вирус шифровальщик cbf

[Евгений 1978]

пришло письмо на почту: добрый день к нам пришла внеплановая проверка ФНС, а у нас нет ваших документов, пришлите пожалуйста их хотя бы в сканированном виде, реестр документов во вложении, стал открывать фаил он не открывается ( фаил был в zip архиве) за два часа весь комп зашифровал, осталось пару pdfных файла. тип файла шифровальщика CBF. кто ни будь уже сталкивался с таким вирусом ? ка все расшифровать ?

CollectionLog-2015.07.01-13.00.zip

CollectionLog-2015.07.01-13.00.zip

[thyrex]

Логи переделайте без запущенного CureIt

[Евгений 1978]

сделал

CollectionLog-2015.07.01-17.32.zip

[thyrex]

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\DIR\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\DIR\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\DIR\AppData\Roaming\DealPly\UPDATE~1\UPDATE~1.EXE','');
DeleteFile('C:\Program Files\Перечень_ФНС_25_05.doc.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\pr','command');
DeleteFile('C:\Users\DIR\AppData\Roaming\DealPly\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Users\DIR\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Users\DIR\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\Funmoods','32');
DeleteFile('C:\Windows\system32\Tasks\DSite','32');
DeleteFile('C:\Windows\system32\Tasks\DealPly','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://giovannibo.com/reduce/also.pok

Сделайте НОВЫЕ логи ПО ПРАВИЛАМ

[Евгений 1978]

 

[KLAN-2936769862]

 

[thyrex]

Новые логи где?

[Евгений 1978]

извиняюсь за задержку

CollectionLog-2015.07.04-10.20.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Евгений 1978]

готово

Addition.txt

[thyrex]

Лог FRST.txt где? 

[Евгений 1978]

сделал

FRST.txt

[thyrex]

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
Task: {1497825C-C583-4FE8-B417-C53C4DB92D28} - \DealPly No Task File <==== ATTENTION
Task: {5B1F8B87-D527-44FE-B9ED-13E983DE4D4C} - \DSite No Task File <==== ATTENTION
Task: {C43DD7B0-8E5B-49A8-B460-BE7443B3B084} - \Funmoods No Task File <==== ATTENTION
Task: {A2B5FAED-F5FB-42FE-8005-058663C89031} - System32\Tasks\DealPlyUpdate => C:\Program Files\DealPly\DealPlyUpdate.exe [2013-01-16] (DealPly) <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:DBC416F8
AlternateDataStreams: C:\Users\Все пользователи\TEMP:DBC416F8
HKLM\...\Run: [] => [X]
FF NetworkProxy: "autoconfig_url", "https://giovannibo.com/reduce/also.pok"
FF NetworkProxy: "type", 2
2015-06-30 15:40 - 2015-06-30 15:40 - 0156286 _____ () C:\Program Files\desk.jpg
2015-06-30 15:40 - 2015-06-30 15:40 - 0156286 _____ () C:\Program Files\desk1.bmp
2015-06-30 14:05 - 2015-06-30 15:40 - 0000080 _____ () C:\Program Files\KYPTSTPGZB.ARA
Reboot:

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  
• Обратите внимание, что компьютер будет перезагружен.
  

[Евгений 1978]

не могу найти блокнот FRST

[mike 1]

Не можете создать текстовой файл с именем fixlist.txt? 

[Евгений 1978]

готово

Fixlog.txt