Перейти к содержанию

Da Vinci Code вирус зашифровал документы

drredl
 Share

Рекомендуемые сообщения

Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 TerminateProcessByName('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFileF('c:\documents and settings\user\local settings\application data\adobe\ppapi\3ac5fc55-8177-44c2-8499-767a9827b2ea', '*', true, '', 0 ,0);
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\At1.job" /F', 0, 15000, true);
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','notepad.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3AC5FC55-8177-44C2-8499-767A9827B2EA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(4);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Настройки и отметьте дополнительно:
    • Сброс политик IE
    • Сброс политик Chrome
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1292428093-746137067-682003330-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR Extension: (Smart Browser) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
OPR Extension: (Smart Browser) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
2016-07-13 10:08 - 2016-07-13 10:08 - 03686454 _____ C:\Documents and Settings\User\Application Data\5CB929E85CB929E8.bmp
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-07-13 10:05 - 2016-07-13 10:05 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\140314.exe
2016-07-13 08:56 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-07-13 08:56 - 2016-07-13 08:56 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\800788.exe
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README9.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README8.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README7.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README6.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README5.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README4.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README3.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README2.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README10.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README1.txt
2016-07-13 08:55 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\User\Application Data\Xl5jVVxcVWIx
2016-07-15 10:16 - 2013-04-15 10:13 - 00000686 _____ C:\WINDOWS\Tasks\At1.job
C:\Documents and Settings\User\Local Settings\Temp\cr_dhldelivery.exe
Task: C:\WINDOWS\Tasks\At1.job => C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts
AlternateDataStreams: C:\Documents and Settings\User\Local Settings\Application Data:wa [146]
StandardProfile\AuthorizedApplications: [C:\Program Files\Ticno\Tabs\Ticno Tabs.exe] => Enabled:Ticno Tabs.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Alexey9009
      Зашифровали 1С, документы и файлы предприятия
      От Alexey9009
      Здравствуйте! Сначала зашифровали файлы и просили выкуп по электронной почте. Расширение файла было .azot, отправили им 20 тыс. рублей, и они дали нам ключ с расшифровкой файлов. Но на следующий день компьютер снова зашифровали, и на сей раз другим форматом. Пользоваться можем только браузером, все остальные файлы на компьютере зашифрованы, решения не нашли. файлы прикрепить не удается, разрешение файла напишу ниже:
      Doc1.docx.ELONMUSKISGREEDY-2H3gbZkEOJISMcgWuWJFvN9ncUYD19T3cNBnHTQIMQc
      Видео Регистратор.url.ELONMUSKISGREEDY-2H3gbZkEOJISMcgWuWJFvN9ncUYD19T3cNBnHTQIMQc
      1C Предприятие.lnk.ELONMUSKISGREEDY-2H3gbZkEOJISMcgWuWJFvN9ncUYD19T3cNBnHTQIMQc
      Также я прикрепил документ, который открывается при открытии любого файла, сейчас уже страшно переходить хоть куда-то, куда они просят. Спасибо
      Новый текстовый документ.txt
       
    • ruslan_dzusev
      Вирус защифровал все документы
      От ruslan_dzusev
      Добрый день, первый раз сталкиваюсь с таким видом вымогательства,так сказать дебьют... на компьютере вроде бы ничего левого не скачивал, но файлы зашифровались с расширением .bNch5yfLR даже не знаю прощаться с файлами или что-то можно сделать
      bNch5yfLR.README.txt FSS_PROD_CERT_2021.cer.rar
    • Федор45
      Базы зашифрованы
      От Федор45
      Добрый день!
      Утром получили зашифрованные базы 1С, другие продукты не тронуты
       
      FRST.txt Addition.txt
      для примера зашифрованный архив
      БАНК.rar
    • madlab
      Зашифрованы диски
      От madlab
      На компьютере зашифрованы диски. В системе был установлен Kaspersky Small Office Security (сейчас он в системе не обнаруживается).
      При обращении к диску требуется ввести пароль.
      Системный диск не зашифрован. На нем встречаются файлы с расширением "ooo4ps".
      В архиве "UCPStorage.7z" есть зашифрованный (и, похоже, он же, но не зашифрованный) файл.
      Kaspersky Virus Removal Tool угроз не обнаружил.
      Есть ли возможность помочь?
      Спасибо.
      FRST.txt UCPStorage.7z
    • civiero
      Вирус или нет?
      От civiero
      При просмотре видео на ютуб останавливается видео и появляется звуки костей, или слово amazing. Нужно ли волноваться по этому поводу? Антивирус ничего не выдает.
×
×
  • Создать...