Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

вирус da_vinci_code

skaiver
 Поделиться

Рекомендуемые сообщения

skaiver Новичок

skaiver

Опубликовано
Опубликовано (изменено)

Как расшифровать файлы?

 

Прикрепил логи с FRST и с AutoLogger

 

 

Addition.txt

CollectionLog-2016.11.04-17.09.zip

FRST.txt

README1.txt

CollectionLog-2016.11.04-17.50.zip

Изменено пользователем skaiver
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

AnySend

CinemaP-1.9cV08.09

Driver Booster 2.4

iWebar

Max Driver Updater

MaxDriverUpdater Service

MyBestOffersToday 033.014010083

Note-UP

PhraseProfessor 1.10.0.21

Shopper-Pro

Software Version Updater

YTDownloader

Обнови Софт

Служба автоматического обновления программ

爱奇艺万能播放器 [2016/09/22 11:49:24]-->C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayerUninst.exe

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\mbot_ru_014010083', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 QuarantineFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '');
 QuarantineFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 DeleteFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '32');
 DeleteFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '32');
 DeleteFileMask('c:\program files (x86)\mbot_ru_014010083', '*', true);
 DeleteDirectory('c:\program files (x86)\mbot_ru_014010083');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mbot_ru_014010083','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkSubsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\tsiVideo','command');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 ExecuteRepair(10);
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

AnySend

CinemaP-1.9cV08.09

Driver Booster 2.4

iWebar

Max Driver Updater

MaxDriverUpdater Service

MyBestOffersToday 033.014010083

Note-UP

PhraseProfessor 1.10.0.21

Shopper-Pro

Software Version Updater

YTDownloader

Обнови Софт

Служба автоматического обновления программ

爱奇艺万能播放器 [2016/09/22 11:49:24]-->C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayerUninst.exe

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\mbot_ru_014010083', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 QuarantineFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '');
 QuarantineFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 DeleteFile('C:\Program Files (x86)\mbot_ru_014010083\mbot_ru_014010083.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\Users\SMK001\AppData\Local\Temp\mdi064.dll', '32');
 DeleteFile('C:\Users\SMK001\appdata\local\temp\msupdate71\dwm.exe', '32');
 DeleteFileMask('c:\program files (x86)\mbot_ru_014010083', '*', true);
 DeleteDirectory('c:\program files (x86)\mbot_ru_014010083');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mbot_ru_014010083','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkSubsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\tsiVideo','command');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 ExecuteRepair(10);
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

KLAN-5289656131

ClearLNK-04.11.2016_20-07.log

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
BHO-x32: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> No File
FF Plugin: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin-x32: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin-x32: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin HKU\S-1-5-21-140701790-3698530706-756700804-1000: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
CHR StartupUrls: Default -> "hxxp://www.oursurfing.com/?type=hp&ts=1441693283&z=9ded5322ef68e32b4393b0bg2zcz3g4qft6q0tfw8g&from=amt&uid=TOSHIBAXDT01ACA050_83NZPV7ASXX83NZPV7ASX"
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\dkekdlkmdpipihonapoleopfekmapadh [2016-09-22]
CHR Extension: (Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\filnomkgddgncejgjmogkapeagdgaahj [2016-09-22]
CHR Extension: (Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\ilamgbdaebkbpkkmfmmfbnaamkhijdek [2016-09-22]
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2016-09-22]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\pnooffjhclkocplopffdbcdghmiffhji [2016-10-22]
OPR Extension: (SuperMegaBest - find best prices) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2015-09-11]
OPR Extension: (No Name) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\chphlpgkkbolifaimnlloiipkdnihall [2015-09-08]
2016-11-04 19:10 - 2015-09-11 14:19 - 00000000 ____D C:\Users\SMK001\AppData\Roaming\IQIYI Video
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\ProgramData\Csrss
2016-09-21 14:59 - 2016-09-21 14:59 - 05292054 _____ C:\Users\SMK001\AppData\Roaming\8097102080971020.bmp
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\ProgramData\System32
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\ProgramData\Windows
Task: {1F818488-45AA-444D-9BB0-A4985DEDE2A3} - \WindowsUpdater -> No File <==== ATTENTION
FirewallRules: [{6C02DCE4-508F-4496-A78B-D020DDF80533}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer.exe
FirewallRules: [{AC036E4E-1F36-4B0F-BA9D-D4F676837979}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\LStyle\QyUpdate.exe
FirewallRules: [{0705B966-3C88-41F5-8441-7DA339534E58}] => (Allow) C:\IQIYI Video\LStyle\QyClient.exe
FirewallRules: [{E58F416A-7251-4E9D-A93B-4A5790D66519}] => (Allow) C:\IQIYI Video\LStyle\QyWebPlayer.exe
FirewallRules: [{D0A4E806-02DA-4D05-ACA9-B95C3D99E89D}] => (Allow) C:\IQIYI Video\Common\QyKernel.exe
FirewallRules: [{0D9FC621-0B08-4D7F-A6C1-60DC55634A94}] => (Allow) C:\IQIYI Video\LStyle\QyPlayer.exe
FirewallRules: [{72F6B895-15B6-4EEB-BDC1-513DF9661769}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\GeePlayer\GpUpdate.exe
FirewallRules: [{8712632E-FE23-4922-A9C1-890149889827}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
FirewallRules: [{F5D85F3C-88F6-4C02-9638-B87F35339200}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
BHO-x32: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> No File
FF Plugin: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin-x32: @iqiyi.com/npclient -> C:\IQIYI Video\LStyle\npclient.dll [2015-05-12] ()
FF Plugin-x32: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
FF Plugin HKU\S-1-5-21-140701790-3698530706-756700804-1000: @iqiyi.com/npWebPlayer -> C:\IQIYI Video\LStyle\npWebPlayer.dll [2015-04-29] (爱奇艺公司)
CHR StartupUrls: Default -> "hxxp://www.oursurfing.com/?type=hp&ts=1441693283&z=9ded5322ef68e32b4393b0bg2zcz3g4qft6q0tfw8g&from=amt&uid=TOSHIBAXDT01ACA050_83NZPV7ASXX83NZPV7ASX"
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\dkekdlkmdpipihonapoleopfekmapadh [2016-09-22]
CHR Extension: (Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\filnomkgddgncejgjmogkapeagdgaahj [2016-09-22]
CHR Extension: (Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\ilamgbdaebkbpkkmfmmfbnaamkhijdek [2016-09-22]
CHR Extension: (Стартовая — Яндекс) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi [2016-09-22]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\SMK001\AppData\Local\Google\Chrome\User Data\Default\Extensions\pnooffjhclkocplopffdbcdghmiffhji [2016-10-22]
OPR Extension: (SuperMegaBest - find best prices) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2015-09-11]
OPR Extension: (No Name) - C:\Users\SMK001\AppData\Roaming\Opera Software\Opera Stable\Extensions\chphlpgkkbolifaimnlloiipkdnihall [2015-09-08]
2016-11-04 19:10 - 2015-09-11 14:19 - 00000000 ____D C:\Users\SMK001\AppData\Roaming\IQIYI Video
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-09-21 14:59 - 2016-09-21 17:51 - 00000000 __SHD C:\ProgramData\Csrss
2016-09-21 14:59 - 2016-09-21 14:59 - 05292054 _____ C:\Users\SMK001\AppData\Roaming\8097102080971020.bmp
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-09-21 13:32 - 2016-09-21 14:59 - 00000000 __SHD C:\ProgramData\System32
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-21 13:30 - 2016-09-21 17:41 - 00000000 __SHD C:\ProgramData\Windows
Task: {1F818488-45AA-444D-9BB0-A4985DEDE2A3} - \WindowsUpdater -> No File <==== ATTENTION
FirewallRules: [{6C02DCE4-508F-4496-A78B-D020DDF80533}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer.exe
FirewallRules: [{AC036E4E-1F36-4B0F-BA9D-D4F676837979}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\LStyle\QyUpdate.exe
FirewallRules: [{0705B966-3C88-41F5-8441-7DA339534E58}] => (Allow) C:\IQIYI Video\LStyle\QyClient.exe
FirewallRules: [{E58F416A-7251-4E9D-A93B-4A5790D66519}] => (Allow) C:\IQIYI Video\LStyle\QyWebPlayer.exe
FirewallRules: [{D0A4E806-02DA-4D05-ACA9-B95C3D99E89D}] => (Allow) C:\IQIYI Video\Common\QyKernel.exe
FirewallRules: [{0D9FC621-0B08-4D7F-A6C1-60DC55634A94}] => (Allow) C:\IQIYI Video\LStyle\QyPlayer.exe
FirewallRules: [{72F6B895-15B6-4EEB-BDC1-513DF9661769}] => (Allow) C:\Users\SMK001\AppData\Roaming\IQIYI Video\GeePlayer\GpUpdate.exe
FirewallRules: [{8712632E-FE23-4922-A9C1-890149889827}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
FirewallRules: [{F5D85F3C-88F6-4C02-9638-B87F35339200}] => (Allow) C:\IQIYI Video\GeePlayer\GeePlayer\GeePlayer.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
skaiver Новичок

skaiver

Опубликовано
  • Автор
Опубликовано (изменено)

Да, очистка адвари и следов вымогателя завершена.

 

С расшифровкой помочь не сможем.

я в первом сообщение скидывал файл  README1.txt  

не могли бы вы мне продиктовать код для расшифровки, а то файл удалил случайно, а код не записал, и открыть посмотреть здесь не получается.

Изменено пользователем skaiver
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • composer1995
      [РЕШЕНО] Вирус CAAServices.exe
      Автор composer1995
      Добрый день!

      Столкнулся с вирусом CAAServices.exe. Изложу последовательно события и свои действия:

      1. Центр обновления Windows установил обновления (не знаю, связано ли это с дальнейшей проблемой)
      - Накопительное обновление для Windows 11 Version 24H2 для систем на базе процессоров x64, 2025 07 (KB5062553)
      - 2025-07 Накопительное обновление .NET Framework 3.5 и 4.8.1 для Windows 11, version 24H2 для x64-разрядных систем (KB5056579)

      2. После обновления комп перезагрузился и в простое на рабочем столе начал сильно шуметь. Я решил проверить диспетчер задач и заглянуть в автозагрузки. В этот момент комп уже остыл и вернулся к нормальному уровню шума. В списке автозагрузок обнаружил файл CAAServices.exe, расположение файла C:\ProgramData\CAAService

      3. Нагуглил, что это майнер, провёл проверку защитником Windows, обнаружил вирус:
      - Trojan:Win64/DisguisedXMRigMiner!rfn, затронутые элементы C:\ProgramData\CAAService\Microsoft Network Realtime lnspection Service.exe

      Далее, в исключениях обнаружил CAAServices.exe, убрал его из списка исключений. Вручную указал папку CAAService, и в ней он нашёл:
      - Trojan:Win32/Wacatac.H!ml, затронутые элементы C:\ProgramData\CAAService\CAAServices.exe

      Защитник удалил оба вируса. После рестарта компа в автозагрузках снова обнаружил этот CAAServices.exe. Повторил процедуру по поиску и удалению вируса, комп не перезагружал.

      4. Пришёл сюда на сайт, провёл проверку Kaspersky Virus Removal Tool, обнаружил два вируса (прикладываю скрин). После проверки данной утилитой и рестарта компа в автозагрузке майнер не появляется. В папке C:\ProgramData\CAAService исчез файл CAAServices.exe. Остались только файлы CAAServices.vdr и OpenCL.dll.

      5. Собрал логи с помощью AutoLogger, прикладываю архив.

      Скажите, пожалуйста, избавился ли я от майнера, или нужно предпринять ещё какие-то меры?

      CollectionLog-2025.07.10-12.42.zip
    • sekvoya
      [РЕШЕНО] Подозрение на ВИРУС
      Автор sekvoya
      В браузере появляется расширение AdBlock, которое ломает разметку. При удалении расширения все становится нормально. Однако, после перезапуска ПК, расширение появляется в браузере вновь. Также в папке Temp появляется папка, которую нельзя удалить "2xzjmmugjeoboytjoc0goumkkhc"
      CollectionLog-2025.07.05-18.18.zip
    • sasaks11
      Вирус
      Автор sasaks11
      Добрый день! Аналогичная ситуация с человеком в теме... Ещё было замечено что скачиваемые файлы на следующий день также повреждаются. Могу ли я решить проблему действуя по представленным здесь шагам или требуется индивидуальное решение?
      Сканирование проводилось с помощью встроенного в майкрософт 11 антивируса. Он ничего не обнаружил ни при полной проверке, ни при быстрой, ни при автономной проверке (Microsoft Defender).

       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Aleks yakov
      Вирус шифровальщик kozanostra
      Автор Aleks yakov
      Здравствуйте  шифровальщик заразил 2 пк в локальной сети (kozanostra)
      Новая папка.zip
    • Nickopol
      Удалить вирус
      Автор Nickopol
      HEUR:Trojan.Win64.Miner.gen (так определил касперский). Как избавиться без переустановки винды? Создаёт папку в ProgramData типа paperprotector-1c42cf80-e801-4c6e-8375-3b7be1b4649c. paperprotector.exe - запускаемый файл 
×
×
  • Создать...