Перейти к содержанию

Вирус Энигма


Алексей Алексеев_31456

Рекомендуемые сообщения

Доброго времени, ситуация похожая. Правда денег никому не высылали.
Вирусы с ноута были удалены самостоятельно, затем ноутом пользовались почти месяц. В общем все мои предупреждения по поводу того что трогать его и переименовывать ничего не нужно проигнорированы хозяином.
На данный момент нет не вирусов не антивирусного по., есть куча файлов в том числе и файлы 1С которые зашифрованы энигмой.

CollectionLog-2016.08.06-15.53.zip

Ссылка на комментарий
Поделиться на другие сайты

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

1. Распакуйте архив с утилитой в отдельную папку.

2. Перенесите Check_Browsers_LNK.log из папки Autologger на ClearLNK как показано на рисунке

move.gif

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

4. Прикрепите этот отчет к своему следующему сообщению.

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

6. Логи, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-2354099711-2238299180-1818104681-1001\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.yoursites123.com/web/?type=ds&ts=1449814422&z=e921fe8d5d64684a76bd98fg1z9zatbb4g6zaz4gac&from=ient07021&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.yoursites123.com/web/?type=ds&ts=1449814422&z=e921fe8d5d64684a76bd98fg1z9zatbb4g6zaz4gac&from=ient07021&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1458221662&z=7841bf2f12f0f5706b8cdf4gcz9wab7o4ocgeq0wct&from=wpm0314&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1458221662&z=7841bf2f12f0f5706b8cdf4gcz9wab7o4ocgeq0wct&from=wpm0314&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.yoursites123.com/web/?type=ds&ts=1449814422&z=e921fe8d5d64684a76bd98fg1z9zatbb4g6zaz4gac&from=ient07021&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.yoursites123.com/web/?type=ds&ts=1449814422&z=e921fe8d5d64684a76bd98fg1z9zatbb4g6zaz4gac&from=ient07021&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
HKU\S-1-5-21-2354099711-2238299180-1818104681-1001\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.yoursites123.com/web/?type=ds&ts=1450115443&z=9bbb54a4abf6ff9b09fb1e2gez3wae2g7g9w2z2c1o&from=wpm07173&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
HKU\S-1-5-21-2354099711-2238299180-1818104681-1001\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.yoursites123.com/web/?type=ds&ts=1450115443&z=9bbb54a4abf6ff9b09fb1e2gez3wae2g7g9w2z2c1o&from=wpm07173&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
HKU\S-1-5-21-2354099711-2238299180-1818104681-1001\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1458221662&z=7841bf2f12f0f5706b8cdf4gcz9wab7o4ocgeq0wct&from=wpm0314&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304
SearchScopes: HKLM-x32 -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1445841197&from=zzgbkk123&uid=st1000lm024xhn-m101mbb_s2u5j9cc713304&z=d8f2086799c2cf10c3070b4g5z7zbw3b9z5g5gft5g&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&ts=1438074995&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&ts=1438074995&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&ts=1438074995&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&ts=1438074995&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1445841197&from=zzgbkk123&uid=st1000lm024xhn-m101mbb_s2u5j9cc713304&z=d8f2086799c2cf10c3070b4g5z7zbw3b9z5g5gft5g&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {DCAA1C7C-0D34-485C-B16D-028E2639224A} URL = hxxp://1stserp.com/search.php?us=searcher&pcid=3AA6DB22-7A26-4317-809C-5D80C9580C77&pid=83&query={searchTerms}&sc=ie
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {E08E48CB-23EB-43A5-9450-CB5C518B4BE5} URL = hxxp://searchsimple-a.akamaihd.net/?affID=mt-sm&q={searchTerms}&r=980
SearchScopes: HKU\S-1-5-21-2354099711-2238299180-1818104681-1001 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&ts=1438074995&type=default&q={searchTerms}
BHO-x32: No Name -> {1F91A9A1-01BA-4c81-863D-3BA0751E1419} -> No File
StartMenuInternet: IEXPLORE.EXE - c:\program files\internet explorer\iexplore.exe hxxp://www.yoursites123.com/?type=sc&ts=1458221662&z=7841bf2f12f0f5706b8cdf4gcz9wab7o4ocgeq0wct&from=wpm0314&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304
FF DefaultSearchEngine: yoursites123
FF SelectedSearchEngine: yoursites123
FF SearchPlugin: C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\searchplugins\dsrlte1.xml [2015-09-25]
FF SearchPlugin: C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\searchplugins\istartsurf.xml [2015-08-14]
FF SearchPlugin: C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\searchplugins\RuSearcher.xml [2015-11-26]
FF SearchPlugin: C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\searchplugins\webssearches.xml [2015-11-26]
FF SearchPlugin: C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\searchplugins\yoursites123.xml [2016-07-05]
FF Extension: No Name - C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\extensions\{c2fe7f89-d209-4f77-81e0-2417130ee876}.xpi [not found]
FF Extension: Default NewTab - C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\extensions\default_newtabff@gmail.com [2015-12-11] [not signed]
FF Extension: Quick Searcher - C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [2015-12-24] [not signed]
FF HKLM-x32\...\Firefox\Extensions: [defsearchp@gmail.com] - C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\extensions\defsearchp@gmail.com
FF HKLM-x32\...\Firefox\Extensions: [default_newtabff@gmail.com] - C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\extensions\default_newtabff@gmail.com
FF HKLM-x32\...\Firefox\Extensions: [yahooprotected@gmail.com] - C:\Users\Oksana\AppData\Roaming\Mozilla\Firefox\Profiles\jkec09zb.default\extensions\yahooprotected@gmail.com => not found
FF HKLM-x32\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
CHR StartupUrls: Default -> "hxxp://www.yoursites123.com/?type=hp&ts=1449814422&z=e921fe8d5d64684a76bd98fg1z9zatbb4g6zaz4gac&from=ient07021&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304"
CHR DefaultSearchURL: Default -> hxxp://www.yoursites123.com/web/?type=ds&ts=1449814422&z=e921fe8d5d64684a76bd98fg1z9zatbb4g6zaz4gac&from=ient07021&uid=ST1000LM024XHN-M101MBB_S2U5J9CC713304&q={searchTerms}
CHR DefaultSearchKeyword: Default -> yoursites123
CHR Plugin: (Widevine Content Decryption Module) - C:\Users\Oksana\AppData\Local\Google\Chrome\User Data\WidevineCDM\1.4.8.824\_platform_specific\win_x86\widevinecdmadapter.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Users\Oksana\AppData\Local\Google\Chrome\User Data\PepperFlash\18.0.0.209\pepflashplayer.dll => No File
CHR Extension: (Quick Searcher) - C:\Users\Oksana\AppData\Local\Google\Chrome\User Data\Default\Extensions\ccodghgodlomliflnlkobciodlakmhmp [2015-12-24]
CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - hxxp://vkplayerpro.ru/index.xml
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
C:\Windows\SysWOW64\en5.exe
Task: {59FBACD7-7937-48C3-B325-D711C488E53E} - \Installer_sense -> No File <==== ATTENTION
Task: {791D9549-5E8A-42C7-A7B7-2C4E72EF1ED2} - \crxbroCheckTask -> No File <==== ATTENTION
Task: {8D72A6F7-4BEC-4D77-863E-4F41D4BC5522} - \KMSAutoNet -> No File <==== ATTENTION
Task: {AB061179-665F-48D3-A934-38F9C5692BF1} - \crxbroBrowserUpdateCore -> No File <==== ATTENTION
Task: {CF2584AA-E39F-4E57-BB3B-D5A3EB71522B} - \crxbroBrowserUpdateUA -> No File <==== ATTENTION
Task: {FB7FE591-4CF1-4A4D-A829-1048C856F39E} - \Installer_iwebar -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [154]
AlternateDataStreams: C:\ProgramData\TEMP:56E2E879 [118]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51 [154]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:56E2E879 [118]
Shortcut: C:\Users\Oksana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\ProgramData\Browsers\browser6.bat ()
Shortcut: C:\Users\Oksana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Оpеrа.lnk -> C:\Users\Oksana\AppData\Local\Browsers\browser4.bat ()
Shortcut: C:\Users\Oksana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk -> C:\Users\Oksana\AppData\Local\Browsers\browser1.bat ()
Shortcut: C:\Users\Oksana\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yandex.lnk -> C:\Users\Oksana\AppData\Local\Browsers\browser1.bat ()
Shortcut: C:\Users\Oksana\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk -> C:\ProgramData\Browsers\browser0.bat (No File)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk -> C:\ProgramData\Browsers\browser5.bat ()
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\zf3i4r6e6f5o4x.lnk -> C:\ProgramData\Browsers\browser5.bat ()
Reboot:
2. Нажмите ФайлСохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файлаВсе файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты

Что-то я не вижу в логах примеров шифрованных файлов. Пришлите несколько + файл вида ENIGMA_(номер вашего ключа).RSA с Рабочего стола

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Тут до 5мб, печально, у меня есть файлы больше.
Я Писал изначально, хозяева компа самовольно занимались восстановление после заражения, они пытались восстановится с последней точки, так что теперь весь диск д, на котором всё и лежит, имеет расширение энигма. на рабочем столе не осталось не вирусов не ключей рса. есть надежда что вирус одинаково шифрует файлы и у Вас есть возможность мне помочь. Хотя я понимаю что это из ряда фантастики.

Лариса Родовой канал.doc.2.rar

Ссылка на комментарий
Поделиться на другие сайты

Я к тому что они помнят про меня, не забывают))))
Если им не удастся сделать что то с ключом, они вам обязательно ответят. да-да, нет-нет?!

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • fertune
      От fertune
      Когда открываешь диспетчер задач то сначала ЦП грузит на 100% а потом на 10% я посмотрел через dr.web cureit и увидел то что это майнер dialer.exe, смотрел в интернете как пофиксить но никакие способы не помогли(может быть я что то делал неправильно)
      можете помочь с проблемой? Еще я пробовал его фиксить удаляя его но он опять появлялся и грузил ЦП на все 100%.
       
    • Temikst
      От Temikst
      Приветствую. Сын скачивал какую-то программу для игры, как итог словили какой-то вирус. Dr.web ничего не нашел. но обратил внимание что комп стал тупить, до этого не было так
      CollectionLog-2025.02.09-23.46.zip

       
      Даже браузер сильно тормозит. после открывание диспетчер задач сразу же лучше работает\
    • VanyeJ
      От VanyeJ
      Здравствуйте, при включении компьютера и окончательном входе в систему PowerShell пытается перекинуть на вредоносную ссылку. Касперский сразу же блокирует.

      Событие: Остановлен переход на сайт
      Пользователь: WIN-O4R3Q0UCBR5\User
      Тип пользователя: Инициатор
      Имя приложения: powershell.exe
      Путь к приложению: C:\Windows\System32\WindowsPowerShell\v1.0
      Компонент: Интернет-защита
      Описание результата: Запрещено
      Тип: Вредоносная ссылка
      Название: 
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Веб-страница
      Имя объекта: 1731762779-9803.jpeg
      Путь к объекту: 
      Причина: Облачная защита

      Активировал Windows через cmd после этого появилось (powershell iex (irm 'activated.run/key')) команда после которой вирус появился.
      CollectionLog-2025.02.08-15.48.zip
    • TloBeJluTeJlb
      От TloBeJluTeJlb
      Здравствуйте, перед обращением прошерстил темы похожих проблем, но не нашёл своей. John каким-то совершенно непостижимым образом почти не влиял на работоспособность системы, а заметил я его исключительно из-за пропажи доступа к файлам Касперского, который полностью перестал запускаться. 

      Побился об ближайшую стену, подумал, прошёлся KVRT, которым ничего не нашло, подумал ещё немного, включил AV_block_remover. Он нашёл, сделал своё дело, но доступ к папке антивируса я всё ещё не получил :D! FRST, от нечего делать, тоже был задействован, но немного опосля. Короче говоря, я, даже после удаления злополучного майнера из системы, не могу получить доступ к своим же файлам.



       

      FRST.txt Fixlog.txt Addition.txt AV_block_remove_2025.01.20-07.45.log
    • foxlape
      От foxlape
      Запустил прогу и комп тупить начал, есть подозрения на вирус. Логи после запуска проги Logfile.rar (Сохранял логи через Processor Monitor)
       
×
×
  • Создать...