS\system32\FdDttQYRsYxGpS.exe (User 'Ткаченко Евгения')
O4 - S-1-5-21-3375732510-733476473-3849998313-1003 Startup: System Check.lnk = C:\WINDOWS\system32\FdDttQYRsYxGpS.exe (User 'Ткаченко Евгения')
O4 - S-1-5-18 Startup: ntvdm.lnk = C:\Documents and Settings\Default User\Application Data\Microsoft\Windows\IEUpdate\ntvdm.exe (User 'SYSTEM')
O4 - S-1-5-18 Startup: w32tm.lnk = C:\Documents and Settings\Default User\Application Data\Microsoft\Windows\IEUpdate\w32tm.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: ntvdm.lnk = C:\Documents and Settings\Default User\Application Data\Microsoft\Windows\IEUpdate\ntvdm.exe (User 'Default user')
O4 - .DEFAULT Startup: w32tm.lnk = C:\Documents and Settings\Default User\Application Data\Microsoft\Windows\IEUpdate\w32tm.exe (User 'Default user')
O20 - AppInit_DLLs:
 
Сделайте новые логи Автологгером не через терминальную сессию. 
 

Скачайте Malwarebytes' Anti-Malware, установите (во время установки откажитесь от использования Пробной версии), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs
Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве
 
 
В следующем вашем ответе мне требуются следующие отчеты:
 
1. CollectionLog-yyyy.mm.dd-hh.mm.zip
 
2. Лог MBAM.
Ссылка на сообщение
Поделиться на другие сайты
dmitriy.avp

dmitriy.avp 0

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.   На запросы от лицензионных пользователей, которые были отправлены из Личного Кабинета https://my.kaspersky.com/ru/support/viruslab, или из CompanyAccount (https://companyaccount.kaspersky.com) будет предоставлен дополнительный ответ от вирусного аналитика.

 

130.tmp - Trojan-PSW.Win32.Tepfer.uvvx

1A6.tmp - Trojan-PSW.Win32.Agent.apjc

csrss.exe - Backdoor.Win32.Androm.gcpa

 

Детектирование файлов будет добавлено в следующее обновление.

 

FdDttQYRsYxGpS.exe,

safesurf.exe,

w32tm.exe

 

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

 

smdmfservice.exe - not-a-virus:WebToolbar.Win64.SearchSuite.e

 

Это - потенциально опасное ПО. Детектирование файла будет добавлено в следующее обновление.

 

surfguard.exe

 

Вредоносный код в файле не обнаружен.

 

С уважением, Лаборатория Касперского

 

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700  http://www.kaspersky.ru http://www.viruslist.ru"

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано (изменено)

 

 

Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#1)

 

Логи просил сделать не через терминальную сессию. 

 

Лог MBAM где? 

Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты
dmitriy.avp

dmitriy.avp 0

Опубликовано
  • Автор
Опубликовано

Лог MBAM


Пока нет возможности локально сделать. Если критично, тогда я сьезжу сделаю локальну и скину.

MBAM-log-2015-02-13 (15-07-35).txt

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

1. Выполните скрипт в AVZ:

begin          
 QuarantineFile('C:\WINDOWS\TEMP\160.tmp','');
 QuarantineFile('C:\WINDOWS\TEMP\2FB.tmp','');
 QuarantineFile('C:\WINDOWS\TEMP\2FE.tmp','');
 QuarantineFile('C:\WINDOWS\TEMP\682.tmp','');
 QuarantineFile('C:\WINDOWS\TEMP\AD.tmp','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');  
end.
quarantine2.zip из папки AVZ отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 
 

2. Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).
 
Registry Keys Detected: 3
HKLM\SOFTWARE\JetSwap (PUP.Optional.SafeGuard) -> No action taken.
HKLM\SOFTWARE\SmdmF (PUP.Optional.SettingsManager.A) -> No action taken.
HKLM\SOFTWARE\System32 (Backdoor.Bifrose) -> No action taken.
 
Folders Detected: 7
C:\Documents and Settings\Default User\AppData\LocalLow\DataMngr (PUP.Optional.Datamngr.A) -> No action taken.
C:\Program Files\Settings Manager\smdmf (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\Администратор\Application Data\FirefoxToolbar\Settings Manager (PUP.Optional.SettingsManager.A) -> No action taken.
 
Files Detected: 77
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF14.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF10.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF11.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF12.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF13.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF15.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF16.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF17.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF18.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF19.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF2.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF20.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF21.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF22.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF23.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF24.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF25.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF26.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF27.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF28.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF29.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF30.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF31.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF32.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF33.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF34.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF4.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF5.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF6.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF7.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF8.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF9.dll (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\Sun\Java\Deployment\cache\6.0\28\7d7e05dc-4fb0a33c (Spyware.Zbot) -> No action taken.
C:\Documents and Settings\user\Application Data\Sun\Java\Deployment\cache\6.0\59\7665b2bb-54439d94 (Trojan.Agent.Gen) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\sr_SettingsManagerSetup.exe (PUP.Optional.Linkey.A) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\nsf11EC\Uninstall.exe (PUP.Optional.Linkey.A) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\nsr11BD\tbicon.exe (PUP.Optional.Linkey.A) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\nsr11BD\nsx11C1.tmp\ffExtension.exe (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\nsr11BD\nsx11C1.tmp\mediabar.exe (PUP.Optional.Linkey.A) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\nsr11BD\nsx11C1.tmp\pack.exe (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\nsr11BD\nsx11C1.tmp\SettingsManagerMediaBar.exe (PUP.Optional.Linkey.A) -> No action taken.


C:\WINDOWS\TEMP\160.tmp (Spyware.Password) -> No action taken.
C:\WINDOWS\TEMP\2FB.tmp (Trojan.Agent.ED) -> No action taken.
C:\WINDOWS\TEMP\2FE.tmp (Trojan.Agent.ED) -> No action taken.
C:\WINDOWS\TEMP\682.tmp (Spyware.Password) -> No action taken.
C:\WINDOWS\TEMP\AD.tmp (Trojan.MSIL) -> No action taken.
C:\WINDOWS\TEMP\ae7243c2\DSManagerSetup.exe (PUP.Optional.Linkey.A) -> No action taken.
C:\WINDOWS\TEMP\nsxD22\tbicon.exe (PUP.Optional.Linkey.A) -> No action taken.
C:\WINDOWS\TEMP\nsxD22\nseD24.tmp\pack.exe (PUP.Optional.SettingsManager.A) -> No action taken.
C:\WINDOWS\TEMP\nsxD22\nseD24.tmp\new_folder\SmdmFService.exe (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Program Files\Mozilla Firefox\browser\searchplugins\default-search.xml (PUP.Optional.DefaultSearch.A) -> No action taken.
C:\Documents and Settings\Default User\AppData\LocalLow\DataMngr\{99BB1406-1CFB-488C-90D1-2D978E04F707} (PUP.Optional.Datamngr.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\chrome.manifest (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\qx4cA3zN70uj3hKC2L5QpW8SFybX1Kr2iUH-Vo1DrnE=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\components\SmdmFHlpFF.xpt (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\7kogQOeciewoLe9gwTvXoKZsSEAKjL-TzU57fcbgEEw=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\c+JhfsrKN8gH-zvtqSpYNG-L5N3K2m9Xxmwv-Q2qHHY=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\dHi0OtOoollbZ5NryD43O-TFP--AV-T0KnagC-bBabqdIjG5JXvaTt3dznxWxNUy.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\E5zHH0d2rladvx319T-FQ8vIxeLJ1QQol0nr8qVQSyg=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\fQJVdWZtS+qaNG4GDXpXg7GDQn3ZaLyMu3QkyxB08Dk=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\G48yv0APCma9hRBuJQcrrjEdGr-gFh654dn9UmNPZKU=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\hb3prn5K99Xh6yD2o8d3FvqYKIaYOJtAA5XdtSQvUEHpGcMWqReYY5RcJ4plgvn7.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\IVVECCgt+3CbOnaF9udNxcRkgX9uT20+T7Iz+Fuy-DY=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\overlay.xul (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\Qok4ug81s8ysB7zPAie2y7tK+Td+F7uEP413TEGyWig=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
C:\Documents and Settings\user\Application Data\FirefoxToolbar\Settings Manager\smdmf\content\v0z4JE8gqtKL5KmtXsyZjPdFYOxNue56mv6JTbbqP6Q=.xtbl (PUP.Optional.SettingsManager.A) -> No action taken.
 
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
 

 

Ссылка на сообщение
Поделиться на другие сайты
dmitriy.avp

dmitriy.avp 0

Опубликовано
  • Автор
Опубликовано

KLAN-251927863

 

Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.   На запросы от лицензионных пользователей, которые были отправлены из Личного Кабинета https://my.kaspersky.com/ru/support/viruslab, или из CompanyAccount (https://companyaccount.kaspersky.com) будет предоставлен дополнительный ответ от вирусного аналитика.

 

160.tmp - Trojan-PSW.Win32.Tepfer.uvvx

2FB.tmp,

2FE.tmp - Trojan-PSW.Win32.Tepfer.uvts

682.tmp - Trojan.Win32.Crypt.dbs

AD.tmp - Backdoor.Win32.Androm.gdde

 

Детектирование файлов будет добавлено в следующее обновление.

 

С уважением, Лаборатория Касперского

 

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700  http://www.kaspersky.ru http://www.viruslist.ru"

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

Смените все пароли.

 

 

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

?

Ссылка на сообщение
Поделиться на другие сайты
dmitriy.avp

dmitriy.avp 0

Опубликовано
  • Автор
Опубликовано

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

 

А что имееться ввиду? Удалять все в MBAM?

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

 

C:\Documents and Settings\Администратор\Local Settings\Temp\nsr11BD\nsx11C1.tmp\ffExtension.exe

 

Удалите вручную. В остальном логи в порядке. С расшифровкой помочь не сможем.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем

  • Похожий контент

    • Andrey73
      Имеются зашифрованные файлы XTBL, ShadeDecryptor не помогает
      От Andrey73
      В декабре 2017 года, был зашифрован компьютер, тогда не было денег и времени на его расшифровку.
      Сейчас и деньги и время появилось, обратился в сообщество Касперского, где с пользователь andrew75, помог с файлами .no_more_ransom, это тот формат которыми были зашифрована самая малая часть информации, в основном XTBL.
      Вот эта тема в сообществе, там подробно мы общались на эту тему: https://community.kaspersky.com/kaspersky-virus-removal-tool-77/goda-2-nazad-popal-v-kompyuter-virus-zashifroval-vse-fayly-v-format-xtbl-16600?postid=75980#post75980
      Получается, у меня есть xtbl файлы, есть файл txt с вымогательством, но программа ShadeDecryptor не помогает. Прошу помочь в решении проблемы, буду очень благодарен ! 
      На счет операционной системы (ОС), в 2018 году брат поставил 2 ОС и уже использовал 2 ОС, первую не трогал, а теперь я этот ЖМД поставил в свой компьютер.
      5 зашифрованных файла и txt с требованиями прикрепляю .
       
      57553.zip
    • ericOTT
      Ваши файлы были зашифрованы.
      От ericOTT
      Здравствуйте!
      Прошу помощи. Одна надежда на вас; ни одна утилита с оффициального сайта Касперского не подходит..
      Зашифровались все важные для меня файлы на всех трёх винчестерах компьютера(2.5 терабайта), а именно фото, видео, картинки, видео и прочее..
       
      На рабочем столе вместо фонового рисунка на чёрном фоне красными буквами: Внимание !все важные файлы на всех дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt которые можно найти на из дисков (скрин прилагается)
      А все файлы зашифровались в белиберду с расширением.xtbl,
      например вот: rfWw3-qCPp9sWKr9aa4ILQS3uyuXN75kcQ3O-LOxiwREmqXeHx8PsUr3a9GY1ELh.xtbl
       
      В многочисленных текстовиках созданных вирусом пишется вот это:
       
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      82C551F386DC56F5EF49|0
      на электронный адрес deshifrovka01@gmail.com или deshifrovka@india.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      82C551F386DC56F5EF49|0
      to e-mail address deshifrovka01@gmail.com or deshifrovka@india.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
       
       
       
      В дополнение к вложениям вот ссылка на файлообменник Я.диск ; выложил туда несколько зашифрованных файлов, тхт созданные вирусом, скрин рабочего стола, лог Др.Вэб и архив CollectionLog-2015.01.18-18.41.zip, + вообще всё что имеется по моей проблеме.
      Если что-то ещё надо, только скажите.
      Очень жду вашей помощи.
      Заранее огромное спасибо.

      CollectionLog-2015.01.18-18.41.zip
    • Жека Шпак
      расширение xtbl
      От Жека Шпак
      несколько лет назад схватил вирус,который поменял все файлы на расширение .xtbl пропало много фоток.подскажите,как восстановить


      Сообщение от модератора thyrex Перенесено из раздела Компьютерная помощь
    • Ilya08111989
      Зашифрованные файлы трояном ransom
      От Ilya08111989
      После заражения компьютера на рабочем столе появилась картинка с надписью "Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы" а так же появился текстовый файл с текстом readme:
       
      Все файлы изменили свое название в набор символов с расширением xtbl
      CollectionLog-2018.11.14-22.27.zip
    • mike 1
      Рекомендации по защите данных от троянцев-шифровальщиков
      От mike 1
      Введение:


       

      Привет путник! На написание этой статьи меня побудило полное разгильдяйство и халатность некоторых людей, которые работают бухгалтерами, секретарями, клерками, менеджерами и прочими людьми, которые так или иначе работают с электронной почтой на компьютере. Оказывая компьютерную помощь в разделе "Уничтожение вирусов", я заметил, что люди совершенно ни чему не учатся и продолжают ходить по одним и тем же граблям, запуская всякую хрень из электронной почты. Каждый раз когда я читаю очередную тему с шифровальщиком в разделе "Уничтожение вирусов", я вспоминаю один момент из мультика Буратино:
       





       

      Но не будем о грустном и перейдем к рекомендациям, которые я могу дать Вам пользователям.
       
       
       


      Общие рекомендации:


       
       
       

      1. Никогда не открывайте почтовые вложения от неизвестных отправителей!
       
       
       
      В большинстве случаев троянцы-шифровальщики распространяются через почтовые вложения. Задача злоумышленника – убедить пользователя открыть вложение из письма, поэтому темы писем могут быть разными, например: уведомление из арбитражного суда об иске; исполнительное производство о взыскании задолженности; возбуждение уголовного дела; перерасчет в Сбербанке; изменения в тарифном плане и т.д.
       





      Рис. 1 Архив с вирусом


       

      Никогда не открывайте вложения из писем, которые были получены от неизвестных адресатов, каким бы страшным не был заголовок. Если в письме прикреплен архив, то потрудитесь просто посмотреть содержимое архива. И если там исполняемый файл (файл с расширением .exe, .com, .bat, .cmd, .scr, .js, pif, wsf, wsh, jse) как выше, то это 100% вирус.
       
      На заметку: Даже если Вы получили письмо от известного адресата не теряйте бдительность! Если Вы все же чего-то боитесь, то всегда можно узнать истинный адрес той организации, от которой Вы получили письмо.
       
      Для решения этой проблемы можно воспользоваться FixSecurity by Vitokhv, которая на компьютере настраивает SRP политики таким образом, что становится невозможным запустить популярные типы исполняемых файлов.
       





      Рис. 2 Настройка FixSecurity. Рекомендуется выбрать настройки по умолчанию


       
       
       

      Если у Вас имеется какой-либо вопрос по работе с FixSecurity, то Вы можете задать свой вопрос разработчику здесь http://safezone.cc/threads/fixrun-fixsecurity-zaschita-ot-shifrovalschikov.28159/
       


      Kaspersky Anti-Ransomware Tool for Business


       
       
       

      Kaspersky Anti-Ransomware Tool for Business - бесплатный и достаточно эффективный инструмент, разработанный «Лабораторией Касперского», который обеспечивает защиту от действий программ-вымогателей. При обнаружении угрозы Kaspersky Anti-Ransomware Tool автоматически блокирует ее и добавляет в список заблокированных приложений (Blocked Applications). Перед тем как выполнить блокировку, программа-вымогатель может успеть выполнить нежелательные действия в операционной системе (например, создать или изменить файлы, или сделать изменения в реестре). Чтобы выполнить откат действий вредоносной программы Kaspersky Anti-Ransomware Tool хранит историю деятельности приложений.
       





       

      Kaspersky Anti-Ransomware Tool для защиты от программ-вымогателей использует различные методы обнаружения угроз. Инструмент идентифицирует вредоносные приложения на основе информации, содержащейся в Kaspersky Security Network. Облачная сеть Kaspersky Security Network используется, чтобы обеспечить более быстрое реагирование на неизвестные угрозы.
       
      Благодаря пользователям, которые принимают участие в Kaspersky Security Network, «Лаборатория Касперского» способна оперативно собирать информацию о новых типах и источниках угроз, а также разрабатывать решения для их нейтрализации. Участие в Kaspersky Security Network, предполагает отправку статистики, собираемой Kaspersky Anti-Ransomware Tool for Business на вашем компьютере.
       
      Kaspersky Anti-Ransomware Tool for Business совместим со сторонними антивирусными программами и может служить дополнительной защитой от троянов-вымогателей и шифровальщиков с использованием передовых технологий.
       
      Более подробную информацию по Kaspersky Anti-Ransomware Tool for Business смотрите здесь https://virusinfo.info/showthread.php?t=203022
       
      Скачать Kaspersky Anti-Ransomware Tool for Business можно по этой ссылке.
       
       
       
      2. Своевременно обновляйте антивирус, антивирусные базы, операционную систему и другие программы:
       
       
       
      Регулярно обновляйте Ваш антивирус. Очень важно использовать последнюю версию антивируса, т.к. в новых версиях исправляют ошибки и улучшают алгоритмы нахождения свежих вирусов. Вместе с антивирусными базами обновляются программные компоненты, улучшаются существующие функции и добавляются новые. Также устанавливайте обновления для операционной системы и других программ, которыми Вы пользуетесь. Это тоже очень важно, т.к. некоторые вирусы могут использовать уязвимости Windows и прикладного ПО для запуска произвольного вредоносного кода, например шифровальщика.
       
      На заметку: Использование устаревшего антивируса не может обеспечить адекватную защиту Ваших данных. Убедитесь в том, что на сайте производителя нет новой версии антивируса. Если же новая версия есть на сайте производителя, то обязательно обновите текущую версию Вашего антивируса!
       
      Для аудита безопасности системы можно использовать бесплатную программу от Secunia, которую можно скачать и установить по этой ссылке.
       
       
       





      Рис. 3 Сканер от Secunia, сканирующий систему на известные уязвимости.


       
       
       

      3. Не работайте под учетной записью Администратора!
       
       
       
      Я крайне не рекомендую работать под учетной записью Администратора обычным пользователям, особенно бухгалтерам, секретарям, клеркам, менеджерам и т.д. Почему это так плохо? Потому что такой пользователь обладает неограниченными правами и все что доступно ему, доступно и вирусу. Имея такие права, неопытный пользователь может случайно запустить вирус из электронной почты. А к чему это может привести думаю говорить не нужно. Так что старайтесь по возможности работать под учетной записью пользователя, а не Администратора!
       
      На заметку: Если Вам требуется запустить какую-то программу с правами Администратора, то воспользуйтесь контекстным меню проводника и выберите "Запуск от имени Администратора".
       
      Внимание! Начиная с Windows Vista в операционной системе есть встроенный защитный механизм, который называется UAC (контроль учетных записей). UAC не позволяет запускать программы без уведомления. Я настоятельно рекомендую не отключать его, т.к. если Вы его отключите, то тогда вредоносная программа может быть запущена без уведомления!
       
       
       
      4. Настройте доступ к общим сетевым папкам.
       
       
       
      Если вы используете общие сетевые папки, то рекомендуется создать отдельную сетевую папку для каждого пользователя. При этом права на запись должны быть только у владельца папки. Таким образом, при заражении одного компьютера файлы будут зашифрованы только в одной сетевой папке. В противном случае, заражение одного компьютера может привести к шифрованию всех документов на всех сетевых папках.
       
       
       
      5. Регулярно делайте резервные копии важных данных.
       
      Резервное копирование — процесс создания копии данных на жёстком диске, флешке, облаке и т. д.. Резервное копирование необходимо для восстановления поврежденных данных, которые повредились в основном месте их хранения. Зачем их делать и для чего они бывают нужны, я описал в этой https://forum.kasperskyclub.ru/index.php?app=blog&module=display&section=blog&blogid=320&showentry=2083 статье.
       
       
       


      Рекомендации по настройке параметров Windows


       
       
       

      1. Отключите настройку скрытия расширений для зарегистрированных типов файлов.
       
       
       
      По умолчанию во всех версиях Windows включена настройка, которая скрывает зарегистрированные типы файлов. К таким файлам относятся и исполняемые файлы.
      Допустим на мою электронную почту пришло письмо следующего содержания:
       
       
       
       
       
       

      На заметку: Не стоит сразу идти и открывать вложение или ссылку из такого письма, даже если оно пришло от известного отправителя. Сперва убедитесь, что файл не является исполняемым (файлы с расширением .exe, .com, .bat, .cmd, .scr, .js, pif, wsf, wsh, jse и т.д)!
       
       
       
      Итак, я скачал и распаковал прикрепленный архив к письму и что я вижу:
       




       

      С виду обычный офисный файл, но давайте отключим настройку, скрывающую зарегистрированные типы файлов. Итак, что же мы теперь видим:
       




       
       
       

      С виду кажется, что это обычный офисный файл, но если присмотреться, то видно, что в конце у файла добавилось расширение *.scr. Теперь давайте вспомним какие файлы относятся к исполняемым?
       
       
       
       
       
       

      Что же это означает? А означает это, что под видом нужного файла нам пытаются подсунуть кота в мешке, который при запуске зашифрует нам все наши данные.
       
      На заметку: Будьте внимательны при работе с почтой! Некоторые злоумышленники специально дают таким "нужным" файлам длинные имена, чтобы скрыть расширение у файла, например:
       




       
       
       
       
       

      Для отключения этой настройки, выполните следующий скрипт в AVZ:
      beginRegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced', 'HideFileExt', 'REG_DWORD', '0');RebootWindows(false);end.
      Компьютер перезагрузится.
       

      2. Включите службу теневого копирования для всех дисков.
       
      Начиная с Windows Vista в состав операционных систем Windows входит служба защиты системы на всех дисках, которая создаёт резервные копии файлов и папок во время архивации или создания точки восстановления системы. По умолчанию эта служба включена только для системного раздела. Рекомендуется включить эту службу для всех дисков. Включить ее можно для других дисков, выполнив следующие действия:
       
       
       
      Откройте меню Пуск => Панель управления, в новом окне выберите компонент «Система».
       




       

      В левой области выберите Защита системы. Если отображается запрос на ввод пароля администратора или его подтверждения, укажите пароль или предоставьте подтверждение.
       




       

      Выберите диск, а затем нажмите кнопку Настроить.
       




       

      В следующем окне включите восстановление системы для выбранного диска, затем задайте максимальное использование дискового пространства под нужды системы и нажмите на кнопку "Применить".
       




       

      На заметку: Я рекомендую под эти нужды выделить не менее 5% от общей емкости диска.
       
      Теперь у Вас в случае заражения шифровальщиком компьютера будет возможность восстановить данные из теневых копий Windows со всех дисков. Как это сделать я опишу ниже:
       
      1. У Вас имеются зашифрованные файлы, которые нужно восстановить.
       




       
       
       

      2. Скачайте утилиту ShadowExplorer, распакуйте в новую папку и запустите от имени Администратора.
       




       

      3. Выберите элементы для восстановления, затем щелкните правой кнопкой мыши по выбранным файлам и нажмите на кнопку "Export"
       
      Важно! Лучше всего данные восстанавливать на отдельный флэш накопитель.
       




       
       
       

      4. Выберите папку куда нужно будет сохранить восстановленные файлы и нажмите на кнопку "ОК"
       
       
       




       

      5. Дождитесь окончания работы программы.
       
      Внимание! Некоторые шифровальщики будут пытаться удалить теневые копии, если Вы работаете под учетной записью Администратора! По возможности старайтесь в повседневной жизни использовать только учетную запись пользователя. В этом случае шифровальщик не сможет их удалить без запроса на повышение прав от UAC (контроля учетных записей).
       


      Заключение:


       

      Вы познакомились с основными рекомендациями по защите ваших данных от троянцев-шифровальщиков. Если у Вас есть какие-то вопросы, то Вы можете задать их ниже. Благодарю за внимание!
×
×
  • Создать...