xorist Вирус-шифровальщик. Меняет расширения файлов на .x2Hzqz8YKTjyeKs6Oiz7CzQQ

[Саша Алексеенок]

Скачал вирус, он поменял расширение многих файлов на это - .x2Hzqz8YKTjyeKs6Oiz7CzQQ
плюс в каждой папке теперь лежит вот этот файл
 
Лог в прикрепленных файлах

 

CollectionLog-2016.02.13-01.03.zip

Изменено 12 февраля, 2016 пользователем Саша Алексеенок

[mike 1]

http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

[Саша Алексеенок]

http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

Прикрепил лог

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.2vV03.09\2e0cf371-c5c0-4cf9-bc7c-9a99b3ecc707-10.exe','');
 QuarantineFile('C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat','');
 DeleteFile('C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-4.2vV03.09\2e0cf371-c5c0-4cf9-bc7c-9a99b3ecc707-10.exe','32');
 DeleteFile('C:\Windows\Tasks\2e0cf371-c5c0-4cf9-bc7c-9a99b3ecc707-10_user.job','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

1. Распакуйте архив с утилитой в отдельную папку.

2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

4. Прикрепите этот отчет к своему следующему сообщению.

 

 

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

[Саша Алексеенок]

отправил файл, пришел ответ "Этот файл поврежден" KLAN-3749885196

 

ClearLNK-13.02.2016_13-56.log

[thyrex]

Новые логи по правилам где?

 

+ Сделайте лог полного сканирования МВАМ

[Саша Алексеенок]

Новые логи по правилам где?

 

+ Сделайте лог полного сканирования МВАМ

 

 

Вот, сделал

CollectionLog-2016.02.13-14.29.zip

Log.txt

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[Саша Алексеенок]

Готово

Desktop.zip

[thyrex]

C:\Users\Александр\AppData\Local\Temp\9X8ghiTJt2CR6nw.exe заархивируйте с паролем virus, выложите на Яндекс-диск и пришлите ссылку мне в личные сообщения

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-2606792960-1965951425-3867505097-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gdljkkmghdkckhaogaemgbgdfophkfco] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
S2 AdvancedSystemCareService8; C:\Program Files (x86)\IObit\Advanced SystemCare 8\ASCService.exe [X]
C:\Users\Александр\AppData\Local\Temp\9X8ghiTJt2CR6nw.exe
Task: {56328CE1-340A-4F5A-9BF4-40F4BF1FC502} - \Soft installer -> No File <==== ATTENTION
Task: {98A8AAD0-092D-4C6C-8BDE-9C3444D1D8C1} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {98BF411B-59BA-412D-A8AD-6783C2480759} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:A1EDB939
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A1EDB939
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[Саша Алексеенок]

Вот лог

Fixlog.txt

[thyrex]

C:\Users\Александр\AppData\Local\Temp\libgcc_s_dw2-1.dll

C:\Users\Александр\AppData\Local\Temp\libstdc++-6.dll

C:\Users\Александр\AppData\Local\Temp\libwinpthread-1.dll

C:\Users\Александр\AppData\Local\Temp\plugin.dll

C:\Users\Александр\AppData\Local\Temp\Protect226c75c7.dll

 

тоже пришлите

[Саша Алексеенок]

Есть

dll.zip

[thyrex]

Образцы шифрованных файлов пришлите

[Саша Алексеенок]

Вот так выглядит содержимое любой папки на диске D

Новая папка.zip