donmisha Опубликовано 8 апреля, 2015 Share Опубликовано 8 апреля, 2015 Здравствуйте. Вирус зашифровал файлы. Лог во вложении. CollectionLog-2015.04.08-16.33.zip Ссылка на комментарий Поделиться на другие сайты More sharing options...
mike 1 Опубликовано 8 апреля, 2015 Share Опубликовано 8 апреля, 2015 Сразу видно за компьютером не следят. Загажен достаточно сильно. Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе. Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи. Здравствуйте! Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО. Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт): begin DelBHO('{ccb24e92-62c4-4c53-95d2-65f9eed476bc}'); DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}'); DelBHO('{27097694-b841-4595-99f3-22902cf0c996}'); QuarantineFile('C:\ProgramData\topbuyer\ErFN9gTwX21GiN.dll',''); QuarantineFile('C:\Users\vsosh1\AppData\Roaming\Browsers\exe.erolpxei.bat',''); QuarantineFile('C:\Users\vsosh1\AppData\Roaming\06A61349\bin.exe',''); TerminateProcessByName('c:\programdata\windows\csrss.exe'); QuarantineFile('c:\programdata\windows\csrss.exe',''); DeleteFile('c:\programdata\windows\csrss.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem'); DeleteFile('C:\Users\vsosh1\AppData\Roaming\06A61349\bin.exe','32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','06A61349'); DeleteFile('C:\Users\vsosh1\AppData\Roaming\Browsers\exe.erolpxei.bat','32'); DeleteFile('C:\ProgramData\topbuyer\ErFN9gTwX21GiN.dll','32'); DeleteFile('C:\Program Files\mystarttb\mystartDx.dll','32'); DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32'); DeleteFile('C:\Windows\Tasks\Digital Sites.job','32'); DeleteFile('C:\Windows\Tasks\PennyBee.job','32'); DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32'); DeleteFile('C:\Windows\system32\Tasks\PennyBee','32'); ExecuteSysClean; RebootWindows(true); end. Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ: begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end. quarantine.zip из папки AVZ отправьте через данную форму. 1. Выберите тип запроса "Запрос на исследование вредоносного файла". 2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера". 3. Прикрепите файл карантина 4. Введите изображенное на картинке число и нажмите "Далее". 5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com Полученный ответ сообщите здесь (с указанием номера KLAN) Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе. Распакуйте архив с утилитой в отдельную папку. Перенесите Check_Browsers_LNK.log из папки Автологгера на ClearLNK как показано на рисунке Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG. Прикрепите этот отчет к своему следующему сообщению. Сделайте новые логи Автологгером. Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе. Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt. Прикрепите отчет к своему следующему сообщению. Подробнее читайте в этом руководстве. Ссылка на комментарий Поделиться на другие сайты More sharing options...
donmisha Опубликовано 13 апреля, 2015 Автор Share Опубликовано 13 апреля, 2015 Логи во вложении. Сразу видно за компьютером не следят. Загажен достаточно сильно. С этим никто и не спорит. ClearLNK-13.04.2015_10-32.log AdwCleanerR0.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
mike 1 Опубликовано 13 апреля, 2015 Share Опубликовано 13 апреля, 2015 Важно! Очистку производите в безопасном режиме. Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan". По окончанию сканирования снимите галочки со следующих строк: ***** [ Файлы / Папки ] ***** Папка Найдено : C:\Program Files\Mail.Ru Нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt. Прикрепите отчет к своему следующему сообщению Внимание: Для успешного удаления нужна перезагрузка компьютера!. Подробнее читайте в этом руководстве. Ссылка на комментарий Поделиться на другие сайты More sharing options...
donmisha Опубликовано 13 апреля, 2015 Автор Share Опубликовано 13 апреля, 2015 (изменено) Этой строки в результатах поиска не было. Но в логе, почему-то эта строка числится в числе удалённых. По окончанию сканирования снимите галочки со следующих строк: ***** [ Файлы / Папки ] ***** Папка Найдено : C:\Program Files\Mail.Ru Лог во вложении. AdwCleanerS0.txt Изменено 13 апреля, 2015 пользователем donmisha Ссылка на комментарий Поделиться на другие сайты More sharing options...
mike 1 Опубликовано 13 апреля, 2015 Share Опубликовано 13 апреля, 2015 (изменено) Видимо ранее уже нажимали на кнопку "Очистка". Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files". Нажмите кнопку Scan. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении. Изменено 13 апреля, 2015 пользователем mike 1 Ссылка на комментарий Поделиться на другие сайты More sharing options...
donmisha Опубликовано 13 апреля, 2015 Автор Share Опубликовано 13 апреля, 2015 Отчёты во вложении. Addition.txt FRST.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
mike 1 Опубликовано 13 апреля, 2015 Share Опубликовано 13 апреля, 2015 Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: CreateRestorePoint: CloseProcesses: GroupPolicy: Group Policy on Chrome detected <======= ATTENTION CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875 HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875 HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875&q={searchTerms} HKU\S-1-5-21-1403888597-427141465-583809617-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875 CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - http://clients2.google.com/service/update2/crx CHR HKLM\...\Chrome\Extension: [dghncoeocefmhkhiphdgikkamjeglbfh] - No Path Or update_url value CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - No Path Or update_url value CHR HKLM\...\Chrome\Extension: [ifpjamfehjeobjanpappgckkmnhjnpgi] - C:\Users\vsosh1\AppData\Roaming\Crx\Files\ifpjamfehjeobjanpappgckkmnhjnpgi_0.1.3.5.crx [Not Found] CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - http://clients2.google.com/service/update2/crx CHR HKLM\...\Chrome\Extension: [mmifolfpllfdhilecpdpmemhelmanajl] - C:\Program Files\BetterSurf\BetterSurfPlus\ch\BetterSurfPlus.crx [Not Found] CHR HKLM\...\Chrome\Extension: [poheodfamflhhhdcmjfeggbgigeefaco] - C:\Program Files\Better-Surf\ch\Chrome.crx [Not Found] R2 BDEnhanceBoost; C:\Windows\system32\drivers\BDEnhanceBoost.sys [62280 2014-11-05] (Baidu) R2 BDMNetMon; C:\Windows\System32\DRIVERS\BDMNetMon.sys [94024 2014-06-19] (Baidu) S1 BAPIDRV; system32\DRIVERS\BAPIDRV.sys [X] 2015-04-08 11:43 - 2015-04-09 08:18 - 00000000 __SHD () C:\Users\Все пользователи\Windows 2015-04-08 11:43 - 2015-04-09 08:18 - 00000000 __SHD () C:\ProgramData\Windows 2015-04-07 12:53 - 2015-04-13 10:19 - 00000000 ___HD () C:\Users\vsosh1\AppData\Roaming\06A61349 2015-03-30 16:12 - 2015-03-30 16:12 - 00000000 ____D () C:\Users\vsosh1\AppData\Local\00000000-1427731959-0000-0000-50E5492DD13A 2015-03-30 16:09 - 2015-04-01 14:08 - 00000000 ____D () C:\Users\vsosh1\AppData\Roaming\00000000-1427720940-0000-0000-50E5492DD13A 2015-03-30 16:02 - 2015-03-30 16:02 - 00000258 __RSH () C:\Users\vsosh1\ntuser.pol 2015-03-30 16:00 - 2015-04-13 10:19 - 00000000 ____D () C:\Users\vsosh1\AppData\Roaming\Browsers 2015-03-30 16:00 - 2015-03-30 16:00 - 00000000 ____D () C:\Users\vsosh1\AppData\Roaming\SPI 2013-12-13 14:23 - 2013-12-13 14:23 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys 2015-04-08 12:21 - 2015-04-08 12:21 - 6220854 _____ () C:\Users\vsosh1\AppData\Roaming\FA5E7C5CFA5E7C5C.bmp C:\Windows\system32\drivers\BDEnhanceBoost.sys C:\Windows\System32\DRIVERS\BDMNetMon.sys [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pcket_x64] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pcket_x86] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\06A61349] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BaiduAnTray] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\baidusdTray] Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении! Обратите внимание, что компьютер будет перезагружен. Ссылка на комментарий Поделиться на другие сайты More sharing options...
donmisha Опубликовано 14 апреля, 2015 Автор Share Опубликовано 14 апреля, 2015 Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении! Лог во вложении. Fixlog.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
mike 1 Опубликовано 14 апреля, 2015 Share Опубликовано 14 апреля, 2015 Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7) Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу. Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt; Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
donmisha Опубликовано 14 апреля, 2015 Автор Share Опубликовано 14 апреля, 2015 Лог во вложении SecurityCheck.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
mike 1 Опубликовано 14 апреля, 2015 Share Опубликовано 14 апреля, 2015 Обновите: Контроль учётных записей пользователя отключен ^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^ Запрос на повышение прав для администраторов отключен Автоматическое обновление отключено - рекомендуется включить. Foxit Reader v.6.0.4.719 Внимание! Скачать обновления -------------------------------- [ Java ] --------------------------------- Java 8 Update 40 v.8.0.400 Java Auto Updater v.2.8.40.26 --------------------------- [ AdobeProduction ] --------------------------- Adobe Flash Player 16 ActiveX v.16.0.0.305 Внимание! Скачать обновления Adobe Reader 7.0 v.7.9.0 Внимание! Скачать обновления Логи в порядке. С расшифровкой не поможем. Как вариант, http://virusinfo.info/showthread.php?t=156188 Ссылка на комментарий Поделиться на другие сайты More sharing options...
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти