Перейти к содержанию

вирус da_vinci_code

skaiver
 Share

Рекомендуемые сообщения

skaiver Новичок

skaiver

Опубликовано
Опубликовано (изменено)

Как расшифровать файлы?

 

Прикрепил логи с FRST и с AutoLogger

 

 

Addition.txt

CollectionLog-2016.11.04-17.09.zip

FRST.txt

README1.txt

CollectionLog-2016.11.04-17.50.zip

Изменено пользователем skaiver
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

AnySend

CinemaP-1.9cV08.09

Driver Booster 2.4

iWebar

Max Driver Updater

MaxDriverUpdater Service

MyBestOffersToday 033.014010083

Note-UP

PhraseProfessor 1.10.0.21

Shopper-Pro

Software Version Updater

YTDownloader

Обнови Софт

Служба автоматического обновления программ

爱奇艺万能播放器 [2016/09/22 11:49:24]-->C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayerUninst.exe

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\mbot_ru_014010083', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 QuarantineFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '');
 QuarantineFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 DeleteFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '32');
 DeleteFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '32');
 DeleteFileMask('c:\program files (x86)\mbot_ru_014010083', '*', true);
 DeleteDirectory('c:\program files (x86)\mbot_ru_014010083');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mbot_ru_014010083','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkSubsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\tsiVideo','command');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 ExecuteRepair(10);
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

AnySend

CinemaP-1.9cV08.09

Driver Booster 2.4

iWebar

Max Driver Updater

MaxDriverUpdater Service

MyBestOffersToday 033.014010083

Note-UP

PhraseProfessor 1.10.0.21

Shopper-Pro

Software Version Updater

YTDownloader

Обнови Софт

Служба автоматического обновления программ

爱奇艺万能播放器 [2016/09/22 11:49:24]-->C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayerUninst.exe

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\mbot_ru_014010083', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 QuarantineFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '');
 QuarantineFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 DeleteFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '32');
 DeleteFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '32');
 DeleteFileMask('c:\program files (x86)\mbot_ru_014010083', '*', true);
 DeleteDirectory('c:\program files (x86)\mbot_ru_014010083');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mbot_ru_014010083','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkSubsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\tsiVideo','command');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 ExecuteRepair(10);
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

KLAN-5289656131

ClearLNK-04.11.2016_20-07.log

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
BHO-x32: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> No File
FF Plugin: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin-x32: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin-x32: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin HKU\S-1-5-21-140701790-3698530706-756700804-1000: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
CHR StartupUrls: Default -> "hxxp://www.oursurfing.com/?type=hp&ts=1441693283&z=9ded5322ef68e32b4393b0bg2zcz3g4qft6q0tfw8g&from=amt&uid=TOSHIBAXDT01ACA050_83NZPV7ASXX83NZPV7ASX"
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\dkekdlkmdpipihonapoleopfekmapadh [2016-09-22]
CHR Extension: (Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\filnomkgddgncejgjmogkapeagdgaahj [2016-09-22]
CHR Extension: (Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\ilamgbdaebkbpkkmfmmfbnaamkhijdek [2016-09-22]
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2016-09-22]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\pnooffjhclkocplopffdbcdghmiffhji [2016-10-22]
OPR Extension: (SuperMegaBest - find best prices) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2015-09-11]
OPR Extension: (No Name) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\chphlpgkkbolifaimnlloiipkdnihall [2015-09-08]
2016-11-04 19:10 - 2015-09-11 14:19 - 00000000 ____D C:\Users\SMK001\AppData\Roaming\IQIYI Video
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\ProgramData\Csrss
2016-09-21 14:59 - 2016-09-21 14:59 - 05292054 _____ C:\Users\SMK001\AppData\Roaming\8097102080971020.bmp
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\ProgramData\System32
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\ProgramData\Windows
Task: {1F818488-45AA-444D-9BB0-A4985DEDE2A3} - \WindowsUpdater -> No File <==== ATTENTION
FirewallRules: [{6C02DCE4-508F-4496-A78B-D020DDF80533}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer.exe
FirewallRules: [{AC036E4E-1F36-4B0F-BA9D-D4F676837979}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\LStyle\QyUpdate.exe
FirewallRules: [{0705B966-3C88-41F5-8441-7DA339534E58}] => (Allow) C:\IQIYI Video\LStyle\QyClient.exe
FirewallRules: [{E58F416A-7251-4E9D-A93B-4A5790D66519}] => (Allow) C:\IQIYI Video\LStyle\QyWebPlayer.exe
FirewallRules: [{D0A4E806-02DA-4D05-ACA9-B95C3D99E89D}] => (Allow) C:\IQIYI Video\Common\QyKernel.exe
FirewallRules: [{0D9FC621-0B08-4D7F-A6C1-60DC55634A94}] => (Allow) C:\IQIYI Video\LStyle\QyPlayer.exe
FirewallRules: [{72F6B895-15B6-4EEB-BDC1-513DF9661769}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\GeePlayer\GpUpdate.exe
FirewallRules: [{8712632E-FE23-4922-A9C1-890149889827}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
FirewallRules: [{F5D85F3C-88F6-4C02-9638-B87F35339200}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
BHO-x32: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> No File
FF Plugin: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin-x32: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin-x32: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin HKU\S-1-5-21-140701790-3698530706-756700804-1000: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
CHR StartupUrls: Default -> "hxxp://www.oursurfing.com/?type=hp&ts=1441693283&z=9ded5322ef68e32b4393b0bg2zcz3g4qft6q0tfw8g&from=amt&uid=TOSHIBAXDT01ACA050_83NZPV7ASXX83NZPV7ASX"
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\dkekdlkmdpipihonapoleopfekmapadh [2016-09-22]
CHR Extension: (Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\filnomkgddgncejgjmogkapeagdgaahj [2016-09-22]
CHR Extension: (Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\ilamgbdaebkbpkkmfmmfbnaamkhijdek [2016-09-22]
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2016-09-22]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\pnooffjhclkocplopffdbcdghmiffhji [2016-10-22]
OPR Extension: (SuperMegaBest - find best prices) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2015-09-11]
OPR Extension: (No Name) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\chphlpgkkbolifaimnlloiipkdnihall [2015-09-08]
2016-11-04 19:10 - 2015-09-11 14:19 - 00000000 ____D C:\Users\SMK001\AppData\Roaming\IQIYI Video
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\ProgramData\Csrss
2016-09-21 14:59 - 2016-09-21 14:59 - 05292054 _____ C:\Users\SMK001\AppData\Roaming\8097102080971020.bmp
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\ProgramData\System32
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\ProgramData\Windows
Task: {1F818488-45AA-444D-9BB0-A4985DEDE2A3} - \WindowsUpdater -> No File <==== ATTENTION
FirewallRules: [{6C02DCE4-508F-4496-A78B-D020DDF80533}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer.exe
FirewallRules: [{AC036E4E-1F36-4B0F-BA9D-D4F676837979}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\LStyle\QyUpdate.exe
FirewallRules: [{0705B966-3C88-41F5-8441-7DA339534E58}] => (Allow) C:\IQIYI Video\LStyle\QyClient.exe
FirewallRules: [{E58F416A-7251-4E9D-A93B-4A5790D66519}] => (Allow) C:\IQIYI Video\LStyle\QyWebPlayer.exe
FirewallRules: [{D0A4E806-02DA-4D05-ACA9-B95C3D99E89D}] => (Allow) C:\IQIYI Video\Common\QyKernel.exe
FirewallRules: [{0D9FC621-0B08-4D7F-A6C1-60DC55634A94}] => (Allow) C:\IQIYI Video\LStyle\QyPlayer.exe
FirewallRules: [{72F6B895-15B6-4EEB-BDC1-513DF9661769}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\GeePlayer\GpUpdate.exe
FirewallRules: [{8712632E-FE23-4922-A9C1-890149889827}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
FirewallRules: [{F5D85F3C-88F6-4C02-9638-B87F35339200}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано (изменено)

Да, очистка адвари и следов вымогателя завершена.

 

С расшифровкой помочь не сможем.

я в первом сообщение скидывал файл  README1.txt  

не могли бы вы мне продиктовать код для расшифровки, а то файл удалил случайно, а код не записал, и открыть посмотреть здесь не получается.

Изменено пользователем skaiver
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Megapolis
      Троян зашифровал файлы (*.DA_VINCI_CODE)
      От Megapolis
      Добрый день!
      На рабочем компьютере с рабочей почты словили трояна, который зашифровал большинство файлов. На рабочем столе появилась заставка с красой надписью на черном фоне:
      Внимание! Все важные файлы на всех ваших дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt, которые можно найти на любом из дисков.
      Расширение файлов: DA_VINCI_CODE
      В приложении: сохраненный отчет проверки Касперского и архив с логами.
      CollectionLog-2016.07.15-14.58.zip
      Проверка 15-07-2016.txt
    • ursa
      mike 1, помоги DA_VANCI_CODE дешифровать!
      От ursa
      Помогите вылечить и расшифровать!
      Текст сообщения Давинча:
       
      сделал как вы говорили
      Farbar Recovery Scan Tool:
       
      Результат  прикреплен ниже
      FRST.txt
      Addition.txt
    • Nsmok1987
      Все файлы на компьютере зашифрованы DA_VINCI_CODE
      От Nsmok1987
      Здравствуйте, пожалуйста помогите, на моем компьютере все файлы зашифрованы вирусом, который имеет расширение файла DA_VINCI_CODE. Данная проблема возникла после того как на адрес моей элеронной почты (mail), поступило письмо, которое звучало следующим образом: "Николай, вы имеете задолжность перед бухгалтерией", после чего мной был скачен файл ZIP, разархивирован и запущен какой-то файл, походящий на файл .EXE. После его запуска, я понял, что поймал какой-то вирус, я удалил данный файл и почистил почту, но было уже поздно. Файлы на компьютере стали шифроваться. Пока я принимал меры по поиску вируса и его удалению, все файлы уже были зашифрованы. На рабочем столе возникли текстовые документы, в которых говорилось, "Все файлы на компьютере зашифрованы, не пытайтесь их самостоятельно расшифровать, это приведет к их утере". 
      В настоящее время вирус я удалил, но расшифровать файлы не получается, пробовал разные утилиты, но без толку. 
      Прошу Вашей помощи! За ранее Спасибо!
      С уважением, Николай.
      CollectionLog-2016.12.12-18.22.zip
    • Армен Мурадян
      Беда по имени DA_VINCI_CODE. HELP!
      От Армен Мурадян
      Здравствуйте. Недавно зашёл в свою папку с важным документами и медиафайлами и сюрприз. Оказывается их зашифровал какая-то вредоносная программа по имени DA_VINCI_CODE.

       

      Файл Redme не сохранился по сколку антивирус его удалил его.

      Про сканировал весь комп такими утилитами как:

      Kaspersky Virus Removal Tool;
      Dr.Web CureIt!.
      В результате скана вирусы не были найдены. Видимо антивирус боролся но было поздно, файлы уже были за шифрованы.

      Теперь думаю что делать. Там очень важные файлы были для меня.

       

      Какие варианты есть?

       

      P.s. при любом итоге спасибо. 

       

    • AdMec-Shambler
      шифровальщик da_vinci_code
      От AdMec-Shambler
      Добрый день.
      На ПК поработал шифровальщик da_vinci_code. Есть мнение, что впервые шифровальщик поработал ещё летом этого года.
      На машине установлен Avast - я остановил его службу, брэндмауэр windows отключен.
      Kaspersky Virus Removal Tool 2015 ничего не показал. AutoLogger (версия от 18-11-2015) запускает 2 браузера, работает ещё какое-то время и затем просто вылетает. Создает дамп-файлы в AutoLogger\CrashDumps.
       
      Соответственно, CollectionLogs сделать нет возможности. Запустил HiJack и RSIT - во вложениях. 
      Файлы report1 и report2 от autologger-а.
      Каковы дальнейшие действия?
      HiJackThis.log
      info.txt
      log.txt
      report1.log
      report2.log
×
×
  • Создать...