Перейти к содержанию

Вирус зашифровал файлы


Рекомендуемые сообщения

Сразу видно за компьютером не следят. Загажен достаточно сильно.

 

 

 

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 DelBHO('{ccb24e92-62c4-4c53-95d2-65f9eed476bc}');
 DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
 DelBHO('{27097694-b841-4595-99f3-22902cf0c996}');
 QuarantineFile('C:\ProgramData\topbuyer\ErFN9gTwX21GiN.dll','');
 QuarantineFile('C:\Users\vsosh1\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('C:\Users\vsosh1\AppData\Roaming\06A61349\bin.exe','');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('c:\programdata\windows\csrss.exe','');
 DeleteFile('c:\programdata\windows\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 DeleteFile('C:\Users\vsosh1\AppData\Roaming\06A61349\bin.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','06A61349');
 DeleteFile('C:\Users\vsosh1\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
 DeleteFile('C:\ProgramData\topbuyer\ErFN9gTwX21GiN.dll','32');
 DeleteFile('C:\Program Files\mystarttb\mystartDx.dll','32');
 DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
 DeleteFile('C:\Windows\Tasks\PennyBee.job','32');
 DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32');
 DeleteFile('C:\Windows\system32\Tasks\PennyBee','32');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 

 

  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log из папки Автологгера на ClearLNK как показано на рисунке
 
move.gif
 
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
 
 
 
Сделайте новые логи Автологгером. 
 
 
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты

Логи во вложении.

Сразу видно за компьютером не следят. Загажен достаточно сильно.

С этим никто и не спорит.

ClearLNK-13.04.2015_10-32.log

AdwCleanerR0.txt

Ссылка на комментарий
Поделиться на другие сайты

Важно! Очистку производите в безопасном режиме.

 

 

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора),  нажмите кнопку "Scan".
  • По окончанию сканирования снимите галочки со следующих строк:
***** [ Файлы / Папки ] *****
Папка Найдено : C:\Program Files\Mail.Ru
  • Нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!.
 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты

Этой строки в результатах поиска не было. Но в логе, почему-то эта строка числится в числе удалённых.

  • По окончанию сканирования снимите галочки со следующих строк:










***** [ Файлы / Папки ] *****
Папка Найдено : C:\Program Files\Mail.Ru

Лог во вложении.

AdwCleanerS0.txt

Изменено пользователем donmisha
Ссылка на комментарий
Поделиться на другие сайты

Видимо ранее уже нажимали на кнопку "Очистка".

 

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Изменено пользователем mike 1
Ссылка на комментарий
Поделиться на другие сайты

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875&q={searchTerms}
HKU\S-1-5-21-1403888597-427141465-583809617-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1409555836&from=cor&uid=WDCXWD3200AZRX-00A8LB0_WD-WMC1U063687536875
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - http://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [dghncoeocefmhkhiphdgikkamjeglbfh] - No Path Or update_url value
CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - No Path Or update_url value
CHR HKLM\...\Chrome\Extension: [ifpjamfehjeobjanpappgckkmnhjnpgi] - C:\Users\vsosh1\AppData\Roaming\Crx\Files\ifpjamfehjeobjanpappgckkmnhjnpgi_0.1.3.5.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - http://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mmifolfpllfdhilecpdpmemhelmanajl] - C:\Program Files\BetterSurf\BetterSurfPlus\ch\BetterSurfPlus.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [poheodfamflhhhdcmjfeggbgigeefaco] - C:\Program Files\Better-Surf\ch\Chrome.crx [Not Found]
R2 BDEnhanceBoost; C:\Windows\system32\drivers\BDEnhanceBoost.sys [62280 2014-11-05] (Baidu)
R2 BDMNetMon; C:\Windows\System32\DRIVERS\BDMNetMon.sys [94024 2014-06-19] (Baidu)
S1 BAPIDRV; system32\DRIVERS\BAPIDRV.sys [X]
2015-04-08 11:43 - 2015-04-09 08:18 - 00000000 __SHD () C:\Users\Все пользователи\Windows
2015-04-08 11:43 - 2015-04-09 08:18 - 00000000 __SHD () C:\ProgramData\Windows
2015-04-07 12:53 - 2015-04-13 10:19 - 00000000 ___HD () C:\Users\vsosh1\AppData\Roaming\06A61349
2015-03-30 16:12 - 2015-03-30 16:12 - 00000000 ____D () C:\Users\vsosh1\AppData\Local\00000000-1427731959-0000-0000-50E5492DD13A
2015-03-30 16:09 - 2015-04-01 14:08 - 00000000 ____D () C:\Users\vsosh1\AppData\Roaming\00000000-1427720940-0000-0000-50E5492DD13A
2015-03-30 16:02 - 2015-03-30 16:02 - 00000258 __RSH () C:\Users\vsosh1\ntuser.pol
2015-03-30 16:00 - 2015-04-13 10:19 - 00000000 ____D () C:\Users\vsosh1\AppData\Roaming\Browsers
2015-03-30 16:00 - 2015-03-30 16:00 - 00000000 ____D () C:\Users\vsosh1\AppData\Roaming\SPI
2013-12-13 14:23 - 2013-12-13 14:23 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
2015-04-08 12:21 - 2015-04-08 12:21 - 6220854 _____ () C:\Users\vsosh1\AppData\Roaming\FA5E7C5CFA5E7C5C.bmp
C:\Windows\system32\drivers\BDEnhanceBoost.sys
C:\Windows\System32\DRIVERS\BDMNetMon.sys
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pcket_x64]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pcket_x86]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\06A61349]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BaiduAnTray]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\baidusdTray]
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
 
 
Ссылка на комментарий
Поделиться на другие сайты

  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Лог во вложении.

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

  • Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

Ссылка на комментарий
Поделиться на другие сайты

Обновите:

 

Контроль учётных записей пользователя отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^
Запрос на повышение прав для администраторов отключен
Автоматическое обновление отключено - рекомендуется включить.
 
Foxit Reader v.6.0.4.719 Внимание! Скачать обновления
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 40 v.8.0.400
Java Auto Updater v.2.8.40.26
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 16 ActiveX v.16.0.0.305 Внимание! Скачать обновления
Adobe Reader 7.0 v.7.9.0 Внимание! Скачать обновления
 
 
Логи в порядке. С расшифровкой не поможем. Как вариант, http://virusinfo.info/showthread.php?t=156188
 
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
×
×
  • Создать...