Перейти к содержанию
Летний корпоратив «Лаборатории Касперского» 2025. Как попасть?

Вирус шифровальщик

ekatzerina
 Поделиться

Рекомендуемые сообщения

ekatzerina Новичок

ekatzerina

Опубликовано
Опубликовано

Добрый день!

 

На ноутбуке установлен Вин 7, поймала вирус - черный экран, надпись "внимание! все важные файлы на всех дисках вашего компьютера зашифрованы....."

Все файлы зашифрованы, в почтовой программе все файлы в нормальном виде (вложения).

Антивирусы не видят....

 

Заранее спасибо!

CollectionLog-2015.07.16-15.52.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\A0640510-1430851329-DF11-928F-C959ED14AE96\jnssDBC1.tmp','');
QuarantineFile('C:\Windows\system32\Bylekh.dll','');
QuarantineFile('C:\Users\Екатерина\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
QuarantineFile('c:\programdata\{adb8c132-0181-cc52-adb8-8c13201804c8}\download.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-5.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-11.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-10.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-6.exe','');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Windows\Sys\taskmgr.vbs','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\Browsers\exe.resworb.bat','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteService('BDMNetMon');
DeleteService('BDEnhanceBoost');
DeleteService('BAPIDRV');
QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
DeleteService('innfd_1_10_0_14');
DeleteService('BDMRTP');
DeleteService('BDKVRTP');
QuarantineFile('C:\ProgramData\adblocker\1.1.0.31\Bylekh.exe','');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','32');
DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\Browsers\exe.resworb.bat','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','32');
DeleteFile('C:\Windows\Sys\taskmgr.vbs','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Program','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gpuminer','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kometaup','command');
DeleteFile('C:\Users\Екатерина\AppData\Local\Kometa\kometaup.exe','32');
DeleteFile('C:\Program Files (x86)\YTDownloader\YTDownloader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YTDownloader','command');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-6.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-6.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-7.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-7.exe','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-10.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-10_user.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-11.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-11.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5_user.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-5.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\Bidaily Synchronize Task[973b].job','64');
DeleteFile('c:\programdata\{adb8c132-0181-cc52-adb8-8c13201804c8}\download.exe','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Maintenance.job','64');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Startup.job','64');
DeleteFile('C:\Program Files (x86)\Uniblue\PC-Mechanic\pc-mechanic.exe','32');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Subscription.job','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-6','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-7','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-11','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\Bidaily Synchronize Task[973b]','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Maintenance','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Startup','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Subscription','64');
DeleteFile('C:\Windows\system32\Tasks\ReimageUpdater','64');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','32');
DeleteFile('C:\Users\Екатерина\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
DeleteFile('C:\Windows\system32\Bylekh.dll','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\A0640510-1430851329-DF11-928F-C959ED14AE96\jnssDBC1.tmp','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
ekatzerina Новичок

ekatzerina

Опубликовано
  • Автор
Опубликовано

Выполнила скрипты, но возникли проблемы:

 

1. ни один браузер не запустился (существующие ярлыки для запуска браузеров выдавали ошибку)

2. сформировавшийся архив был пуст.

 

откатила систему на 13.07 (после этой даты чистила ноутбук).

 

Сделать новую выгрузку логов?

Ссылка на комментарий
Поделиться на другие сайты
ekatzerina Новичок

ekatzerina

Опубликовано
  • Автор
Опубликовано

Конечно. Что ж поделать, если Вы не дошли до папки с браузером и не запустили его таким способом

я  дошла конечно, запустился IE, но страницы не грузились

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Екатерина\appdata\local\smartweb\__u.exe','');
QuarantineFile('C:\Users\Екатерина\appdata\roaming\oursurfing\uninstallmanager.exe','');
QuarantineFile('C:\Users\Екатерина\appdata\roaming\mystartsearch\uninstallmanager.exe','');
QuarantineFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
QuarantineFile('c:\programdata\{adb8c132-0181-cc52-adb8-8c13201804c8}\download.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-5.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-11.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-10.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-6.exe','');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system.pif','');
QuarantineFile('C:\Users\Екатерина\AppData\Local\Yandex\browser.bat','');
QuarantineFile('C:\Users\Екатерина\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Program Files (x86)\YTDownloader\YTDownloader.exe','');
QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
DeleteService('innfd_1_10_0_14');
DeleteService('BDMNetMon');
QuarantineFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','');
QuarantineFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','');
DeleteService('BDEnhanceBoost');
DeleteService('BDMRTP');
DeleteService('BDKVRTP');
SetServiceStart('Bylekh', 4);
DeleteService('Bylekh');
QuarantineFile('C:\ProgramData\adblocker\1.1.0.31\Bylekh.exe','');
QuarantineFile('C:\Windows\system32\Bylekh.dll','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('C:\Windows\system32\Bylekh.dll','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','32');
DeleteFile('C:\ProgramData\adblocker\1.1.0.31\Bylekh.exe','32');
DeleteFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
DeleteFile('C:\Program Files (x86)\YTDownloader\YTDownloader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YTDownloader','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Екатерина\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
DeleteFile('C:\Users\Екатерина\AppData\Local\Yandex\browser.bat','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system.pif','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gpuminer');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-6.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-6.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-7.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-7.exe','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-10.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-10_user.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-11.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-11.exe','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-5.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5_user.job','64');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('c:\programdata\{adb8c132-0181-cc52-adb8-8c13201804c8}\download.exe','32');
DeleteFile('C:\Windows\Tasks\Bidaily Synchronize Task[973b].job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Maintenance.job','64');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Subscription.job','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-6','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-7','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-11','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\Bidaily Synchronize Task[973b]','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Maintenance','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Startup','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Subscription','64');
DeleteFile('C:\Windows\system32\Tasks\ReimageUpdater','64');
DeleteFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','32');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\Users\Екатерина\appdata\roaming\mystartsearch\uninstallmanager.exe','32');
DeleteFile('C:\Users\Екатерина\appdata\roaming\oursurfing\uninstallmanager.exe','32');
DeleteFile('C:\Users\Екатерина\appdata\local\smartweb\__u.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(15);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

Ссылка на комментарий
Поделиться на другие сайты
ekatzerina Новичок

ekatzerina

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Екатерина\appdata\local\smartweb\__u.exe','');
QuarantineFile('C:\Users\Екатерина\appdata\roaming\oursurfing\uninstallmanager.exe','');
QuarantineFile('C:\Users\Екатерина\appdata\roaming\mystartsearch\uninstallmanager.exe','');
QuarantineFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
QuarantineFile('c:\programdata\{adb8c132-0181-cc52-adb8-8c13201804c8}\download.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-5.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-11.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-10.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-6.exe','');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','');
QuarantineFile('C:\Users\Екатерина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system.pif','');
QuarantineFile('C:\Users\Екатерина\AppData\Local\Yandex\browser.bat','');
QuarantineFile('C:\Users\Екатерина\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Program Files (x86)\YTDownloader\YTDownloader.exe','');
QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
DeleteService('innfd_1_10_0_14');
DeleteService('BDMNetMon');
QuarantineFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','');
QuarantineFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','');
DeleteService('BDEnhanceBoost');
DeleteService('BDMRTP');
DeleteService('BDKVRTP');
SetServiceStart('Bylekh', 4);
DeleteService('Bylekh');
QuarantineFile('C:\ProgramData\adblocker\1.1.0.31\Bylekh.exe','');
QuarantineFile('C:\Windows\system32\Bylekh.dll','');
TerminateProcessByName('c:\programdata\windows\csrss.exe');
QuarantineFile('c:\programdata\windows\csrss.exe','');
DeleteFile('c:\programdata\windows\csrss.exe','32');
DeleteFile('C:\Windows\system32\Bylekh.dll','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','32');
DeleteFile('C:\ProgramData\adblocker\1.1.0.31\Bylekh.exe','32');
DeleteFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
DeleteFile('C:\Program Files (x86)\YTDownloader\YTDownloader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YTDownloader','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Екатерина\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
DeleteFile('C:\Users\Екатерина\AppData\Local\Yandex\browser.bat','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system.pif','32');
DeleteFile('C:\Users\Екатерина\AppData\Roaming\cpuminer\sgminer\sgminer.cmd','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gpuminer');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-6.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-6.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-7.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-1-7.exe','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-10.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-10_user.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-11.job','64');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-11.exe','32');
DeleteFile('C:\Program Files (x86)\SavePass 1.1\95396268-041c-4ef8-8580-b2cae036826c-5.exe','32');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5.job','64');
DeleteFile('C:\Windows\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5_user.job','64');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('c:\programdata\{adb8c132-0181-cc52-adb8-8c13201804c8}\download.exe','32');
DeleteFile('C:\Windows\Tasks\Bidaily Synchronize Task[973b].job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Maintenance.job','64');
DeleteFile('C:\Windows\Tasks\PC-Mechanic Subscription.job','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-6','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-1-7','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-11','64');
DeleteFile('C:\Windows\system32\Tasks\95396268-041c-4ef8-8580-b2cae036826c-5','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\Bidaily Synchronize Task[973b]','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Maintenance','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Startup','64');
DeleteFile('C:\Windows\system32\Tasks\PC-Mechanic Subscription','64');
DeleteFile('C:\Windows\system32\Tasks\ReimageUpdater','64');
DeleteFile('C:\Program Files\Reimage\Reimage Protector\ReiGuard.exe','32');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\Users\Екатерина\appdata\roaming\mystartsearch\uninstallmanager.exe','32');
DeleteFile('C:\Users\Екатерина\appdata\roaming\oursurfing\uninstallmanager.exe','32');
DeleteFile('C:\Users\Екатерина\appdata\local\smartweb\__u.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(15);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

 

все сделала, все прошло без ошибок, прикрепила новые логи

Ответ 

 

KLAN-2980075351

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

__u.exe - not-a-virus:AdWare.Win32.PriceGong.a

uninstallmanager.exe,

uninstallmanager_0.exe - not-a-virus:AdWare.Win32.ELEX.bf

 

Это файлы от рекламной системы. Детектирование файлов будет добавлено в следующее обновление расширенного набора баз. Подробная информация о расширенных базах: http://www.kaspersky.ru/extraavupdates

 

browser.bat

Bylekh.dll,

Bylekh.exe

download.exe

 

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

 

csrss.exe,

system.pif - Trojan.Win32.Fsysna.cdfw

 

Детектирование файлов будет добавлено в следующее обновление.

 

sgminer.cmd

 

Вредоносный код в файле не обнаружен.

 

С уважением, Лаборатория Касперского

CollectionLog-2015.07.17-23.45.zip

Ссылка на комментарий
Поделиться на другие сайты
ekatzerina Новичок

ekatzerina

Опубликовано
  • Автор
Опубликовано

Еще пришло письмо

 

KLAN-2980075351

 

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update. 
csrss.exe,
system.pif - Trojan.Win32.Fsysna.cdfw

This file is "Porn/Advertising Tool" or a potentially risk program. New detection was added.
__u.exe - not-a-virus: AdWare.Win32.PriceGong.a
uninstallmanager.exe,
uninstallmanager_0.exe - not-a-virus: AdWare.Win32.ELEX.bf
browser.bat not-a-virus:AdWare.BAT.Clicker.af
Bylekh.dll not-a-virus:AdWare.Win32.OptimizerMonitor.heur
Bylekh.exe not-a-virus:AdWare.Win32.Agent.izxg
download.exe not-a-virus:AdWare.Win32.MultiPlug.ofdz

Thank you for your help.

Ссылка на комментарий
Поделиться на другие сайты
ekatzerina Новичок

ekatzerina

Опубликовано
  • Автор
Опубликовано

 

Сделала, не знаю в таком формате подойдет, если нет - переделаю.

 

прилагаю

Отчет MBAM 18.07-2.txt

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • vasia15
      вирус похож на шифровальщик
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • Keldenis
      Вирус-шифровальщик. Сервер 1с.
      Автор Keldenis
      Здравствуйте! Наш сервер был поражен вирусом-шифровальщиком. Все зараженные файлы приобрели вид блокнота при нажатии на который выходило сообщение от мошенников. Мы воспользовались утилитой от Касперского Rakhni Decryptor. Она смогла подобрать пароль и (по её мнению) расшифровать файлы. Но ни один из "расшифрованных" файлов не открывался. При этом, мы использовали утилиту дважды. В первый раз мы не использовали функцию удаления пораженных файлов, расшифрованная копия которых уже была сделана. Таким образом, после первого использования утилиты, у нас на сервере появились копии практически всех зашифрованных файлов. При этом, сам зашифрованный файл имел вид блокнотика, а его расшифрованная копия имела обычный для такого типа файла внешний вид. У зашифрованных файлов и их расшифрованной копии, при этом, был одинаковый размер файла. Мы решили, что, возможно нам нужно было поставить галочку для функции "Удалять зашифрованные файлы после успешной расшифровки", чтобы после расшифровки файлы открывались. Кроме того, дубляж файлов съел практически всё свободное место на наших жестких дисках. Поэтому, мы удалили наиболее тяжелые копии расшифрованных файлов и запустили утилиту повторно, поставив галочку для удаления зашифрованных файлов. Утилита вновь успешно подобрала пароль и расшифровала файлы, удалив все зашифрованные. Но файлы так и не начали открываться. Как описано выше, мы удалили копии только тяжелых файлов. Те зашифрованные файлы, расшифрованные копии которых мы не удалили после первого применения утилиты, при втором использовании утилиты остались нетронутыми. Поэтому мы прикрепляем в архиве именно такие файлы, т.е. сам зашифрованный файл и его расшифрованную утилитой копию, чтобы понять на примере зашифрованного файла, можно ли его расшифровать; а на примере "расшифрованного" утилитой файла, действительно ли он был расшифрован, но не открывается, потому что испорчен и не подлежит или подлежит восстановлению, либо он не был на самом деле расшифрован, и его всё еще можно расшифровать в будущем, хоть он уже и не имеет вид того самого блокнотика. Кроме того, мы установили антивирус от Касперсого на сервер и он, вероятно, уже удалил сам файл шифровальщик.
      Зашифрованные файлы.zip Addition.txt FRST.txt
    • boshs
      вирус шифровальщик UUUUUU.uuu
      Автор boshs
      Помогите пожалуйста с вирусом шифровальщиком UUUUUUU.uuu на флешке (204гб информации, видео, фото, файлов и т.д) файлы были опознаны как ошибка системой виндовс из-за чего файлы перестали быть видны, но при этом их данные видны через программы, резервных копий нету, изменять файлы (заархивированный файл, zip и ярлык не создаются)

    • Olga650
      вирус шифровальщик (.1mJ3g1TA4)
      Автор Olga650
      Addition.txtFRST.txtТабель 2025 (.1mJ3g1TA4)  ссылка удалена облако с вирусом (без пароля)
      Отчёт Касперского.txt 1mJ3g1TA4.README.txt  Поймали вирус шифровальщик 26.02. Антивирус не стоял. После был установлен Касперский стандарт. Стандартные решения по расшифровке не помогли. Удалось найти несколько документов оригиналов, до шифровки и после.
       
      Строгое предупреждение от модератора Mark D. Pearlstone Не публикуйте вредоносные файлы, а также ссылки на них.
       
    • sasaks11
      Вирус
      Автор sasaks11
      Добрый день! Аналогичная ситуация с человеком в теме... Ещё было замечено что скачиваемые файлы на следующий день также повреждаются. Могу ли я решить проблему действуя по представленным здесь шагам или требуется индивидуальное решение?
      Сканирование проводилось с помощью встроенного в майкрософт 11 антивируса. Он ничего не обнаружил ни при полной проверке, ни при быстрой, ни при автономной проверке (Microsoft Defender).

       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
×
×
  • Создать...