ransom.shade no_more_ransom

[len4ik4472]

Добрый день!

 

прикладываю от farbar

CollectionLog-2016.12.27-19.18.zip

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  HKLM-x32\...\Run: [gmsd_ru_97] => [X]
  GroupPolicy: Restriction <======= ATTENTION
  GroupPolicy\User: Restriction <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  CHR HKU\S-1-5-21-2988183756-1661068663-1252425053-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  CHR Extension: (Стартовая — аскетичный Яндекс (ya.ru)) - C:\Users\Secretary\AppData\Local\Google\Chrome\User Data\Default\Extensions\cdlgdffkkjdoglbioephbahjkkmmpdhi [2016-12-06]
  CHR Extension: (Стартовая — Яндекс) - C:\Users\Secretary\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-09-29]
  CHR Extension: (Закачивание музыки с вконтакте) - C:\Users\Secretary\AppData\Local\Google\Chrome\User Data\Default\Extensions\obnidnphmghbibkbpimalhpjglajccpa [2015-04-28]
  CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Secretary\AppData\Local\Google\Chrome\User Data\Default\Extensions\ofdgafmdegfkhfdfkmllfefmcmcjllec [2016-05-24]
  CHR Extension: (Домашняя страница – Mail.Ru) - C:\Users\Secretary\AppData\Local\Google\Chrome\User Data\Default\Extensions\pldbienodkpgkccocelidinmciedjdok [2014-09-18]
  2016-12-21 11:51 - 2016-12-27 18:47 - 00000000 __SHD C:\Users\Все пользователи\services
  2016-12-21 11:51 - 2016-12-27 18:47 - 00000000 __SHD C:\Users\Все пользователи\Csrss
  2016-12-21 11:51 - 2016-12-27 18:47 - 00000000 __SHD C:\ProgramData\services
  2016-12-21 11:51 - 2016-12-27 18:47 - 00000000 __SHD C:\ProgramData\Csrss
  2016-12-21 11:51 - 2016-12-21 11:51 - 06220854 _____ C:\Users\Secretary\AppData\Roaming\BCEC3CF4BCEC3CF4.bmp
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README9.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README8.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README7.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README6.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README5.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README4.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README3.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README2.txt
  2016-12-21 11:51 - 2016-12-21 11:51 - 00004170 _____ C:\Users\Secretary\Desktop\README10.txt
  2016-12-21 10:19 - 2016-12-21 11:50 - 00017372 ____H C:\Users\Secretary\Desktop\~WRL0004.tmp
  2016-12-21 09:53 - 2016-12-27 18:48 - 00000000 __SHD C:\Users\Все пользователи\Windows
  2016-12-21 09:53 - 2016-12-27 18:48 - 00000000 __SHD C:\ProgramData\Windows
  C:\Users\Secretary\AppData\Local\Temp\0FF9BE60.exe
  C:\Users\Secretary\AppData\Local\Temp\10gzBPURo9Gn.exe
  C:\Users\Secretary\AppData\Local\Temp\1eu1aXFRthna.exe
  C:\Users\Secretary\AppData\Local\Temp\1NA2AA813Adl.exe
  C:\Users\Secretary\AppData\Local\Temp\1yMIQb0zuSYq.exe
  C:\Users\Secretary\AppData\Local\Temp\2GeQ9NUsYLSr.exe
  C:\Users\Secretary\AppData\Local\Temp\3ez8QDU7657b.exe
  C:\Users\Secretary\AppData\Local\Temp\3oavQ77Bz2tC.exe
  C:\Users\Secretary\AppData\Local\Temp\3PeAtBeMSINl.exe
  C:\Users\Secretary\AppData\Local\Temp\464BFD18.exe
  C:\Users\Secretary\AppData\Local\Temp\52m0WHiRUPRs.exe
  C:\Users\Secretary\AppData\Local\Temp\5zHCrAyzSgzD.exe
  C:\Users\Secretary\AppData\Local\Temp\6d48-f8d1-5a99-29b4.exe
  C:\Users\Secretary\AppData\Local\Temp\6gkMtNcXseW6.exe
  C:\Users\Secretary\AppData\Local\Temp\826E.exe
  C:\Users\Secretary\AppData\Local\Temp\8aICUGmMlRxp.exe
  C:\Users\Secretary\AppData\Local\Temp\8jEKUqexrXcZ.exe
  C:\Users\Secretary\AppData\Local\Temp\92GljsGCa0dZ.exe
  C:\Users\Secretary\AppData\Local\Temp\9WpFVl49M6lv.exe
  C:\Users\Secretary\AppData\Local\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
  C:\Users\Secretary\AppData\Local\Temp\ak2wbYLkduMh.exe
  C:\Users\Secretary\AppData\Local\Temp\AmigoDistrib.exe
  C:\Users\Secretary\AppData\Local\Temp\amigo_setup.exe
  C:\Users\Secretary\AppData\Local\Temp\AodDVozyrDQU.exe
  C:\Users\Secretary\AppData\Local\Temp\bcdcabfcccb.exe
  C:\Users\Secretary\AppData\Local\Temp\BD0ABBAC.exe
  C:\Users\Secretary\AppData\Local\Temp\bpD8tbi8394z.exe
  C:\Users\Secretary\AppData\Local\Temp\CcSSvzjX0gSK.exe
  C:\Users\Secretary\AppData\Local\Temp\component.exe
  C:\Users\Secretary\AppData\Local\Temp\coprofit_stb.exe
  C:\Users\Secretary\AppData\Local\Temp\Dck3L39y0H4V.exe
  C:\Users\Secretary\AppData\Local\Temp\DEADLeCI8rkW.exe
  C:\Users\Secretary\AppData\Local\Temp\dEg70VaYFVt1.exe
  C:\Users\Secretary\AppData\Local\Temp\e2959zpZMvFh.exe
  C:\Users\Secretary\AppData\Local\Temp\fFgYow63BkrQ.exe
  C:\Users\Secretary\AppData\Local\Temp\G7F6GydJ2eOi.exe
  C:\Users\Secretary\AppData\Local\Temp\GLQMlKF3Q5Ht.exe
  C:\Users\Secretary\AppData\Local\Temp\gRiFr6GDCm5f.exe
  C:\Users\Secretary\AppData\Local\Temp\hFQJWrk7cml0.exe
  C:\Users\Secretary\AppData\Local\Temp\HH58M39rtcIW.exe
  C:\Users\Secretary\AppData\Local\Temp\huGU6wK31XKw.exe
  C:\Users\Secretary\AppData\Local\Temp\i85kBKfuc3ZO.exe
  C:\Users\Secretary\AppData\Local\Temp\ICReinstall_PDFCreatorSetup (1).exe
  C:\Users\Secretary\AppData\Local\Temp\IK6P54bsL8Y2.exe
  C:\Users\Secretary\AppData\Local\Temp\imoU0dhC2xLc.exe
  C:\Users\Secretary\AppData\Local\Temp\install_flashplayer11x32axau_mssa_aaa_aih.exe
  C:\Users\Secretary\AppData\Local\Temp\iobitdownloader_123.exe
  C:\Users\Secretary\AppData\Local\Temp\IwQ2PBjTcqKc.exe
  C:\Users\Secretary\AppData\Local\Temp\j4C40K9PDdNR.exe
  C:\Users\Secretary\AppData\Local\Temp\jmwliI14o112.exe
  C:\Users\Secretary\AppData\Local\Temp\JTw0b0LGlVGx.exe
  C:\Users\Secretary\AppData\Local\Temp\jzGsSA1M9vOw.exe
  C:\Users\Secretary\AppData\Local\Temp\K00sDPF8zbTd.exe
  C:\Users\Secretary\AppData\Local\Temp\k9bkBPPPnEPd.exe
  C:\Users\Secretary\AppData\Local\Temp\Ka2NEhna4UYE.exe
  C:\Users\Secretary\AppData\Local\Temp\koxqzkjnBr2q.exe
  C:\Users\Secretary\AppData\Local\Temp\ks8414xyjhJ6.exe
  C:\Users\Secretary\AppData\Local\Temp\KtOnwtOUvBdH.exe
  C:\Users\Secretary\AppData\Local\Temp\KXYCZvdcBK4m.exe
  C:\Users\Secretary\AppData\Local\Temp\kZiLYqsaGCFE.exe
  C:\Users\Secretary\AppData\Local\Temp\L1pse6wvUCWi.exe
  C:\Users\Secretary\AppData\Local\Temp\l2CSblF1k9sz.exe
  C:\Users\Secretary\AppData\Local\Temp\LYJdyAjk9Ppl.exe
  C:\Users\Secretary\AppData\Local\Temp\mailruhomesearch.exe
  C:\Users\Secretary\AppData\Local\Temp\mALytR1YKVMi.exe
  C:\Users\Secretary\AppData\Local\Temp\mediaget-uninstaller.exe
  C:\Users\Secretary\AppData\Local\Temp\meXcFpEKuBRw.exe
  C:\Users\Secretary\AppData\Local\Temp\mrutmp.exe
  C:\Users\Secretary\AppData\Local\Temp\NnqFL6W5RguG.exe
  C:\Users\Secretary\AppData\Local\Temp\NwqMDT65UghJ.exe
  C:\Users\Secretary\AppData\Local\Temp\Oe3iAT3Cp83T.exe
  C:\Users\Secretary\AppData\Local\Temp\OFqPQDnUeeQI.exe
  C:\Users\Secretary\AppData\Local\Temp\PurKtajBwaqe.exe
  C:\Users\Secretary\AppData\Local\Temp\q4F8WJPHyaVi.exe
  C:\Users\Secretary\AppData\Local\Temp\qS2y5XPWKHq0.exe
  C:\Users\Secretary\AppData\Local\Temp\QzOlcUJHgi9N.exe
  C:\Users\Secretary\AppData\Local\Temp\rG2lU2CDudR5.exe
  C:\Users\Secretary\AppData\Local\Temp\ROpjnHC54NWF.exe
  C:\Users\Secretary\AppData\Local\Temp\sender.exe
  C:\Users\Secretary\AppData\Local\Temp\SvredsJUjeWq.exe
  C:\Users\Secretary\AppData\Local\Temp\t3CiXlldo1Nk.exe
  C:\Users\Secretary\AppData\Local\Temp\t9DrI1csFvny.exe
  C:\Users\Secretary\AppData\Local\Temp\TCWLKviCtQ5b.exe
  C:\Users\Secretary\AppData\Local\Temp\tmp1F64.exe
  C:\Users\Secretary\AppData\Local\Temp\tmp2C0.exe
  C:\Users\Secretary\AppData\Local\Temp\tmpD5B8.exe
  C:\Users\Secretary\AppData\Local\Temp\tzvB0IjMg50u.exe
  C:\Users\Secretary\AppData\Local\Temp\u87owjP3h2Qt.exe
  C:\Users\Secretary\AppData\Local\Temp\UdHVjFaVRXFZ.exe
  C:\Users\Secretary\AppData\Local\Temp\Uninstall.exe
  C:\Users\Secretary\AppData\Local\Temp\vuupc.exe
  C:\Users\Secretary\AppData\Local\Temp\WwATcV8iZ880.exe
  C:\Users\Secretary\AppData\Local\Temp\WzZ7XzZSsmcb.exe
  C:\Users\Secretary\AppData\Local\Temp\X6bo4gxzJ7MJ.exe
  C:\Users\Secretary\AppData\Local\Temp\XDh3fgUHDDFs.exe
  C:\Users\Secretary\AppData\Local\Temp\xFu6NUFDRUqF.exe
  C:\Users\Secretary\AppData\Local\Temp\XVxp4Uwf6egF.exe
  C:\Users\Secretary\AppData\Local\Temp\Y4XFQjwCkYho.exe
  C:\Users\Secretary\AppData\Local\Temp\yAwIezZUKJnC.exe
  C:\Users\Secretary\AppData\Local\Temp\YjYajFI0WCrP.exe
  C:\Users\Secretary\AppData\Local\Temp\z0us5HKUUbI6.exe
  C:\Users\Secretary\AppData\Local\Temp\ZKsMCNN89oXp.exe
  Task: {41D1537E-2909-4673-AB30-39367FE31F3B} - \BonanzaDealsLiveUpdateTaskMachineUA -> No File <==== ATTENTION
  Task: {5AE5496B-D296-4FD9-BAB3-E5D8EAD773A7} - \newSI_649 -> No File <==== ATTENTION
  Task: {A44009A9-1E79-491A-A37F-A40F6FF7B5D8} - \BonanzaDealsLiveUpdateTaskMachineCore -> No File <==== ATTENTION
  Task: {CC9BF18F-EFA5-45C6-B8DB-C32B9192C1A9} - System32\Tasks\BonanzaDealsUpdate => C:\Program [Argument = Files (x86)\BonanzaDeals\BonanzaDealsUpdate.exe] <==== ATTENTION
  Task: {D7B25DAC-8D9B-46A8-86F2-1A2390965242} - System32\Tasks\APSnotifierCA => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: C:\Windows\Tasks\APSnotifierCA.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
  Task: C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job => C:\Program Files (x86)\BonanzaDealsLive\Update\BonanzaDealsLive.exe <==== ATTENTION
  Task: C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job => C:\Program Files (x86)\BonanzaDealsLive\Update\BonanzaDealsLive.exe <==== ATTENTION
  Task: C:\Windows\Tasks\newSI_649.job => C:\Users\Secretary\AppData\Roaming\newSI_649\s_inst.exe
  MSCONFIG\startupreg: Client Server Runtime Subsystem => "C:\ProgramData\Windows\csrss.exe"
  MSCONFIG\startupreg: coprofit => "C:\Users\Secretary\AppData\Local\coprofit\coprofit_stb.exe" /run "C:\Users\Secretary\AppData\Local\coprofit\config.json"
  MSCONFIG\startupreg: crycxkscyu => explorer "http://rsimpe.ru/?utm_source=uoua03&utm_content=f72ff97190924cc080b8a17a72f663b8"
  MSCONFIG\startupreg: CSRSS => "C:\ProgramData\Drivers\csrss.exe"
  MSCONFIG\startupreg: NetworkSubsystem => "C:\ProgramData\Csrss\csrss.exe"
  MSCONFIG\startupreg: Windows Session Manager => "C:\ProgramData\services\csrss.exe"
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[len4ik4472]

Добрый день

Fixlog.txt

[mike 1]

AS: Windows Defender (Enabled - Out of date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). За расшифровкой обращайтесь в техподдержку вашего антивируса.