Перейти к содержанию

Поймал шифровальщика

Andy58
 Share

Рекомендуемые сообщения

Andy58 Новичок

Andy58

Опубликовано
Опубликовано

теперь все нужные файлы имеют название "email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-RVZDGJNQUXAEHKORVYBFILOSVYCGILOQTWZD-10.09.2015 4@02@334670505.randomname-AEHKOSVYBFILOSVYBFILPSVYCFILPS.WYC" или подобное.

CollectionLog-2015.09.14-11.53.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Первый пункт выполняйте в безопасном режиме.

 

 
Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('BdSandBox');
 StopService('BDSafeBrowser');
 StopService('BDMWrench');
 StopService('BDMNetMon');
 StopService('BDFileDefend');
 StopService('BDEnhanceBoost');
 StopService('BDDefense');
 StopService('BDArKit');
 StopService('bd0004');
 StopService('bd0003');
 StopService('bd0002');
 StopService('bd0001');
 QuarantineFile('C:\Program Files\IObit\Driver Booster\DriverBooster.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BDSWShellExt.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BDShellExt.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BdSandBox.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','');
 QuarantineFile('C:\Windows\system32\drivers\BDDefense.sys','');
 QuarantineFile('C:\Windows\System32\Drivers\BDArKit.SYS','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0004.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0003.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0002.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0001.sys','');
 QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.622\BaiduProtect.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','');
 QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','');
 QuarantineFile('C:\Program Files\punto.bat', '');
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('C:\Users\Aleksey\AppData\Local\Yandex.bat','');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.622\BaiduProtect.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS','32');
 DeleteFile('C:\Windows\system32\drivers\BDDefense.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BDShellExt.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BDSWShellExt.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll','32');
 DeleteFile('C:\Program Files\IObit\Driver Booster\DriverBooster.exe','32');
 DeleteFile('C:\Program Files\punto.bat', '32');
 DeleteFile('C:\iexplore.bat', '32');
 DeleteFile('C:\Users\Aleksey\AppData\Local\Yandex.bat','32');
 ExecuteFile('schtasks.exe', '/delete /TN "Driver Booster SkipUAC (Aleksey)" /F', 0, 15000, true);
 DeleteService('BdSandBox');
 DeleteService('BDSafeBrowser');
 DeleteService('BDMWrench');
 DeleteService('BDMNetMon');
 DeleteService('BDFileDefend');
 DeleteService('BDEnhanceBoost');
 DeleteService('BDDefense');
 DeleteService('BDArKit');
 DeleteService('bd0004');
 DeleteService('bd0003');
 DeleteService('bd0002');
 DeleteService('bd0001');
 DeleteService('BDSGRTP');
 DeleteService('BDMRTP');
 DeleteService('BDKVRTP');
 DeleteService('BaiduHips');
 DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
 DelCLSID('{11292110-6F8D-4D56-863C-44902A1E7880}');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(2);
 ExecuteRepair(3);
 ExecuteRepair(4);
RebootWindows(true);
end.
 
 
Компьютер перезагрузится. После перезагрузки, уже в обычном режиме выполните такой скрипт:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com
 
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Файл CheckBrowserLnk.log
из папки

 

...\AutoLogger\CheckBrowserLnk
перетащите на утилиту ClearLNK.
 
move.gif
 
Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 
 
 
Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
Прикрепите отчет к своему следующему сообщению.

 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты
Andy58 Новичок

Andy58

Опубликовано
  • Автор
Опубликовано

Добрый день.

Ответ от newvirus@kaspersky.com:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.   

BdSandBox.sys,
BDMWrench.sys,
BDMNetMon.sys,
BDFileDefend.sys,
BDEnhanceBoost.sys,
bd0003.sys,
bd0002.sys,
bd0001.sys
punto.bat,
Yandex.bat

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

BDSafeBrowser.sys,
BDDefense.sys,
BDArKit.SYS,
bd0004.sys

Вредоносный код в файлах не обнаружен.

С уважением, Лаборатория Касперского

 

 

ClearLNK-14.09.2015_15-27.log

AdwCleanerS3.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).

В меню Настройки отметьте:


Сброс политик IE

Сброс политик Chrome


[*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.

[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.

[*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

Очистите средствами AdwCleaner всё, кроме папок от mail.ru и AVG. Если программами от mail.ru не пользуетесь, то их тоже очистите.

 

 

Далее:


Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочками также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

AdwCleaner приложили не тот лог. Нужен

 

 


C:\AdwCleaner\AdwCleaner[C1].txt

 

Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
start
CreateRestorePoint:
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} ->  No File
Toolbar: HKU\S-1-5-21-1856389700-104378137-3428220523-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF NewTab: yafd:tabs
FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\3.0.0.4605\explugin\npBaiduSDDetectPlug.dll [No File]
2015-04-10 11:24 - 2015-04-10 11:24 - 0000117 ____H () C:\Program Files\diary.bat
2015-04-10 11:24 - 2011-11-14 16:28 - 0204136 ____H (ООО Яндекс) C:\Program Files\diаry.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000119 ____H () C:\Program Files\layouts.bat
2015-04-10 11:24 - 2011-11-14 16:29 - 0033128 ____H (ООО Яндекс) C:\Program Files\lаyоuts.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000114 ____H () C:\Program Files\ps.bat
2015-04-10 11:24 - 2011-11-14 16:29 - 1121640 ____H (ООО Яндекс) C:\Program Files\puntо.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000120 ____H () C:\Program Files\WelcomeToPunto.bat
Reboot:
end
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.
Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

В логах порядок. С расшифровкой, увы, не поможем.

 

Для проверки уязвимого софта:

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...