ransom.shade Вирус зашифровал файлы

[Вадим Викторович]

Вирус зашифровал файлы.

 

сделал автолог :

Воспользовался программкой ClearLNK

CollectionLog-2015.03.23-23.18.zip

ClearLNK-23.03.2015_23-22.log

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\Users\Gpnt\appdata\roaming\x11\a\engine.exe','');
 QuarantineFile('C:\Users\Gpnt\AppData\Roaming\cppredistx86.exe','');
 QuarantineFile('C:\Users\Gpnt\AppData\Local\1524990\svсhоst.exe','');
 TerminateProcessByName('c:\users\gpnt\appdata\roaming\ssleas.exe');
 QuarantineFile('c:\users\gpnt\appdata\roaming\ssleas.exe','');
 DeleteFile('c:\users\gpnt\appdata\roaming\ssleas.exe','32');
 DeleteFile('C:\Users\Gpnt\AppData\Local\1524990\svсhоst.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe');
 DeleteFile('C:\Users\Gpnt\AppData\Roaming\cppredistx86.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Microsoft Visual C++ 2010');
 DeleteFile('C:\Users\Gpnt\appdata\roaming\x11\a\engine.exe','32');
 DeleteFileMask('C:\Users\Gpnt\appdata\roaming\x11', '*', true, ' ');
 DeleteDirectory('C:\Users\Gpnt\appdata\roaming\x11');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

 

O2 - BHO: AMD SteadyVideo BHO - {6C680BAE-655C-4E3D-8FC4-E6A520C3D928} - (no file)
O4 - Startup: Steam.lnk = ?

 

 

Сделайте новые логи Автологгером. 

 

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

Изменено 23 марта, 2015 пользователем mike 1

[Вадим Викторович]

Выполнил просьбу с Farbar Recovery Scan Tool и автологгер

Немного раньше до создания этой темы выполнил запрос на анлаиз файла KLAN-2616284391, тот который сейчас сделан еще анализируется, наверо

FRST.txt

Addition.txt

CollectionLog-2015.03.24-00.34.zip

[thyrex]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
   

  CreateRestorePoint:
  FF Extension: ВКонтакте.ру Downloader - C:\Users\Gpnt\AppData\Roaming\Mozilla\Firefox\Profiles\ezxz8dqm.default\Extensions\vk@sergeykolosov.mp.xpi [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\bepbmhgboaologfdajaanbcjmnhjmhfn [2014-10-27]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-10-12]
  CHR Extension: (No Name) - C:\Users\Gpnt\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-10-12]
  2015-03-22 23:11 - 2015-03-22 23:11 - 00442896 _____ () C:\Users\Gpnt\AppData\Roaming\data13.dat
  2015-03-16 18:22 - 2015-03-16 18:22 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_lgandnetadb_01005.Wdf
  Reboot:
  

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  
• Обратите внимание, что компьютер будет перезагружен.
  

 

Все установленные расширения для Firefox Вам известны?

[Вадим Викторович]

вот с последнего отправленного запроса на анализ фалов KLAN-2616542478

 

пофиксил

в файерфоксе все установленные расширения мне известны

Мне почему то кажется что заражение произошло после подключения мобильного телефона LG LFino  к компьютеру (возможен ли такой путь заражения, через андроид устройства?)

Fixlog.txt

[thyrex]

Сомнительно.

 

С расшифровкой не поможем.

Как вариант, http://virusinfo.info/showthread.php?t=156188

[mike 1]

 

Мне почему то кажется что заражение произошло после подключения мобильного телефона LG LFino  к компьютеру (возможен ли такой путь заражения, через андроид устройства?)

Судя по майнеру, который был найден на вашем компьютере, заражение скорее всего произошло через взломанный софт или пиратский контент.