ransom.shade Все фотографии и другие файлы изменили своё расширение

[Михаил Соловьёв]

Здравствуйте. Проблема точно такая же. Все фотографии и другие файлы изменили своё расширение. Подскажите, что нужно сделать что бы вам отправить логи, и я всё сделаю. Надеюсь только на вас

 

Сообщение от модератора Mark D. Pearlstone

Перемещено из темы

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Михаил Соловьёв]

Особенности: я работаю в программе TeamViewer (удаленное управление), с компьютером моего отца. Навыков работы с форумом, и программами он не имеет. Расширение файлов - xtbl. Обои изменились, теперь на рабочем столе, красуется надпись 

 

1. Kaspersky Virus Removal Tool 2011 - данной программой я воспользовался для проверки ПК. Было обнаружено 2 трояна 

2. Содержимое временных папок очистил, воспользовавшись инструкцией.

3. Перед запуском программы  и работа программы. В момент работы, программе потребовалось моё согласие ("I accept"), нажав на неё, программа начала устанавливаться или проверять, но вылезла ошибка (к сожалению я не сделал её скриншот).

4. CollectionLog-2015.03.07-18.27.zip

 

Если я правильно понял, то создавать новую тему мне уже не надо, ибо модератор создал новую тему, куда перенес моё сообщение. 

 

Спасибо заранее Вам.

[Roman_Five]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.

Перенесите Check_Browsers_LNK.log из папки автологгера на ClearLNK как показано на рисунке

Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

Прикрепите этот отчет к своему следующему сообщению.

[thyrex]

А также

 

 

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

[Roman_Five]

А также:
приложите логи Farbar Recovery Scan Tool

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=647696

[Михаил Соловьёв]

А также

 

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Боюсь, что не смогу выполнить скрипт в AVZ, моему отцу (компьютеру с которым я работаю) нужен интернет. В инструкции написано что надо выключить... Если иного выхода нет, то я буду вынужден его научить сделать скрипт (несколько часов)

[Roman_Five]

 

 

В инструкции написано что надо выключить...

можете не отключать. скрипт сам отключит. на время.

[Михаил Соловьёв]

Скачал ClearLNK, сохранил и распоковал.
Вот отчёт:

 

Скачал ClearLNK, сохранил и распоковал.
Вот отчёт:

*распаковал

А также

 

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Сделайте новые логи по правилам? Т.е. мне нужно ещё раз запустить AutoLogger?

Прислали на почту, после того, как я отправил запрос на проверку файла команде Касперского.

И вот два файла. Логи Farbar Recovery Scan Tool:

 

 

 

ClearLNK-10.03.2015_08-17.log

Addition.txt

FRST.txt

[Roman_Five]

 

 

Сделайте новые логи по правилам

[Михаил Соловьёв]

 Ещё что-нибудь нужно делать?

CollectionLog-2015.03.11-13.18.zip

[thyrex]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
   

  CreateRestorePoint:
  HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
  HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
  HKU\S-1-5-21-425235011-3301523467-1703254800-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
  SearchScopes: HKU\S-1-5-21-425235011-3301523467-1703254800-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = http://webalta.ru/search?q={searchTerms}&from=IE
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\bepbmhgboaologfdajaanbcjmnhjmhfn [2014-08-28]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\dchlnpcodkpfdpacogkljefecpegganj [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\dcnejhigcbpjmkoohckmmlgoonfngkjd [2014-09-24]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jagncdcchgajhfhijbbhecadmaiegcmh [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodbbdjhdd [2014-01-28]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\jkockghdbjojnengdjpdfjcjbaolidfp [2014-12-31]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-01-27]
  CHR Extension: (No Name) - C:\Users\павр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjldcfjmnllhmgjclecdnfampinooman [2014-01-27]
  2014-01-26 21:54 - 2014-01-26 21:54 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
  2015-02-02 16:09 - 2015-02-02 16:09 - 0005039 _____ () C:\ProgramData\wmzddnmb.cix
  Reboot:
  

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  
• Обратите внимание, что компьютер будет перезагружен.
  

[Михаил Соловьёв]

Вот

 

Fixlog.txt

[Roman_Five]

пофиксите в Hijackthis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R3 - Default URLSearchHook is missing
O2 - BHO: BhoApp Class - {0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} - C:\Program Files (x86)\Ticno\Tabs\TicnoTabsBho111217.dll
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

новый лог приложите.

 

http://forum.kasperskyclub.ru/index.php?showtopic=7607&do=findComment&comment=78496

[Михаил Соловьёв]

Посмотрел как сделать скрипт. Напротив всех не смог поставить галочки, только 2 нашёл

Скидываю вам - список - тех, что смог найти. И документ.

hijackthis.log