заражен шифровальщиком VAULT

[Volcanodns]

Здравствуйте, заразился компьютер и зашифровались данные помогите пожалуйста

 

В архиве файлы с папки темп и несколько файлов зашифрованных, праоль на архив 123

Files.rar

[Mie]

Порядок оформления запроса о помощи

[Volcanodns]

Вот данные собранные сборщиком

CollectionLog-2015.06.02-17.18.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{896D4FCB-521E-4FB9-B91B-6644E45AB1E9}.exe','');
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{724118D5-9874-42EE-8893-E8C13739FE96}.exe','');
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{695DADFA-0826-4DBB-9799-E8B0AFBEA999}.exe','');
 QuarantineFile('C:\Program Files\Common Files\AppDownloads\{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898}.exe','');
 QuarantineFile('C:\Users\buh\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\extsetup.exe','');
 QuarantineFile('C:\Users\buh\AppData\Roaming\bacd8dc453cf5b5c.hta','');
 QuarantineFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
 QuarantineFile('C:\Users\buh\AppData\Local\Kometa\Application\kometa.exe','');
 QuarantineFile('C:\Program Files\Betcat\WBDesktop.Updater.exe','');
 StopService('WebCake Desktop Updater');
 DeleteService('WebCake Desktop Updater');
 TerminateProcessByName('c:\users\buh\appdata\roaming\betcat\webcakedesktop.exe');
 QuarantineFile('c:\users\buh\appdata\roaming\betcat\webcakedesktop.exe','');
 TerminateProcessByName('c:\program files\betcat\wbdesktop.updater.exe');
 QuarantineFile('c:\program files\betcat\wbdesktop.updater.exe','');
 DeleteFile('c:\program files\betcat\wbdesktop.updater.exe','32');
 DeleteFile('c:\users\buh\appdata\roaming\betcat\webcakedesktop.exe','32');
 DeleteFile('C:\Program Files\Betcat\WBDesktop.Updater.exe','32');
 DeleteFile('C:\Users\buh\AppData\Local\Kometa\Application\kometa.exe','32');
 DeleteFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser');
 DeleteFile('C:\Users\buh\AppData\Roaming\bacd8dc453cf5b5c.hta','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','bbfd3255');
 DeleteFile('C:\Windows\Tasks\DigitalSite.job','32');
 DeleteFile('C:\Windows\system32\Tasks\extsetup','32');
 DeleteFile('C:\Windows\system32\Tasks\Kinoroom Browser','32');
 DeleteFile('C:\Windows\system32\Tasks\KRB Updater Utility','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\extsetup','32');
 DeleteFile('C:\Users\buh\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\KRBUUS\KRB Updater Utility Service','32');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','32');
 DeleteFile('C:\Users\buh\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Safebrowser','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898}.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898}','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{695DADFA-0826-4DBB-9799-E8B0AFBEA999}.exe','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{724118D5-9874-42EE-8893-E8C13739FE96}.exe','32');
 DeleteFile('C:\Program Files\Common Files\AppDownloads\{896D4FCB-521E-4FB9-B91B-6644E45AB1E9}.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{896D4FCB-521E-4FB9-B91B-6644E45AB1E9}','32');
 DeleteFile('C:\Windows\system32\Tasks\{724118D5-9874-42EE-8893-E8C13739FE96}','32');
 DeleteFile('C:\Windows\system32\Tasks\{695DADFA-0826-4DBB-9799-E8B0AFBEA999}','32');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Сделайте новые логи Автологгером. 

 

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

[Volcanodns]

Не могу отправить вложение....

[mike 1]

По какой причине?

[Volcanodns]

• CollectionLog-2015.06.03-00.14.zip

  Загрузка не удалась. Пожалуйста сообщите об этом администрации форума.

 

[mike 1]

Загрузите на rghost, а здесь напишите ссылку на загрузку. 

[Volcanodns]

http://rghost.ru/7c8vv4XqD  - ссылка на логи

 

 

Запрос на исследование вредоносного файла [KLAN-2825013453]

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

bacd8dc453cf5b5c.hta - Trojan-Ransom.BAT.Scatter.ar

Детектирование файла будет добавлено в следующее обновление.

extsetup.exe,
kometa.exe,
safebrowser.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

WBDesktop.Updater.exe

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed. 

bacd8dc453cf5b5c.hta - Trojan-Ransom.BAT.Scatter.ar

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

extsetup.exe,
kometa.exe,
safebrowser.exe

A set of unknown files has been received. They will be sent to the Virus Lab.

WBDesktop.Updater.exe

No malicious code was found in this file.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"

[mike 1]

Эти файлы восстановите из карантина AdwCleaner.

Файл Удалено : C:\Users\buh\AppData\Local\Temp\CONFIRMATION.KEY
Файл Удалено : C:\Users\buh\AppData\Local\Temp\VAULT.KEY
Файл Удалено : C:\Users\buh\AppData\Roaming\CONFIRMATION.KEY
Файл Удалено : C:\Users\buh\AppData\Roaming\VAULT.KEY
Файл Удалено : C:\Users\buh\Desktop\VAULT.KEY

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Volcanodns]

http://rghost.ru/6M9DPGSFvвот ссылка на ваш запрос

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-3388047225-1968883485-1981344065-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-3388047225-1968883485-1981344065-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://sindex.biz/?company=5
SearchScopes: HKU\S-1-5-21-3388047225-1968883485-1981344065-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
FF DefaultSearchEngine: GoSearch
FF SelectedSearchEngine: GoSearch
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-05-15]
OPR Extension: (No Name) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\baohinapilmkigilbbbcccncoljkdpnd [2015-04-15]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-04-09]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\denjcdefjebbmlihdoojnebochnkgcin [2015-05-13]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\dmglolhoplikcoamfgjgammjbgchgjdd [2015-05-07]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\buh\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-04-21]
2015-04-02 16:58 - 2015-04-04 08:56 - 00000258 __RSH () C:\Users\buh\ntuser.pol
2015-04-02 16:55 - 2015-04-02 17:02 - 00000000 ____D () C:\Users\buh\AppData\Roaming\VK Downloader
2015-04-02 16:25 - 2015-04-02 16:25 - 00000000 ____D () C:\Users\buh\AppData\Local\Вoйти в Интeрнет
2015-04-02 16:22 - 2015-04-04 09:56 - 00000008 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-04-02 16:22 - 2015-04-04 09:56 - 00000008 __RSH () C:\ProgramData\ntuser.pol
2015-04-02 16:18 - 2015-04-02 16:18 - 00000000 ____D () C:\Users\buh\AppData\Local\Поиcк в Интeрнете
C:\Users\buh\AppData\Local\Temp\1YYSGtp5j2vi.exe
C:\Users\buh\AppData\Local\Temp\2MxnlWFXhODq.exe
C:\Users\buh\AppData\Local\Temp\3f1O0E5gOfI2.exe
C:\Users\buh\AppData\Local\Temp\6Y26ACE8cqBR.exe
C:\Users\buh\AppData\Local\Temp\8T7aVCzNCncB.exe
C:\Users\buh\AppData\Local\Temp\a3uFNXHtmLTJ.exe
C:\Users\buh\AppData\Local\Temp\AqBhsfRRaaIl.exe
C:\Users\buh\AppData\Local\Temp\df6qE1arYRAZ.exe
C:\Users\buh\AppData\Local\Temp\KMqQ98CdoHll.exe
C:\Users\buh\AppData\Local\Temp\M3FW2N9kxBqV.exe
C:\Users\buh\AppData\Local\Temp\MC7ArLHvkGkm.exe
C:\Users\buh\AppData\Local\Temp\pq4dbPx4EA6U.exe
C:\Users\buh\AppData\Local\Temp\PyY03iat4ypj.exe
C:\Users\buh\AppData\Local\Temp\TRIoE8kSJ7V2.exe
C:\Users\buh\AppData\Local\Temp\VwZdtqavY8zW.exe
C:\Users\buh\AppData\Local\Temp\W5ui8dFZymfF.exe
C:\Users\buh\AppData\Local\Temp\zjU7w5m5GbC7.exe
Task: {570A754E-4DE3-4515-BEA3-0DBD50D48AB4} - \{2A28EEAC-4CF4-48AB-9041-BBFAE10A2898} No Task File <==== ATTENTION
Task: {88B2110A-374E-4452-AF69-D1C4A78D76E7} - \{896D4FCB-521E-4FB9-B91B-6644E45AB1E9} No Task File <==== ATTENTION
Task: {A41E34A5-6AC8-4412-823B-70733FECC597} - \Microsoft\Windows\KRBUUS\KRB Updater Utility Service No Task File <==== ATTENTION
Task: {A4AD621F-D2DD-4D34-AE48-172473A4FFA2} - \Safebrowser No Task File <==== ATTENTION
Task: {A93B0A39-E806-4B07-AD4D-D39C92EB4489} - \extsetup No Task File <==== ATTENTION
Task: {BDC18AB1-68B9-46F8-BD10-28620035D2EF} - \{724118D5-9874-42EE-8893-E8C13739FE96} No Task File <==== ATTENTION
Task: {CD2FF804-E088-4727-978B-E60C55BDCA8A} - \Kinoroom Browser No Task File <==== ATTENTION
Task: {D845C54E-71BB-4D23-A282-F680A3877C39} - \Microsoft\Windows\extsetup No Task File <==== ATTENTION
Task: {E7CF8EC1-A74C-47AD-B622-D5B842B3CC26} - \{695DADFA-0826-4DBB-9799-E8B0AFBEA999} No Task File <==== ATTENTION
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Kinoroom Browser.lnk]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^KRB Updater Utility.lnk]
FirewallRules: [{D09FF5AA-A2D6-480B-91C9-5D265FCEF72A}] => (Allow) C:\Users\buh\AppData\Local\Kometa\Application\kometa.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

[Volcanodns]

http://rghost.ru/private/8tvWzxdH8/6b1aa575d0e30d3a2af77d2005754305

[mike 1]

Логи в порядке. С расшифровкой не поможем.

[Volcanodns]

а кто поможет? ) и зачем тогда надо было так мучить ?