Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Файл "XTBL" , поймал шифровальщик

agrx
 Поделиться

Рекомендуемые сообщения

agrx

agrx

Опубликовано
Опубликовано

Логи прилагаю, хотелось бы восстановить свои фото. Касперским и вебом прогонял из этой темы http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

 

Содержимое "письма счастья":

 

 

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
5C1A6529452D99781552|0
на электронный адрес post8881@gmail.com или post24932@gmail.com .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
5C1A6529452D99781552|0
to e-mail address post8881@gmail.com or post24932@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

CollectionLog-2015.06.21-13.04.zip

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Windows\AppData\Roaming\pack.exe','');
QuarantineFile('C:\Users\Windows\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\Windows\AppData\Roaming\DIGITA~2\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\Windows\AppData\Local\SwvUpdater\Updater.exe','');
DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
DeleteService('wpnfd_1_10_0_5');
SetServiceStart('rsdsys', 4);
DeleteService('rsdsys');
SetServiceStart('bd0002', 4);
SetServiceStart('bd0003', 4);
SetServiceStart('BDArKit', 4);
SetServiceStart('BDMWrench', 4);
DeleteService('BDMWrench');
DeleteService('BDArKit');
DeleteService('bd0003');
QuarantineFile('C:\Windows\system32\drivers\wpnfd_1_10_0_5.sys','');
DeleteService('bd0002');
SetServiceStart('bd0001', 4);
DeleteService('bd0001');
DeleteService('RsMgrSvc');
DeleteService('bonanzadealslivem');
SetServiceStart('BDKVRTP', 4);
DeleteService('BDKVRTP');
DeleteService('bonanzadealslive');
QuarantineFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','');
SetServiceStart('BaiduHips', 4);
DeleteService('BaiduHips');
TerminateProcessByName('c:\program files\baidu\baidusd\2.1.0.3086\bdkvwsc.exe');
TerminateProcessByName('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe');
DeleteFile('c:\program files\common files\baidu\baiduhips\1.0.0.667\baiduhips.exe','32');
DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe','32');
DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\bdkvwsc.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\ad.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDConfig.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDKVDeskBand.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDLogicUtils.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDKitUtils.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVCached.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVEng.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMPerfMon.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\bduf.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\TrustAndIso.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMAVE.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMDbSqlite.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMFrameWork.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMNet.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMReport.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMSkin.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDShellExt.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\DriverManager.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\FileMon.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\HIPSClient.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\PrivacyProtect.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\DllInject.dll','32');
DeleteFile('C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\AbbyyZlib.dll','32');
DeleteFile('C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\FineNet.dll','32');
DeleteFile('C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\FineObj.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\bd0001.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDConfig.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDLogicUtils.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMAVCached.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMAVEng.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMBase.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMFrameWork.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMNet.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMReport.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMStringUtils.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\DriverManager.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\TrustAndIso.dll','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
DeleteFile('C:\Windows\system32\drivers\protreg.sys','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BaiduHips.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe','32');
DeleteFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','32');
DeleteFile('C:\Program Files\Rising\RSD\RsMgrSvc.exe','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFile('C:\Windows\system32\drivers\wpnfd_1_10_0_5.sys','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe','32');
DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\WebMonBHO.dll','32');
DeleteFile('C:\Users\Windows\AppData\Local\SwvUpdater\Updater.exe','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
DeleteFile('C:\Windows\Tasks\DigitalSite.job','32');
DeleteFile('C:\Users\Windows\AppData\Roaming\DIGITA~2\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Users\Windows\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineCore','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA','32');
DeleteFile('C:\Users\Windows\AppData\Roaming\pack.exe','32');
DeleteFile('C:\Windows\system32\Tasks\FGRun','32');
DeleteFile('C:\Program Files\Rising\RZC\rsdelaylauncher.exe','32');
DeleteFile('C:\Windows\system32\Tasks\RsDelayLauncher_{8A34248E-7D35-4832-8378-7659E0B0A380}','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

  • Согласен 1
thyrex

thyrex

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

B92LqRQ.png

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Согласен 1
agrx

agrx

Опубликовано
  • Автор
Опубликовано

Прикрепляю логи. Пришло сообщение от newvirus@kaspersky.com

 

В присланном Вами письме не обнаружены вложенные файлы. Если Вы их отправляли, возможно, они были вырезаны антивирусом во время доставки. В таком случае, пожалуйста, вышлите экземпляры повторно, поместив их в архив с паролем infected.

 

Предполагаю что после лечения утилитами от доктора веба и касперского из ветки по совету лечения файлы были удалены. Если знаете, куда они их могли засунуть, напишите, если это важно и нужно для восстановления фото.

 

С уважением.

 

Addition.txt

FRST.txt

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
C:\Users\Windows\AppData\Local\Temp\1CB4.exe
C:\Users\Windows\AppData\Local\Temp\1FE9E5C7A84C9CE8.exe
C:\Users\Windows\AppData\Local\Temp\amigo_setup.exe
C:\Users\Windows\AppData\Local\Temp\blYbEhBomsuT.exe
C:\Users\Windows\AppData\Local\Temp\GTRI3x9AaiJY.exe
C:\Users\Windows\AppData\Local\Temp\int_tmp_n.exe
C:\Users\Windows\AppData\Local\Temp\JFS.exe
C:\Users\Windows\AppData\Local\Temp\JSM.exe
C:\Users\Windows\AppData\Local\Temp\KB33E8B0F3266944C4.exe
C:\Users\Windows\AppData\Local\Temp\KB5F3BBC595C1915C2.exe
C:\Users\Windows\AppData\Local\Temp\KB81CDF8CF3D11C10.exe
C:\Users\Windows\AppData\Local\Temp\KB8DF573CE6BF9FF0B.exe
C:\Users\Windows\AppData\Local\Temp\KBA6F0E821CB7610AA.exe
C:\Users\Windows\AppData\Local\Temp\KBB895944065656945.exe
C:\Users\Windows\AppData\Local\Temp\KBD3A21572F8D1B73F.exe
C:\Users\Windows\AppData\Local\Temp\KBF0A88A1DDB722A96.exe
C:\Users\Windows\AppData\Local\Temp\pSakG8o7ILFW.exe
2014-12-26 16:19 - 2014-12-26 16:19 - 0000115 ____H () C:\Program Files\Uninstall.bat
2014-12-26 16:19 - 2013-04-19 22:34 - 0209512 ____H () C:\Program Files\Uninstаll.bаt.exe
2014-12-26 16:19 - 2013-04-19 22:34 - 16799544 ____H () C:\Program Files\Uplаy.bаt.exe
2013-10-13 08:11 - 2013-10-13 08:11 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
2015-06-17 20:10 - 2015-06-17 20:10 - 6220854 _____ () C:\Users\Windows\AppData\Roaming\F378D703F378D703.bmp
2013-10-13 08:05 - 2013-10-13 08:05 - 0000006 _____ () C:\Users\Windows\AppData\Roaming\smw_inst
2015-06-17 20:05 - 2013-10-19 18:02 - 00000000 ____D C:\Users\Windows\AppData\Local\SwvUpdater
2015-06-21 12:47 - 2015-05-18 15:13 - 00000000 ____D C:\Users\Windows\AppData\Local\ExtensionInstaller_8
2015-06-21 13:25 - 2014-12-26 16:19 - 00000000 ____D C:\Program Files\Baidu
2015-06-21 12:36 - 2013-08-18 13:50 - 00000000 ____D C:\Users\Windows\AppData\Local\MediaGet2
2015-06-21 12:36 - 2013-03-30 19:32 - 00000000 ____D C:\Program Files\DealPly
2015-06-14 17:48 - 2015-06-21 16:06 - 00000000 ____D C:\Users\Windows\AppData\Roaming\Microsoft\Windows\Start Menu\Панель запуска браузера Комета
2015-06-14 17:47 - 2015-06-21 12:36 - 00000000 ____D C:\Users\Windows\AppData\Local\Kometa
2015-06-17 20:10 - 2015-06-17 20:10 - 06220854 _____ C:\Users\Windows\AppData\Roaming\F378D703F378D703.bmp
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README9.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README8.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README7.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README6.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README5.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README4.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README3.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README2.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README10.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README1.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README9.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README8.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README7.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README6.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README5.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README4.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README3.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README2.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README10.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README1.txt
2015-06-17 18:46 - 2015-06-21 12:36 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-06-17 18:46 - 2015-06-21 12:36 - 00000000 __SHD C:\ProgramData\Windows
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README9.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README8.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README7.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README6.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README5.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README4.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README3.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README2.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README10.txt
2015-06-21 16:19 - 2015-06-21 16:19 - 00000178 _____ C:\Users\Windows\Desktop\Искать в Интернете.url
S1 bd0001; system32\DRIVERS\bd0001.sys [X]
S1 bd0002; system32\DRIVERS\bd0002.sys [X]
S1 bd0003; system32\DRIVERS\bd0003.sys [X]
S2 BDArKit; system32\DRIVERS\BDArKit.sys [X]
S0 BDMWrench; system32\DRIVERS\BDMWrench.sys [X]
S2 BaiduHips; "C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BaiduHips.exe"  [X]
S2 BDKVRTP; "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe" -r [X]
OPR Extension: (StartTab.ru) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\dhkgfcmdepbpmmongpdohlegolebhchg [2013-12-08]
OPR Extension: (CinemaLoad) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb [2014-08-30]
OPR Extension: (Screeny) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnjejilcobdkeaholenhgcchnelddigl [2013-12-08]
OPR Extension: (Dolka.ru) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\pgghklagldlfffkakhlegbpaagfihech [2013-12-02]
CHR HKLM\...\Chrome\Extension: [nkcpopggjcjkiicpenikeogioednjeac] - C:\Users\Windows\AppData\Local\Temp\nkcpopggjcjkiicpenikeogioednjeac.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [hhmlhgdodanfanddmjookifdkghcajme] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha999\ch\MediaViewerV1alpha999.crx [Not Found]
CHR Extension: (No Name) - C:\Users\Windows\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgghklagldlfffkakhlegbpaagfihech [2013-12-02]
CHR Extension: (No Name) - C:\Users\Windows\AppData\Local\Google\Chrome\User Data\Default\Extensions\mnjejilcobdkeaholenhgcchnelddigl [2013-12-08]
CHR Extension: (No Name) - C:\Users\Windows\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkgfcmdepbpmmongpdohlegolebhchg [2013-12-08]
FF HKLM\...\Firefox\Extensions: [12x3q@3244516.com] - C:\Program Files\Better-Surf\ff
FF Extension: Better-Surf - C:\Program Files\Better-Surf\ff [2013-11-26]
FF HKLM\...\Firefox\Extensions: [ext@MediaViewerV1alpha999.net] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha999\ff
FF Extension: Ask Toolbar for Firefox - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{E9A1DEE0-C623-4439-8932-001E7D17607D} [2012-07-08]
FF Extension: WebToSave - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{f80bc79c-ab5e-418a-a0be-3d9e66b4e976} [2013-10-05]
FF Extension: Info Enhancer for Firefox - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\dldcbakcjliccckkmfjcblhciilpdcil@infoenhancer.com.xpi [2013-10-13]
FF Extension: WebAlta - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{4933189D-C7F7-4C6E-834B-A29F087BFD23}.xpi [2012-11-21]
FF Extension: Screeny - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{17238372-3743-33ab-8a9f-93722af74c79} [2013-12-08]
FF Extension: Fast Discountz - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{2a4808f0-e451-4d0b-982a-bb0f44d3354d} [2013-10-05]
FF Extension: DealPly Shopping - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\amo@dealplyshopping.com [2013-03-30]
FF Extension: Dolka.ru - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\extension@dolka.ru [2014-02-25]
FF Extension: MegaSmiles - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\itemote@sm-stream.com [2013-10-13]
FF Extension: StartTab.ru - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\jid0-.ksghseRGksergosjgr@jetpack [2013-12-08]
FF Extension: Tutnedorogo.ru - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2013-11-26]
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\Search_Results.xml [2013-04-13]
FF SearchPlugin: C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\searchplugins\Search_Results.xml [2013-04-13]
FF SearchPlugin: C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\searchplugins\trovi-search.xml [2014-10-02]
FF SearchPlugin: C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\searchplugins\webalta-search.xml [2012-03-13]
FF Plugin: @tools.bdupdater.com/BonanzaDealsLive Update;version=3 -> C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll No File
FF Plugin: @tools.bdupdater.com/BonanzaDealsLive Update;version=9 -> C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll No File
FF Plugin: @tools.google.com/Google Update;version=3 -> C:\Program Files\Google\Update\1.3.25.11\npGoogleUpdate3.dll No File
FF Plugin: @tools.google.com/Google Update;version=9 -> C:\Program Files\Google\Update\1.3.25.11\npGoogleUpdate3.dll No File
FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\2.1.0.3086\explugin\npBaiduSDDetectPlug.dll No File
Toolbar: HKLM - Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - C:\Windows\system32\mscoree.dll [2009-11-25] (Microsoft Corporation)
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> Yandex URL = http://toolbar.ask.com/toolbarv/askRedirect?gct=&gc=1&q={searchTerms}&crm=1&toolbar=DVS
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> yandex.ru-183300 URL = http://webalta.ru/search?q={searchTerms}&from=IE
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text=
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> 18D8975B09D5A450AB6ACCB4C2932CE1 URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text={searchTerms}
HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text={searchTerms}
HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.s125.ru
HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text={searchTerms}
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\...\Run: [baidusdTray] => "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe"  -stmd=3
Task: {B2B27E8A-FEE8-48F1-9803-43C7E132E3E4} - \RsDelayLauncher_{8A34248E-7D35-4832-8378-7659E0B0A380} No Task File <==== ATTENTION
Task: {CF2F2DC6-E4E9-4E48-9B9B-9DD38073EFF4} - \ExtensionInstallerX_8 No Task File <==== ATTENTION
Task: {E1BC105D-1107-4175-B1FF-ED3F544782DB} - System32\Tasks\DealPlyUpdate => C:\Program <==== ATTENTION
Task: {F7B4B9AB-43A8-4A26-8640-B4F3805CCD45} - \FGRun No Task File <==== ATTENTION
FirewallRules: [{7ADE4207-09A3-4C5A-85E2-9BF7AB78C08E}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{80155633-6160-428A-B267-4218DD8F7C25}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{BC9D6551-84F5-4064-BBBA-2042C229F0EA}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{19AEEA6B-1CAC-4C67-9EBE-34291A57793A}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{BC8C9E2B-F00E-41B9-AD4C-B453FE82B5F0}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{12EE3547-4861-4F12-94BE-FEA37C979FA2}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{BEB94C47-C094-4252-96FB-873D586D7FBC}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{FDD3DBD7-C59A-44A2-BD24-ECC058B8A85B}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{BC0627C9-A3F8-4897-84CC-779A4B115336}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{7647186D-7EF6-43E5-8EE7-B4F42591CD85}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{797273F1-54AA-4455-8C48-6A3A566CFD3C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{83039488-C1D0-489F-B29D-A7974C315186}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{BBADBFEF-6759-4AAF-BC75-0250D3DD4901}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{8391BC10-CD73-4FCB-BBC2-4228E8BFF8E1}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{3F56991D-F368-4031-B35A-C15F1C9F2268}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{F6D4B564-FACC-445E-ACD5-D5A1F61A1320}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{847A0495-4D59-4A54-A3F4-E713DD0977EA}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{1001D4B2-7D8F-457A-AFD4-1A5DE0FA4F2C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{31749D17-7800-41FA-84B5-8FBC6F751869}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{AEBDABB3-DB25-45E9-A33C-E33B967EC64D}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{B40B445F-E70E-468D-8FBB-4A846098F6A5}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{F5DBD7D4-8FA6-49FD-A9D7-74AD9DABB5A0}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{C0A5E852-9E42-4ACA-A7B3-0FCC03B77190}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{CE36AAF0-49D3-4367-BE34-BD139F58CF1C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{D4019487-0DC2-49EF-942E-05B96BE68B11}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{CE3887BA-1C1C-43D3-9BF5-0578BEFAFF5A}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{46BC154E-030B-4B36-BAEC-1ABEEA562C74}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{15967EE4-BF4F-4E8D-A877-557EE73FAAF6}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{3A2D6286-17D8-48C4-80DA-51B4E099B550}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{C2AC97B3-5B84-4602-AC7A-76E44B536750}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{26ACFD96-28E5-4FE4-AAED-FCC21CAB203E}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{A89F2A83-FAE8-4E1E-9B7A-F036BE688A5A}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{4B5F94A1-5533-4406-82C3-972D9E022DF8}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{52BA0BA0-3AAF-46D5-8416-31767EF2B951}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{01653D13-635B-4D4F-981B-767A7619A9C2}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{5D923659-BE2E-4017-AE48-0AE460D5576B}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{940673ED-7F4E-46EC-B47A-F17EED9C57F0}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exeReboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

  • Согласен 1
agrx

agrx

Опубликовано
  • Автор
Опубликовано

Прикрепляю, компьютер не перезагрузился сам после фиксов. Перезагрузил вручную.

Fixlog.txt

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • John Booht
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 65647DEA50A5EAEB170D|0 на электронный адрес files08880@gmail.com или
      Автор John Booht
      Добрый день!
      Скачал програмку, на рабочем столе вместо обоев висит сообщение:
      Внимание, все ваши файлы были зашифрованы, подробности Вы можете прочитать в файле Redme.txt
      и перевод на английском.
       в файле  Redme.txt. вот такое сообщение:
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 65647DEA50A5EAEB170D|0 на электронный адрес files08880@gmail.com или files08881@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 65647DEA50A5EAEB170D|0 to e-mail address files08880@gmail.com or files08881@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data. Прошу понять и помочь в лечении данного любимчика!    
      DIREKTORPC_Direktor_150715_092145_info.rar
    • Gagarinn1974
      зашифрованы файлы post8881. прошу помочь
      Автор Gagarinn1974
      Здравствуте.
      Появилось на мониторе сообщение, что файлы зашифрованы, все инструкции по адресу  post8881@gmail.
      Выполнил действия, изложенные в http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url].
      Архив лог-файлов прилагаю.
      Помогите, кто может.
      Кто может, помогите.
      CollectionLog-2015.07.09-10.29.zip
    • CarolinaHerrera
      некоторые файлы зашивровались в .xtbl
      Автор CarolinaHerrera
      После того как посмотрел фильм, закрываю браузер и на рабочем стале появилось вот такая штука
       
      Увидел что вы может можете помочь, и сделал всё по инструкции
       
      CollectionLog-2015.07.14-14.26.zip
    • nic_nos
      зашифрованы файлы decode010@gmail.com
      Автор nic_nos
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 3AD41CD8A5414F5E46DC|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.  
      Спасибо за помощь
      CollectionLog-2015.07.13-09.01.zip
    • Данил Демидов
      Вирус-шифровальщик
      Автор Данил Демидов
      У меня проблема на тему: Шифрование файлов.Пропала заставка и много файлов с одним и тем же именем. Вот что пишет:
      Внимание!
      Все важные файлы на всех ваших дисках вашего компьютера были зашифрованы,
      Подробности вы можете прочитать в файлах Readme.txt кторый вы можете найти на любом из дисков.
      В файле написано:
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: A4FAB0FD43EFB910D5BC|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: A4FAB0FD43EFB910D5BC|0 to e-mail address decode010@gmail.com or decode1110@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.Прошу помощи,заранее спасибо.  


      CollectionLog-2015.07.14-17.49.zip
×
×
  • Создать...