Вирус Better Call Saul

[Aristokrat83]

Скачал с почты файл под темой РОСТЕЛЕКОМ (самое обидное что я 10 минут назад им звонил и ждал от них звонка). Файлы поменяли расширение на * Better Call Saul, а на рабочем столе появилась надпись и куча файлов README. 

 

Архив от AutoLogger приложен ниже.

Спасибо за помощь.

CollectionLog-2016.04.13-14.43.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);

 QuarantineFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\Ahworks\bfrlykzk.dll','');

 QuarantineFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\Adsworks\zvbrujmm.dll','');

 QuarantineFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\Ahworks\289F4E49.exe','');

 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Drivers\csrss.exe','');

 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe','');

 DeleteFile('C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe','32');

 DeleteFile('C:\Documents and Settings\All Users\Application Data\Drivers\csrss.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');

 DeleteFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\Ahworks\289F4E49.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ahworks');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adsworks');

 DeleteFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\Adsworks\zvbrujmm.dll','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','YZBPack');

 DeleteFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\Ahworks\bfrlykzk.dll','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','CDBurn');

 DeleteFile('C:\Documents and Settings\All Users\Application Data\{9b9d5a01-3b50-bb19-9b9d-d5a013b56804}\SuperOptimizer.exe','32');

ExecuteSysClean;

ExecuteRepair(16);

RebootWindows(true);

end. 

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

Сделайте новые логи Автологгером. 

 

[Aristokrat83]

Все сделал. Письмо отправил.

Прикладываю новый ЛОГ.

CollectionLog-2016.04.14-10.16.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Aristokrat83]

Вот файлы

Addition.txt

FRST.txt

[mike 1]

Деинсталлируйте:

360 Total Security

Антивирус Касперского 2013 (HKLM\...\InstallWIX_{560985FB-4B76-4121-9189-7A2CDC7886D6}) (Version: 13.0.1.4190 - Лаборатория Касперского)

Антивирус уже давно снят с поддержки. К нему и базы уже не выпускают. Обновляйтесь до KIS 2016! Переход на новую версию бесплатный.

 

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
2016-04-13 13:20 - 2016-04-13 13:24 - 00000000 ____D C:\Documents and Settings\Пользователь\Local Settings\Application Data\Ahworks
2016-04-13 13:20 - 2016-04-13 13:21 - 00000000 ____D C:\Documents and Settings\Пользователь\Local Settings\Application Data\Adsworks
2016-04-13 13:20 - 2016-04-13 13:20 - 03148854 _____ C:\Documents and Settings\Пользователь\Application Data\06F60FC306F60FC3.bmp
2016-04-13 12:09 - 2016-04-14 09:54 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
C:\Documents and Settings\Пользователь\Local Settings\Temp\289F4E49.exe
StandardProfile\AuthorizedApplications: [C:\Program Files\360\Total Security\LiveUpdate360.exe] => Enabled:LiveUpdate360
StandardProfile\AuthorizedApplications: [C:\Program Files\360\Total Security\safemon\QHSafeTray.exe] => Enabled:360 Total Security
zip:C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

[Aristokrat83]

Отправляю Вам файл Fixlog.txt

С рабочего стола исчезли надписи, все заработало.

Спасибо Вам!!!

 

Созданный файл upload.zip - отправил по форме

[mike 1]

Файл забыли прикрепить. Антивирус обновили?

[Aristokrat83]

Отправил файл. Удалил старый Касперский, поставил Касперский Фри.

Fixlog.txt

[mike 1]

Лицензия на Антивирус Касперского у вас есть?

[Aristokrat83]

Нет, отсутствует

[mike 1]

Тогда больше ничем не поможем. 

Изменено 19 апреля, 2016 пользователем mike 1