Перейти к содержанию

Все фотографии и другие файлы изменили своё расширение

Михаил Соловьёв

От Михаил Соловьёв
в Помощь в борьбе с шифровальщиками-вымогателями

 Share

Рекомендуемые сообщения

Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
Опубликовано

Здравствуйте. Проблема точно такая же. Все фотографии и другие файлы изменили своё расширение. Подскажите, что нужно сделать что бы вам отправить логи, и я всё сделаю. Надеюсь только на вас

 

Сообщение от модератора Mark D. Pearlstone
Перемещено из темы
Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

Особенности: я работаю в программе TeamViewer (удаленное управление), с компьютером моего отца. Навыков работы с форумом, и программами он не имеет. Расширение файлов - xtbl. Обои изменились, теперь на рабочем столе, красуется надпись 

 

1. Kaspersky Virus Removal Tool 2011 - данной программой я воспользовался для проверки ПК. Было обнаружено 2 трояна 

2. Содержимое временных папок очистил, воспользовавшись инструкцией.

3. Перед запуском программы post-33853-0-95745700-1425738204_thumb.png и работа программыpost-33853-0-82160300-1425738208_thumb.png. В момент работы, программе потребовалось моё согласие ("I accept"), нажав на неё, программа начала устанавливаться или проверять, но вылезла ошибка (к сожалению я не сделал её скриншот).

4. CollectionLog-2015.03.07-18.27.zip

 

Если я правильно понял, то создавать новую тему мне уже не надо, ибо модератор создал новую тему, куда перенес моё сообщение. 

 

Спасибо заранее Вам.

post-33853-0-58147400-1425737569_thumb.png

post-33853-0-72994000-1425737652_thumb.png

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.

Перенесите Check_Browsers_LNK.log из папки автологгера на ClearLNK как показано на рисунке

move.gif

Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

Прикрепите этот отчет к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

А также

 

 

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

А также

 

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Боюсь, что не смогу выполнить скрипт в AVZ, моему отцу (компьютеру с которым я работаю) нужен интернет. В инструкции написано что надо выключить... Если иного выхода нет, то я буду вынужден его научить сделать скрипт (несколько часов)

Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

Скачал ClearLNK, сохранил и распоковал.
Вот отчёт:

 


Скачал ClearLNK, сохранил и распоковал.
Вот отчёт:

*распаковал


А также

 

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Сделайте новые логи по правилам? Т.е. мне нужно ещё раз запустить AutoLogger?


Прислали на почту, после того, как я отправил запрос на проверку файла команде Касперского.


И вот два файла. Логи Farbar Recovery Scan Tool:

 

 

 

ClearLNK-10.03.2015_08-17.log

post-33853-0-88561300-1425963960_thumb.png

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
     
    CreateRestorePoint:
HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
SearchScopes: HKU\S-1-5-21-425235011-3301523467-1703254800-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = http://webalta.ru/search?q={searchTerms}&from=IE
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\bepbmhgboaologfdajaanbcjmnhjmhfn [2014-08-28]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\dchlnpcodkpfdpacogkljefecpegganj [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\dcnejhigcbpjmkoohckmmlgoonfngkjd [2014-09-24]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jagncdcchgajhfhijbbhecadmaiegcmh [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodbbdjhdd [2014-01-28]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jkockghdbjojnengdjpdfjcjbaolidfp [2014-12-31]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-01-27]
CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjldcfjmnllhmgjclecdnfampinooman [2014-01-27]
2014-01-26 21:54 - 2014-01-26 21:54 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
2015-02-02 16:09 - 2015-02-02 16:09 - 0005039 _____ () C:\ProgramData\wmzddnmb.cix
Reboot:
  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
  • 2 weeks later...
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

пофиксите в Hijackthis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R3 - Default URLSearchHook is missing
O2 - BHO: BhoApp Class - {0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} - C:\Program Files (x86)\Ticno\Tabs\TicnoTabsBho111217.dll
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

новый лог приложите.

 


http://forum.kasperskyclub.ru/index.php?showtopic=7607&do=findComment&comment=78496

Ссылка на комментарий
Поделиться на другие сайты
Михаил Соловьёв Новичок

Михаил Соловьёв

Опубликовано
  • Автор
Опубликовано

Посмотрел как сделать скрипт. Напротив всех не смог поставить галочки, только 2 нашёл


Скидываю вам - список - тех, что смог найти. И документ.

post-33853-0-11702800-1427362335_thumb.png

post-33853-0-11453000-1427362343_thumb.png

post-33853-0-89440500-1427362350_thumb.png

hijackthis.log

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...