Перейти к содержанию

заразились no_more_ransom

Georgiy_A
 Share

Рекомендуемые сообщения

Georgiy_A Новичок

Georgiy_A

Опубликовано
Опубликовано

Добрый день,

Поймали no_more_ransom.

помогите пожалуйста с очисткой компа от вируса.

Заранее спасибо!

CollectionLog-2017.03.01-14.02.zip

образцы зашифрованных файлов.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Два антивируса - много

Avast Internet Security

Kaspersky Internet Security

Оставьте один, удалите другой: Чистка системы после некорректного удаления антивируса.

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

omiga-plus uninstall

salesale

Unity Web Player

Амиго

Служба автоматического обновления программ

Затем:

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
FF NewTab: C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://isearch.omiga-plus.com/newtab/?type=nt&ts=1419328165&from=cor&uid=WDCXWD1200JS-00MHB0_WD-WCANN103588435884
FF DefaultSearchEngine: C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default -> Поиск@Mail.Ru
FF Homepage: C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxps://mail.ru/cnt/11956636?fr=ffhp1.0.3&gp=800000
FF Keyword.URL: C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://go.mail.ru/search?fr=ntg&q=
FF Extension: (No Name) - C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\3cc5-9c39-8bda-a8a1 [2017-02-28]
FF Extension: (SHA-1 deprecation staged rollout) - C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\features\{0ebe1357-b178-481c-b6bb-471e2d147527}\disableSHA1rollout@mozilla.org.xpi [2017-02-27]
2017-02-28 13:17 - 2017-02-28 13:17 - 03932214 _____ C:\Documents and Settings\Администратор\Application Data\B748A755B748A755.bmp
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README9.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README8.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README7.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README6.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README5.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README4.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README3.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README2.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README10.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\Администратор\Рабочий стол\README1.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2017-02-28 13:17 - 2017-02-28 13:17 - 00004154 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README9.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README8.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README7.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README6.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README5.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README4.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README3.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README2.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README10.txt
2017-02-28 12:59 - 2017-02-28 12:59 - 00004154 _____ C:\README1.txt
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

помогите пожалуйста с очисткой компа от вируса.

Очистка завершена. С расшифровкой помочь не сможем.

 

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Дополнительно, пожалуйста, упакуйте папку

C:\FRST\Hives\

и прикрепите архив к следующему сообщению. Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Salieri
      Заразился вирусом
      От Salieri
      Наткнулся на вирус, с файлов игры ( пиратки ) , нужнаCollectionLog-2024.12.16-15.54.zipFRST.txtAddition.txt помощь, система тормозит, производительность упала. Логи ниже
    • a.n.d.r.e.w
      Получил подарочек на Новый Год. Зараза зашифровала рабочий архив (((((((
      От a.n.d.r.e.w
      Привет, друзья. У меня небольшая организация, 5 рабочих мест, сисадмина нет. Есть виртуальный MS Server 2019 на VMWare работающий на одной из машин. Сервер используется как файловое хранилище и еще на нем sql работает для 1С. В конце декабря обновлял лицензию антивируса, оплатил Premium, который пытался установить и на сервер тоже, конечно не вышло. Думаю когда я искал браузер для установки антивируса тогда и налетел, потому что существующий IE не поддерживался. Последний раз работал 30.12.24, всё было норм. Когда решил заскочить проверить после НГ 01.01.25 обнаружил проблему. С машиной на которой стояла VMW всё хорошо, а в виртуальной системе все плохо. Я конечно все остановил сразу, но уже поздно было. Есть бэкап от октября, поэтому есть оригинальные файлы для анализа. Бесплатные утилиты пробовал, не получилось ничего, хотя может из-за кривых рук. Виртуальные диски скопировал. Монтировал напрямую, проверял антивирусом. Экспериментировал на копиях.
      Друзья, прошу помощи. Готов заплатить за работу!
       
      P.S. Во вложении несколько архивов
      xls, jpeg -в каждом два файла оригинал + шифрованный 
      pic - скриншоты
      htr - требования
      RFST - отчет Farbar Recovery Scan Tool 
      (местонахождение вируса выяснить не смог)
       
       
      htr.rar jpeg.rar pic.rar RFST.rar xls.rar
    • KL FC Bot
      Троян Necro заразил 11 миллионов Android-устройств | Блог Касперского
      От KL FC Bot
      Мы в блоге Kaspersky Daily постоянно призываем читателей внимательно относиться к контенту, который они загружают на свои устройства. Ведь даже в Google Play могут затесаться приложения с вредоносным ПО, чего уж говорить о неофициальных источниках с модифицированными или взломанными версиями. Сколько существует цифровой мир, столько и будут трояны проникать в устройства, не имеющие надежной защиты.
      Сегодня расскажем историю, как 11 миллионов пользователей Android по всему миру стали жертвами трояна Necro. В каких приложениях мы нашли это вредоносное ПО и как от него защититься — в этом материале.
      Что такое Necro
      Наши постоянные читатели, скорее всего, на этом месте улыбнулись — мы писали про Necro еще в 2019 году. Тогда наши эксперты обнаружили троян в приложении для распознавания текста CamScanner, которое пользователи Android загрузили из Google Play более 100 миллионов раз. И вот какие-то некроманты возродили старый троян, снабдив его новыми возможностями: мы обнаружили его как в популярных приложениях в Google Play, так и в различных модах приложений, размещенных на неофициальных ресурсах. Вероятнее всего, разработчики этих приложений использовали непроверенное решение для интеграции рекламы, через которое Necro и проник в код.
      Necro сегодня — это загрузчик, который обфусцирован, чтобы избежать детектирования (правда, злоумышленникам это не помогло, мы его все равно нашли). Вредоносную нагрузку он скачивает не менее хитрым образом: прячет ее код в безобидной с виду картинке, используя стеганографию.
      А скачанные вредоносные модули умеют загружать и запускать любые DEX-файлы (скомпилированный код Android-приложения), устанавливать скачанные приложения, запускать туннель через устройство жертвы и даже (потенциально) оформлять платные подписки. Кроме того, в невидимых окнах они могут показывать рекламу и взаимодействовать с ней, а также открывать произвольные ссылки и выполнять любой JavaScript-код.
      Подробнее о том, как именно устроен и работает Necro, читайте в блоге Securelist.
       
      View the full article
    • Sashok103
      [РЕШЕНО] Заразил систему кучей вирусов и майнером Taskhostw.exe
      От Sashok103
      Здравствуйте! Имеется такая проблема: после установки ПО подхватил вирусы и майнер. 
      Что бы попытаться решить эту проблему, пробовал самостоятельно методы по их удалению с помощью просмотра советов в Интернете. 
      Например при запуске ПК, у меня сразу же отображались командная строка и Windows PowerShell на пару секунд, исходя из которых они делали внедрение своих вредоносных команд в мою систему.
      Изучая это всю ночь, мне таки удалось удалить в пути C:\ProgramData\ папки с вредоносным содержимым (Папка Setup, папка RealtekHD, папка WindowsTask и папка Windows Tasks Service).
      и теперь, после запуска системы, диспетчер задач больше не закрывается автоматически, блокнот с файлом hosts и сама папка ProgramData, но я всё равно заметил, что возможно какие-то команды при запуске Windows всё ещё включаются (но появляется теперь только командная строка). 
      Увидел похожее обращение на вашем сайте и решил так же воспользоваться такой возможностью.
      Прикрепил логи результатов из программы AV_block_remover
      Заранее спасибо!
      AV_block_remove_2024.05.20-09.23.log
    • aryanatha
      Заразились шифровальщиком
      От aryanatha
      Здравствуйте
      Сервер под управлением Windows Server 2012 R2
      Заходили на него используя RDP
      2 диска зашифровались BitLockerом
      Системный диск Битлокером не зашифровали, но часть файлов на нем были зашифрованы
      В идеале нужно полностью восстановить систему, но в принципе, самый важный файл на всем компьютере один - это база данных 1С.
      Она лежит на незашифрованном диске, и зашифрована отдельно. Размер порядка 10 гб
      в приложении логи анализа и да зашифрованный файла Эксель.
      файл с вирусом не нашли. требований денег не нашли
      возможно заразились после того как дней 5 назад дестоп был с помощью Хамачи подключен в одну локалку с ноутом внука, на котором куча скачанных с тореннnов поломанных игрушек. после этого на декстопе запускался drWebCureIt 
      и после этого с дестопа по RDP ходил на сервер
      прошу помощи
×
×
  • Создать...