Файлы зашифрованы. расширение vault

[WhiteRabbit]

Добрый день! Проверили на вирусы, сделали логи. Надеемся на помощь!

CollectionLog-2015.11.20-12.40.zip

[Sandor]

Здравствуйте!
 
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
 
Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Users\User\AppData\Local\Host installer\2327783592_installcube.exe','');
 QuarantineFile('C:\Users\User\AppData\Local\Kometa\Application\kometa.exe','');
 QuarantineFile('C:\Users\User\AppData\Local\B4495103-1429628399-108D-10EF-E03F49543A38\cnsp305D.tmp', '');
 QuarantineFile('C:\Users\User\AppData\Local\B4495103-1427974692-108D-10EF-E03F49543A38\snsy43E8.tmp', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\B4495103-1429612360-108D-10EF-E03F49543A38\jnsq2927.tmp', '');
 QuarantineFile('C:\Users\User\AppData\Local\B4495103-1429628642-108D-10EF-E03F49543A38\snsaCBCE.tmp', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\B4495103-1427960080-108D-10EF-E03F49543A38\jnsx49A0.tmp', '');
 DeleteFile('C:\Users\User\AppData\Local\Kometa\Application\kometa.exe','32');
 DeleteFile('C:\Users\User\AppData\Local\Host installer\2327783592_installcube.exe','32');
 DeleteFile('C:\Users\User\AppData\Local\B4495103-1429628399-108D-10EF-E03F49543A38\cnsp305D.tmp', '32');
 DeleteFile('C:\Users\User\AppData\Local\B4495103-1427974692-108D-10EF-E03F49543A38\snsy43E8.tmp', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\B4495103-1429612360-108D-10EF-E03F49543A38\jnsq2927.tmp', '32');
 DeleteFile('C:\Users\User\AppData\Local\B4495103-1429628642-108D-10EF-E03F49543A38\snsaCBCE.tmp', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\B4495103-1427960080-108D-10EF-E03F49543A38\jnsx49A0.tmp', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
 DeleteService('duxycuhu');
 DeleteService('hetovolo');
 DeleteService('jokidogy');
 DeleteService('nitozyku');
 DeleteService('qisygowe');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
 

 
Компьютер перезагрузится. 
 
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com
 
Полученный ответ сообщите здесь (с указанием номера KLAN)
 

Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.



Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[WhiteRabbit]

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

quarantine.zip

Этот файл повреждён.

С уважением, Лаборатория Касперского

 

Re: [KLAN-3368354245]

quarantine.zip был пустой.

 

Перед созданием новой темы на форуме я прогнал сначала

• Kaspersky Virus Removal Tool 2015; как было написано в правилах форума. он нашёл 9 объектов. я их вылечил. ПК перезагрузился, и ещё 6 объектов нашёл. Их тоже вылечил.

AdwCleanerS1.txt

ClearLNK-20.11.2015_16-37.log

[Sandor]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Настройки отметьте дополнительно:
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

 

Затем:

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочками также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[WhiteRabbit]

файл [c1] уже был, поэтому, наверно нужно [c2] приложить? в общем, оба файла прикрепил.

Addition.txt

FRST.txt

Shortcut.txt

AdwCleanerC2.txt

AdwCleanerC1.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start

CreateRestorePoint:

BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File

BHO: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File

BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File

BHO: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> No File

BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File

BHO-x32: No Name -> {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} -> No File

BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File

BHO-x32: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> No File

Toolbar: HKU\S-1-5-21-3219064931-3529900718-507141798-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File

FF Homepage: user_pref("browser.startup.homepage","hxxp://searchvap.ru");

OPR Extension: (Quick Searcher) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\lcljdijnknddleahijjbnmeladhihokc [2015-04-02]

2015-04-02 11:33 - 2015-04-02 11:33 - 0099678 _____ () C:\Users\User\AppData\Roaming\Играть в Prime World.ico

2015-04-02 11:33 - 2015-04-02 11:33 - 0370070 _____ () C:\Users\User\AppData\Roaming\Играть в Войны Престолов.ico

Task: {2378AFBC-E91B-4388-BBD7-667C19FA9078} - System32\Tasks\ASC8_PerformanceMonitor => C:\Program Files (x86)\IObit\Advanced SystemCare 8\Monitor.exe

Task: {26AC5D7F-F9F4-4127-85E4-32B610CBA7B1} - System32\Tasks\ASC8_SkipUac_User => C:\Program Files (x86)\IObit\Advanced SystemCare 8\ASC.exe

Task: {B1C5D16D-92BC-4C14-9CC5-623B2206590D} - System32\Tasks\Uninstaller_SkipUac_User => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe

Reboot:

end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Изменено 24 ноября, 2015 пользователем Sandor

[WhiteRabbit]

Сделано

Fixlog.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
2015-11-19 08:11 - 2015-11-19 12:04 - 00000000 ___SD C:\Windows\SysWOW64\Opera 33.0.1990.115
HKLM-x32\...\Run: [Opera 33] => C:\Windows\SysWOW64\Opera 33.0.1990.115\Opera 33.0.1990.115.lnk [1912 2015-02-25] ()

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

[WhiteRabbit]

Сделали

Fixlog.txt

[mike 1]

Пробуйте https://yadi.sk/d/U_4c_Hg7kTwyj

Изменено 27 ноября, 2015 пользователем mike 1

[WhiteRabbit]

архив просит пароль(

[mike 1]

Пароль я вам скинул в ЛС. )) 

[WhiteRabbit]

15:12:41.0717 0x1018  ============================================================

15:12:41.0717 0x1018  Current date / time: 2015/11/30 15:12:41.0717

15:12:41.0717 0x1018  SystemInfo:

15:12:41.0717 0x1018  

15:12:41.0717 0x1018  OS Version: 6.1.7601 ServicePack: 1.0

15:12:41.0717 0x1018  Product type: Workstation

15:12:41.0717 0x1018  ComputerName: PC0001

15:12:41.0717 0x1018  UserName: User

15:12:41.0717 0x1018  Windows directory: C:\Windows

15:12:41.0717 0x1018  System windows directory: C:\Windows

15:12:41.0717 0x1018  Running under WOW64

15:12:41.0717 0x1018  Processor architecture: Intel x64

15:12:41.0717 0x1018  Number of processors: 2

15:12:41.0717 0x1018  Page size: 0x1000

15:12:41.0717 0x1018  Boot type: Normal boot

15:12:41.0717 0x1018  ============================================================

15:12:41.0717 0x1018  Initialize success

15:13:12.0424 0x11d8  Cannot acquire the private RSA key

15:13:12.0424 0x11d8  Cannot init decryptor on file G:\Договора\dogovor_denezhnogo_zaima_s_protsentami.doc.vault

Изменено 30 ноября, 2015 пользователем mike 1

[mike 1]

Ну значит облом. 

[WhiteRabbit]

ясно. спасибо за помощь!