Шифровальщик VAULT

[Ренат]

VAULT шифровал документы Ворд, Эксел

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

[Ренат]

Вирус попал электронной почтой. Помогите.

CollectionLog-2016.04.27-06.58.zip

[Sandor]

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\install.bat', '');
 QuarantineFile('C:\Documents and Settings\user\Рабочий стол\Мои документы2\Рабочий стол2\Архив\Новая папка\INSTALL.PIF', '');
 QuarantineFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\VAULT.hta', '');
 DeleteFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\VAULT.hta', '32');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Ренат]

[KLAN-4176840039]

 Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.  

 

INSTALL.PIF,

VAULT.hta,

bcqr00003.dat,

bcqr00004.dat

 

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

 

С уважением, Лаборатория Касперского

[Sandor]

Продолжайте.

[Ренат]

Не могу запустить AdwCleaner (by Xplode). Нет пароля администратора. Может другая программа есть.

[Sandor]

AVZ, а также все другие утилиты лечения следует запускать как раз от имени администратора. Попробуйте сбросить пароль.

[Ренат]

Прикрепляю:

AdwCleanerC1.txt

[Sandor]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Ренат]

Просили прикрепить логи, а не копировать их содержимое!Shortcut.txt не появилось,  сканировал два раза.

 

Просили прикрепить логи, а не копировать их содержимое!Shortcut.txt не появилось,  сканировал два раза.

Addition_03-05-2016_08-07-56.txt

FRST_03-05-2016_08-07-56.txt

Изменено 3 мая, 2016 пользователем Ренат

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
FF user.js: detected! => C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\3p1q0bvm.default\user.js [2013-03-30]
S2 Guard.Mail.ru; "C:\Program Files\Mail.Ru\Guard\GuardMailRu.exe" [X]
2016-04-26 07:58 - 2016-04-26 07:58 - 01303600 _____ C:\Documents and Settings\user\Application Data\CONFIRMATION.KEY
2016-04-26 07:58 - 2016-04-26 07:58 - 00004800 ____H C:\Documents and Settings\user\Рабочий стол\VAULT.hta
2016-04-26 07:58 - 2016-04-26 07:58 - 00004800 _____ C:\VAULT.hta
2016-04-26 07:58 - 2016-04-26 07:58 - 00004800 _____ C:\Documents and Settings\user\Application Data\VAULT.hta
2016-04-26 07:58 - 2016-04-26 07:58 - 00001611 _____ C:\VAULT.KEY
2016-04-26 07:58 - 2016-04-26 07:58 - 00001611 _____ C:\Documents and Settings\user\Application Data\VAULT.KEY
C:\Documents and Settings\user\Local Settings\Temp\58d05dfc4e0.exe
C:\Documents and Settings\user\Local Settings\Temp\5AA6F244695849F99464AAEE964863FD.exe
C:\Documents and Settings\user\Local Settings\Temp\GuardMailRu.exe
C:\Documents and Settings\user\Local Settings\Temp\install_flashplayer11x32_mssd_aaa_aih(1).exe
C:\Documents and Settings\user\Local Settings\Temp\install_flashplayer11x32_mssd_aaa_aih(1)_1.exe
C:\Documents and Settings\user\Local Settings\Temp\install_flashplayer11x32_mssd_aaa_aih.exe
C:\Documents and Settings\user\Local Settings\Temp\install_flashplayer11x32_mssd_aih.exe
C:\Documents and Settings\user\Local Settings\Temp\install_flashplayer13x32_mssd_aaa_aih.exe
C:\Documents and Settings\user\Local Settings\Temp\install_flashplayer13x32_mssd_aaa_aih_1.exe
C:\Documents and Settings\user\Local Settings\Temp\install_reader11_ru_mssa_aaa_aih.exe
C:\Documents and Settings\user\Local Settings\Temp\install_reader11_ru_mssd_aaa_aih.exe
C:\Documents and Settings\user\Local Settings\Temp\setup_wm.exe
C:\Documents and Settings\user\Local Settings\Temp\uninst1.exe
C:\Documents and Settings\user\Local Settings\Temp\_hpcdb.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Ренат]

Не получается. Выходить надпись NO fixlist.txt. sound. и т.д.

[Roman_Five]

не выполняете вот это:

 

 

сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

[Sandor]

Т.е. рядом с файлом frst.exe