Перейти к содержанию

Da Vinci Code вирус зашифровал документы

drredl
 Поделиться

Рекомендуемые сообщения

Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 TerminateProcessByName('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFileF('c:\documents and settings\user\local settings\application data\adobe\ppapi\3ac5fc55-8177-44c2-8499-767a9827b2ea', '*', true, '', 0 ,0);
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\At1.job" /F', 0, 15000, true);
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('c:\documents and settings\user\application data\xl5jvvxcvwix\notepad.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Local Settings\Application Data\Adobe\PPAPI\3AC5FC55-8177-44C2-8499-767A9827B2EA\B1057EAB-FD9C-4BB9-9DEA-BF1FAAA6CC40.exe', '32');
 DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Internet Explorer\Quick Launch\3.url', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','notepad.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3AC5FC55-8177-44C2-8499-767A9827B2EA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(4);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Настройки и отметьте дополнительно:
    • Сброс политик IE
    • Сброс политик Chrome
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1292428093-746137067-682003330-1003 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR Extension: (Smart Browser) - C:\Documents and Settings\User\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
OPR Extension: (Smart Browser) - C:\Documents and Settings\User\Application Data\Opera Software\Opera Stable\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-09-07]
2016-07-13 10:08 - 2016-07-13 10:08 - 03686454 _____ C:\Documents and Settings\User\Application Data\5CB929E85CB929E8.bmp
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\User\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-07-13 10:08 - 2016-07-13 10:08 - 00002735 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-07-13 10:05 - 2016-07-13 10:05 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\140314.exe
2016-07-13 08:56 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2016-07-13 08:56 - 2016-07-13 08:56 - 00913231 _____ (FLash liop the profiles of people named Muiko Miyamoto ) C:\Documents and Settings\User\Application Data\800788.exe
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README9.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README8.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README7.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README6.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README5.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README4.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README3.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README2.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README10.txt
2016-07-13 08:56 - 2016-07-13 08:56 - 00002735 _____ C:\README1.txt
2016-07-13 08:55 - 2016-07-15 14:36 - 00000000 __SHD C:\Documents and Settings\User\Application Data\Xl5jVVxcVWIx
2016-07-15 10:16 - 2013-04-15 10:13 - 00000686 _____ C:\WINDOWS\Tasks\At1.job
C:\Documents and Settings\User\Local Settings\Temp\cr_dhldelivery.exe
Task: C:\WINDOWS\Tasks\At1.job => C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\User\LOCALS~1\Temp\5070296aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts
AlternateDataStreams: C:\Documents and Settings\User\Local Settings\Application Data:wa [146]
StandardProfile\AuthorizedApplications: [C:\Program Files\Ticno\Tabs\Ticno Tabs.exe] => Enabled:Ticno Tabs.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • sanka
      Ваши документы, базы данных и другие файлы были зашифрованы.
      Автор sanka
      Добрый день!
       
      Просьба помочь с расшифровкой.
      Лог FRST, записка вымогателя и примеры зашифрованных файлов во вложении
      FRST.zip примеры и записка вымогателя.zip
    • zsvnet
      файлы зашифрованы вирусом
      Автор zsvnet
      obrazec.zipAddition.txtShortcut.txtFRST.txtДобрый день! Зашифровали файлы.
      Скорее всего проникли через RDP. Исходный ПК неработоспособен. Диск подключен к другому ПК и на нем запускали FRST.
    • Zakot
      Вирус зашифровал данные на сервере
      Автор Zakot
      На сервере вчера вирус зашифровал данные, возможно через RDP попал, сегодня обнаружили.
      virus.zipFRST.txtAddition.txt
    • Bionikal
      Вирус зашифровал папки с 1с базами
      Автор Bionikal
      Вирус зашифровал все файлы в папках, кроме файлов с расширением *.exe, в каждой папке создал файл #HowToRecover.txt ;расширение зашифрованных файлов *.1cxz
      #HowToRecover.txt Примеры зашифрованных файлов.rar
    • andry-555
      Вирус зашифровал папки в общем доступе
      Автор andry-555
      вирус зашифровал все файлы в папках в открытом доступе кроме файлов с расширением *.exe в каждой папке создал файла 2 файла от либо возможно было 2 вируса
      файлы с расширением *.exe заражены вирусом NeshtaFRST.txtAddition.txt
      архив с файлами и требованиями злоумышленников.zip
×
×
  • Создать...