Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Da Vinci Code вирус зашифровал документы

drredl
 Поделиться

Рекомендуемые сообщения

Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 TerminateProcessByName('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFileF('c:\documents and settings\user\local settings\application data\adobe\ppapi\3ac5fc55-8177-44c2-8499-767a9827b2ea', '*', true, '', 0 ,0);
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\At1.job" /F', 0, 15000, true);
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','notepad.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3AC5FC55-8177-44C2-8499-767A9827B2EA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(4);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Sandor

Sandor

Опубликовано
Опубликовано

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Это тоже, пожалуйста.
Sandor

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Sandor

Sandor

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Настройки и отметьте дополнительно:
    • Сброс политик IE
    • Сброс политик Chrome
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1292428093-746137067-682003330-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR Extension: (Smart Browser) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
OPR Extension: (Smart Browser) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
2016-07-13 10:08 - 2016-07-13 10:08 - 03686454 _____ C:\Documents and Settings\User\Application Data\5CB929E85CB929E8.bmp
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-07-13 10:05 - 2016-07-13 10:05 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\140314.exe
2016-07-13 08:56 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-07-13 08:56 - 2016-07-13 08:56 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\800788.exe
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README9.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README8.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README7.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README6.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README5.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README4.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README3.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README2.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README10.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README1.txt
2016-07-13 08:55 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\User\Application Data\Xl5jVVxcVWIx
2016-07-15 10:16 - 2013-04-15 10:13 - 00000686 _____ C:\WINDOWS\Tasks\At1.job
C:\Documents and Settings\User\Local Settings\Temp\cr_dhldelivery.exe
Task: C:\WINDOWS\Tasks\At1.job => C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts
AlternateDataStreams: C:\Documents and Settings\User\Local Settings\Application Data:wa [146]
StandardProfile\AuthorizedApplications: [C:\Program Files\Ticno\Tabs\Ticno Tabs.exe] => Enabled:Ticno Tabs.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Dhon_Diamond
      зашифрованные файлы
      Автор Dhon_Diamond
      пожалуйсто помагите!! у меня высветилось на экране чорное всё и большими красными буквами написало мол Все важные файлы на всех дисках вашего компьютера были зашифрованы Подробности прочитать в файлах реадме текст которые можно найти на любом из дисководов пожалуйсто помагите это очень срочно!!
       

      Сообщение от модератора Mark D. Pearlstone Соблюдайте правила орфографии и пунктуации.
    • стас20
      у меня зашифрованные файлы
      Автор стас20
      у меня была чёрная заставка а на ней Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: 4A9C0529C13EB4A99F7F|0 на электронный адрес decode010@gmail.com или decode1110@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации. что делать! Сообщение от модератора Mark D. Pearlstone Внимательно читайте правила раздела! Евгений Касперский не помогает вылечиться от вирусов и не оказывает помощи по продуктам!
    • Митяич
      расшифровка файлов расширеия xtbl
      Автор Митяич
      На рабочем столе вместо фонового рисунка на чёрном фоне красными буквами: Внимание !все важные файлы на всех дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt которые можно найти на из дисков 

      А все файлы зашифровались в белиберду с расширением.xtbl,

      например вот: +7KFLkn358HIBvJi3bfSUaqEsUQPmJwB8TmA0KTf+x8=.xtbl

       

      В текстовиках созданных вирусом пишется вот это:

       

      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      FE6081B352738A3B6DCB|0
      на электронный адрес decode010@gmail.com или decode1110@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
      Addition.txt
      FRST.txt
    • Gnommaster
      Ваши файлы были зашифрованы
      Автор Gnommaster
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      8A4A25785026718A1F08|0
      на электронный адрес decode0987@gmail.com или decode098@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
      файлы после проверки Autologger 
      CollectionLog-2015.05.31-11.22.zip
    • jony
      Все важные файлы на всех дисках вашего компьютера были зашифрованы
      Автор jony
      На рабочем столе появилась надпись красными буквами на черном экране:
      Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы и + на английском. Файлы стали зашифрованы под таким разрешением .xbtl и появилась 10 файлом readme которые я удалил с испугу, делал проверку dr web cure it, XoristDecryptor и RectorDecryptor.

      файлы после проверки Farbar Recovery Scan Tool 
      CollectionLog-2015.05.29-20.54.zip
      Addition.txt
      FRST.txt
×
×
  • Создать...