Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Файл "XTBL" , поймал шифровальщик

agrx
 Поделиться

Рекомендуемые сообщения

agrx

agrx

Опубликовано
Опубликовано

Логи прилагаю, хотелось бы восстановить свои фото. Касперским и вебом прогонял из этой темы http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

 

Содержимое "письма счастья":

 

 

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
5C1A6529452D99781552|0
на электронный адрес post8881@gmail.com или post24932@gmail.com .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
5C1A6529452D99781552|0
to e-mail address post8881@gmail.com or post24932@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.

CollectionLog-2015.06.21-13.04.zip

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Windows\AppData\Roaming\pack.exe','');
QuarantineFile('C:\Users\Windows\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\Windows\AppData\Roaming\DIGITA~2\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\Windows\AppData\Local\SwvUpdater\Updater.exe','');
DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
DeleteService('wpnfd_1_10_0_5');
SetServiceStart('rsdsys', 4);
DeleteService('rsdsys');
SetServiceStart('bd0002', 4);
SetServiceStart('bd0003', 4);
SetServiceStart('BDArKit', 4);
SetServiceStart('BDMWrench', 4);
DeleteService('BDMWrench');
DeleteService('BDArKit');
DeleteService('bd0003');
QuarantineFile('C:\Windows\system32\drivers\wpnfd_1_10_0_5.sys','');
DeleteService('bd0002');
SetServiceStart('bd0001', 4);
DeleteService('bd0001');
DeleteService('RsMgrSvc');
DeleteService('bonanzadealslivem');
SetServiceStart('BDKVRTP', 4);
DeleteService('BDKVRTP');
DeleteService('bonanzadealslive');
QuarantineFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','');
SetServiceStart('BaiduHips', 4);
DeleteService('BaiduHips');
TerminateProcessByName('c:\program files\baidu\baidusd\2.1.0.3086\bdkvwsc.exe');
TerminateProcessByName('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe');
DeleteFile('c:\program files\common files\baidu\baiduhips\1.0.0.667\baiduhips.exe','32');
DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe','32');
DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\bdkvwsc.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\ad.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDConfig.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDKVDeskBand.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDLogicUtils.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDKitUtils.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVCached.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVEng.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMPerfMon.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\bduf.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\TrustAndIso.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMAVE.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMDbSqlite.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMFrameWork.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMNet.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMReport.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMSkin.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDShellExt.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\DriverManager.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\FileMon.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\HIPSClient.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\PrivacyProtect.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\DllInject.dll','32');
DeleteFile('C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\AbbyyZlib.dll','32');
DeleteFile('C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\FineNet.dll','32');
DeleteFile('C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\FineObj.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\bd0001.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDConfig.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDLogicUtils.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMAVCached.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMAVEng.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMBase.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMFrameWork.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMNet.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMReport.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMStringUtils.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\DriverManager.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\TrustAndIso.dll','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
DeleteFile('C:\Windows\system32\drivers\protreg.sys','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BaiduHips.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe','32');
DeleteFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','32');
DeleteFile('C:\Program Files\Rising\RSD\RsMgrSvc.exe','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFile('C:\Windows\system32\drivers\wpnfd_1_10_0_5.sys','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe','32');
DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\WebMonBHO.dll','32');
DeleteFile('C:\Users\Windows\AppData\Local\SwvUpdater\Updater.exe','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
DeleteFile('C:\Windows\Tasks\DigitalSite.job','32');
DeleteFile('C:\Users\Windows\AppData\Roaming\DIGITA~2\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Users\Windows\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineCore','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA','32');
DeleteFile('C:\Users\Windows\AppData\Roaming\pack.exe','32');
DeleteFile('C:\Windows\system32\Tasks\FGRun','32');
DeleteFile('C:\Program Files\Rising\RZC\rsdelaylauncher.exe','32');
DeleteFile('C:\Windows\system32\Tasks\RsDelayLauncher_{8A34248E-7D35-4832-8378-7659E0B0A380}','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

  • Согласен 1
thyrex

thyrex

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

B92LqRQ.png

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Согласен 1
agrx

agrx

Опубликовано
  • Автор
Опубликовано

Прикрепляю логи. Пришло сообщение от newvirus@kaspersky.com

 

В присланном Вами письме не обнаружены вложенные файлы. Если Вы их отправляли, возможно, они были вырезаны антивирусом во время доставки. В таком случае, пожалуйста, вышлите экземпляры повторно, поместив их в архив с паролем infected.

 

Предполагаю что после лечения утилитами от доктора веба и касперского из ветки по совету лечения файлы были удалены. Если знаете, куда они их могли засунуть, напишите, если это важно и нужно для восстановления фото.

 

С уважением.

 

Addition.txt

FRST.txt

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
C:\Users\Windows\AppData\Local\Temp\1CB4.exe
C:\Users\Windows\AppData\Local\Temp\1FE9E5C7A84C9CE8.exe
C:\Users\Windows\AppData\Local\Temp\amigo_setup.exe
C:\Users\Windows\AppData\Local\Temp\blYbEhBomsuT.exe
C:\Users\Windows\AppData\Local\Temp\GTRI3x9AaiJY.exe
C:\Users\Windows\AppData\Local\Temp\int_tmp_n.exe
C:\Users\Windows\AppData\Local\Temp\JFS.exe
C:\Users\Windows\AppData\Local\Temp\JSM.exe
C:\Users\Windows\AppData\Local\Temp\KB33E8B0F3266944C4.exe
C:\Users\Windows\AppData\Local\Temp\KB5F3BBC595C1915C2.exe
C:\Users\Windows\AppData\Local\Temp\KB81CDF8CF3D11C10.exe
C:\Users\Windows\AppData\Local\Temp\KB8DF573CE6BF9FF0B.exe
C:\Users\Windows\AppData\Local\Temp\KBA6F0E821CB7610AA.exe
C:\Users\Windows\AppData\Local\Temp\KBB895944065656945.exe
C:\Users\Windows\AppData\Local\Temp\KBD3A21572F8D1B73F.exe
C:\Users\Windows\AppData\Local\Temp\KBF0A88A1DDB722A96.exe
C:\Users\Windows\AppData\Local\Temp\pSakG8o7ILFW.exe
2014-12-26 16:19 - 2014-12-26 16:19 - 0000115 ____H () C:\Program Files\Uninstall.bat
2014-12-26 16:19 - 2013-04-19 22:34 - 0209512 ____H () C:\Program Files\Uninstаll.bаt.exe
2014-12-26 16:19 - 2013-04-19 22:34 - 16799544 ____H () C:\Program Files\Uplаy.bаt.exe
2013-10-13 08:11 - 2013-10-13 08:11 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
2015-06-17 20:10 - 2015-06-17 20:10 - 6220854 _____ () C:\Users\Windows\AppData\Roaming\F378D703F378D703.bmp
2013-10-13 08:05 - 2013-10-13 08:05 - 0000006 _____ () C:\Users\Windows\AppData\Roaming\smw_inst
2015-06-17 20:05 - 2013-10-19 18:02 - 00000000 ____D C:\Users\Windows\AppData\Local\SwvUpdater
2015-06-21 12:47 - 2015-05-18 15:13 - 00000000 ____D C:\Users\Windows\AppData\Local\ExtensionInstaller_8
2015-06-21 13:25 - 2014-12-26 16:19 - 00000000 ____D C:\Program Files\Baidu
2015-06-21 12:36 - 2013-08-18 13:50 - 00000000 ____D C:\Users\Windows\AppData\Local\MediaGet2
2015-06-21 12:36 - 2013-03-30 19:32 - 00000000 ____D C:\Program Files\DealPly
2015-06-14 17:48 - 2015-06-21 16:06 - 00000000 ____D C:\Users\Windows\AppData\Roaming\Microsoft\Windows\Start Menu\Панель запуска браузера Комета
2015-06-14 17:47 - 2015-06-21 12:36 - 00000000 ____D C:\Users\Windows\AppData\Local\Kometa
2015-06-17 20:10 - 2015-06-17 20:10 - 06220854 _____ C:\Users\Windows\AppData\Roaming\F378D703F378D703.bmp
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README9.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README8.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README7.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README6.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README5.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README4.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README3.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README2.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README10.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Windows\Desktop\README1.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README9.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README8.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README7.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README6.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README5.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README4.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README3.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README2.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README10.txt
2015-06-17 20:10 - 2015-06-17 20:10 - 00000889 _____ C:\Users\Public\Desktop\README1.txt
2015-06-17 18:46 - 2015-06-21 12:36 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-06-17 18:46 - 2015-06-21 12:36 - 00000000 __SHD C:\ProgramData\Windows
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README9.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README8.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README7.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README6.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README5.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README4.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README3.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README2.txt
2015-06-17 18:46 - 2015-06-17 18:46 - 00000889 _____ C:\README10.txt
2015-06-21 16:19 - 2015-06-21 16:19 - 00000178 _____ C:\Users\Windows\Desktop\Искать в Интернете.url
S1 bd0001; system32\DRIVERS\bd0001.sys [X]
S1 bd0002; system32\DRIVERS\bd0002.sys [X]
S1 bd0003; system32\DRIVERS\bd0003.sys [X]
S2 BDArKit; system32\DRIVERS\BDArKit.sys [X]
S0 BDMWrench; system32\DRIVERS\BDMWrench.sys [X]
S2 BaiduHips; "C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BaiduHips.exe"  [X]
S2 BDKVRTP; "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe" -r [X]
OPR Extension: (StartTab.ru) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\dhkgfcmdepbpmmongpdohlegolebhchg [2013-12-08]
OPR Extension: (CinemaLoad) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb [2014-08-30]
OPR Extension: (Screeny) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnjejilcobdkeaholenhgcchnelddigl [2013-12-08]
OPR Extension: (Dolka.ru) - C:\Users\Windows\AppData\Roaming\Opera Software\Opera Stable\Extensions\pgghklagldlfffkakhlegbpaagfihech [2013-12-02]
CHR HKLM\...\Chrome\Extension: [nkcpopggjcjkiicpenikeogioednjeac] - C:\Users\Windows\AppData\Local\Temp\nkcpopggjcjkiicpenikeogioednjeac.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [hhmlhgdodanfanddmjookifdkghcajme] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha999\ch\MediaViewerV1alpha999.crx [Not Found]
CHR Extension: (No Name) - C:\Users\Windows\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgghklagldlfffkakhlegbpaagfihech [2013-12-02]
CHR Extension: (No Name) - C:\Users\Windows\AppData\Local\Google\Chrome\User Data\Default\Extensions\mnjejilcobdkeaholenhgcchnelddigl [2013-12-08]
CHR Extension: (No Name) - C:\Users\Windows\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkgfcmdepbpmmongpdohlegolebhchg [2013-12-08]
FF HKLM\...\Firefox\Extensions: [12x3q@3244516.com] - C:\Program Files\Better-Surf\ff
FF Extension: Better-Surf - C:\Program Files\Better-Surf\ff [2013-11-26]
FF HKLM\...\Firefox\Extensions: [ext@MediaViewerV1alpha999.net] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha999\ff
FF Extension: Ask Toolbar for Firefox - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{E9A1DEE0-C623-4439-8932-001E7D17607D} [2012-07-08]
FF Extension: WebToSave - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{f80bc79c-ab5e-418a-a0be-3d9e66b4e976} [2013-10-05]
FF Extension: Info Enhancer for Firefox - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\dldcbakcjliccckkmfjcblhciilpdcil@infoenhancer.com.xpi [2013-10-13]
FF Extension: WebAlta - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{4933189D-C7F7-4C6E-834B-A29F087BFD23}.xpi [2012-11-21]
FF Extension: Screeny - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{17238372-3743-33ab-8a9f-93722af74c79} [2013-12-08]
FF Extension: Fast Discountz - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\{2a4808f0-e451-4d0b-982a-bb0f44d3354d} [2013-10-05]
FF Extension: DealPly Shopping - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\amo@dealplyshopping.com [2013-03-30]
FF Extension: Dolka.ru - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\extension@dolka.ru [2014-02-25]
FF Extension: MegaSmiles - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\itemote@sm-stream.com [2013-10-13]
FF Extension: StartTab.ru - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\jid0-.ksghseRGksergosjgr@jetpack [2013-12-08]
FF Extension: Tutnedorogo.ru - C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2013-11-26]
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\Search_Results.xml [2013-04-13]
FF SearchPlugin: C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\searchplugins\Search_Results.xml [2013-04-13]
FF SearchPlugin: C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\searchplugins\trovi-search.xml [2014-10-02]
FF SearchPlugin: C:\Users\Windows\AppData\Roaming\Mozilla\Firefox\Profiles\nx002tb6.default\searchplugins\webalta-search.xml [2012-03-13]
FF Plugin: @tools.bdupdater.com/BonanzaDealsLive Update;version=3 -> C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll No File
FF Plugin: @tools.bdupdater.com/BonanzaDealsLive Update;version=9 -> C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll No File
FF Plugin: @tools.google.com/Google Update;version=3 -> C:\Program Files\Google\Update\1.3.25.11\npGoogleUpdate3.dll No File
FF Plugin: @tools.google.com/Google Update;version=9 -> C:\Program Files\Google\Update\1.3.25.11\npGoogleUpdate3.dll No File
FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\2.1.0.3086\explugin\npBaiduSDDetectPlug.dll No File
Toolbar: HKLM - Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - C:\Windows\system32\mscoree.dll [2009-11-25] (Microsoft Corporation)
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> Yandex URL = http://toolbar.ask.com/toolbarv/askRedirect?gct=&gc=1&q={searchTerms}&crm=1&toolbar=DVS
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> yandex.ru-183300 URL = http://webalta.ru/search?q={searchTerms}&from=IE
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text=
SearchScopes: HKU\S-1-5-21-3684288509-2143921260-1802990358-1000 -> 18D8975B09D5A450AB6ACCB4C2932CE1 URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text={searchTerms}
HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text={searchTerms}
HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.s125.ru
HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a545b836abd5040c37061e7f06b678ad&text={searchTerms}
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-3684288509-2143921260-1802990358-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\...\Run: [baidusdTray] => "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe"  -stmd=3
Task: {B2B27E8A-FEE8-48F1-9803-43C7E132E3E4} - \RsDelayLauncher_{8A34248E-7D35-4832-8378-7659E0B0A380} No Task File <==== ATTENTION
Task: {CF2F2DC6-E4E9-4E48-9B9B-9DD38073EFF4} - \ExtensionInstallerX_8 No Task File <==== ATTENTION
Task: {E1BC105D-1107-4175-B1FF-ED3F544782DB} - System32\Tasks\DealPlyUpdate => C:\Program <==== ATTENTION
Task: {F7B4B9AB-43A8-4A26-8640-B4F3805CCD45} - \FGRun No Task File <==== ATTENTION
FirewallRules: [{7ADE4207-09A3-4C5A-85E2-9BF7AB78C08E}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{80155633-6160-428A-B267-4218DD8F7C25}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{BC9D6551-84F5-4064-BBBA-2042C229F0EA}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{19AEEA6B-1CAC-4C67-9EBE-34291A57793A}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{BC8C9E2B-F00E-41B9-AD4C-B453FE82B5F0}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{12EE3547-4861-4F12-94BE-FEA37C979FA2}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe
FirewallRules: [{BEB94C47-C094-4252-96FB-873D586D7FBC}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{FDD3DBD7-C59A-44A2-BD24-ECC058B8A85B}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{BC0627C9-A3F8-4897-84CC-779A4B115336}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{7647186D-7EF6-43E5-8EE7-B4F42591CD85}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{797273F1-54AA-4455-8C48-6A3A566CFD3C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{83039488-C1D0-489F-B29D-A7974C315186}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSd.exe
FirewallRules: [{BBADBFEF-6759-4AAF-BC75-0250D3DD4901}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{8391BC10-CD73-4FCB-BBC2-4228E8BFF8E1}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{3F56991D-F368-4031-B35A-C15F1C9F2268}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{F6D4B564-FACC-445E-ACD5-D5A1F61A1320}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{847A0495-4D59-4A54-A3F4-E713DD0977EA}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{1001D4B2-7D8F-457A-AFD4-1A5DE0FA4F2C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe
FirewallRules: [{31749D17-7800-41FA-84B5-8FBC6F751869}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{AEBDABB3-DB25-45E9-A33C-E33B967EC64D}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{B40B445F-E70E-468D-8FBB-4A846098F6A5}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{F5DBD7D4-8FA6-49FD-A9D7-74AD9DABB5A0}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{C0A5E852-9E42-4ACA-A7B3-0FCC03B77190}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{CE36AAF0-49D3-4367-BE34-BD139F58CF1C}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdUpdate.exe
FirewallRules: [{D4019487-0DC2-49EF-942E-05B96BE68B11}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{CE3887BA-1C1C-43D3-9BF5-0578BEFAFF5A}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{46BC154E-030B-4B36-BAEC-1ABEEA562C74}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{15967EE4-BF4F-4E8D-A877-557EE73FAAF6}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{3A2D6286-17D8-48C4-80DA-51B4E099B550}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{C2AC97B3-5B84-4602-AC7A-76E44B536750}] => (Allow) C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdBugRpt.exe
FirewallRules: [{26ACFD96-28E5-4FE4-AAED-FCC21CAB203E}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{A89F2A83-FAE8-4E1E-9B7A-F036BE688A5A}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{4B5F94A1-5533-4406-82C3-972D9E022DF8}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{52BA0BA0-3AAF-46D5-8416-31767EF2B951}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{01653D13-635B-4D4F-981B-767A7619A9C2}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{5D923659-BE2E-4017-AE48-0AE460D5576B}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe
FirewallRules: [{940673ED-7F4E-46EC-B47A-F17EED9C57F0}] => (Allow) C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exeReboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

  • Согласен 1
agrx

agrx

Опубликовано
  • Автор
Опубликовано

Прикрепляю, компьютер не перезагрузился сам после фиксов. Перезагрузил вручную.

Fixlog.txt

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • рарук
      Ваши файлы были зашифрованы. post8881@gmail.com
      Автор рарук
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      FD1FACE47FA84A930EB6|0
      на электронный адрес post8881@gmail.com или post24932@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      FD1FACE47FA84A930EB6|0
      to e-mail address post8881@gmail.com or post24932@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
    • tankopia
      зашифровались файлы в расширение xtbl
      Автор tankopia
      У сестры на компьютере файлы зашифровались  и на рабочем столе черный экран типа такого (вложение 111111) высылаю вам несколько закодрованных файлов и файл readmy
       
      текст файла readmy
       
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      F1F716AE701CE60103D6|0
      на электронный адрес decodefile001@gmail.com или decodefile002@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.


      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      F1F716AE701CE60103D6|0
      to e-mail address decodefile001@gmail.com or decodefile002@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
       
      Помогите пожалуйста, сделайте дескриптор. У сестры мног оважных документов пропало(((.
      Очень вас прошу.

      17-10-2015_22-42-28.zip
    • MonsterIsGood
      Вирус зашифровал файлы в формат .xtbl
      Автор MonsterIsGood
      Зашифрованы в основном фотографии и документы doc

      Kaspersky Virus Removal Tool Ничего не обнаружил

      Заранее спасибо!

      Логи:

      CollectionLog-2015.10.18-22.38.zip
    • Наталия Болясова
      Все файлы зашифрованы!формат XTBL
      Автор Наталия Болясова
      На компьютере зашифрованы все файлы. Около 50 Гб. Видео,фото,аудио. "Порядок оформления запроса о помощи" соблюден.
       
      Помогите,пожалуйста,спасти файлы!
    • виктория виктория
      Ваши файлы были зашифрованы
      Автор виктория виктория
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      1514D705323F4A305004|0
      на электронный адрес files100001@gmail.com или files100002@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      1514D705323F4A305004|0
      to e-mail address files100001@gmail.com or files100002@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.                                                                                                                                                                                                                   ЧТО ДЕЛАТЬ?
       
      Сообщение от модератора Mark D. Pearlstone Перенесено из темы
×
×
  • Создать...