файлы зашифрованые форматом wncry,

[aleksei92]

Добрый день! Разрешил ребенку купить игру в стиме, он поиграл часа 2, а сегодня когда пришел после работы, компьютер уже заражен вирусом!

Очень просим о помощи, исчезли фотографии ребенка с рождения..
Заранее спасибо за помощ!!!

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[aleksei92]

Доброе утро

почитал форум, много подобных проблем у людей

компьютер проверяю kvrt

вот логи

 

Сообщение от модератора Mark D. Pearlstone

Темы объединены.

CollectionLog-2017.05.13-08.57.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\Public\Desktop\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Program Files\Intel\SUR\QUEENCREEK\task.vbs', '');
 QuarantineFileF('C:\Users\Администратор\AppData\Roaming\extensions\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\rpzcmrqmz078', '*', true, '', 0, 0);
 DeleteFileMask('C:\Users\Администратор\AppData\Roaming\extensions\', '*', true);
 DeleteFileMask('C:\ProgramData\rpzcmrqmz078', '*', true);
 DeleteDirectory('C:\Users\Администратор\AppData\Roaming\extensions\');
 DeleteDirectory('C:\ProgramData\rpzcmrqmz078');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.


 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

MediaGet - советую деинсталируйте.
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

[aleksei92]

Файл успешно загружен

MD5 карантина: 2E0A5BDFD2A0B84B9525C1C97A20593C

 

 

[KLAN-6233016260]:

 

Thank you for contacting Kaspersky Lab

The files have been scanned in automatic mode.

No information about the specified files can be found in the antivirus databases:
task.vbs
00000000.eky
00000000.pky
00000000.res
@Please_Read_Me@.txt
c.wnry
f.wnry
r.wnry
s.wnry/avz00010.dta.Tor.libeay32.dll
s.wnry/avz00010.dta.Tor.libevent-2-0-5.dll
s.wnry/avz00010.dta.Tor.libevent_core-2-0-5.dll
s.wnry/avz00010.dta.Tor.libevent_extra-2-0-5.dll
s.wnry/avz00010.dta.Tor.libgcc_s_sjlj-1.dll
s.wnry/avz00010.dta.Tor.libssp-0.dll
s.wnry/avz00010.dta.Tor.ssleay32.dll
s.wnry/avz00010.dta.Tor.tor.exe
s.wnry/avz00010.dta.Tor.zlib1.dll
t.wnry
m_bulgarian.wnry
m_chinese (simplified).wnry
m_chinese (traditional).wnry
m_croatian.wnry
m_czech.wnry
m_danish.wnry
m_dutch.wnry
m_english.wnry
m_filipino.wnry
m_finnish.wnry
m_french.wnry
m_german.wnry
m_greek.wnry
m_indonesian.wnry
m_italian.wnry
m_japanese.wnry
m_korean.wnry
m_latvian.wnry
m_norwegian.wnry
m_polish.wnry
m_portuguese.wnry
m_romanian.wnry
m_russian.wnry
m_slovak.wnry
m_spanish.wnry
m_swedish.wnry
m_turkish.wnry
m_vietnamese.wnry

The format of the attached files is safe, they cannot be malicious:
b.wnry

Malicious code has been detected in the following files:
u.wnry - Trojan-Ransom.Win32.Wanna.c

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

This is an automatically generated message. Please do not reply to it.

Anti-Virus Lab, Kaspersky Lab HQ

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia
Tel./Fax: + 7 (495) 797 8700
http://www.kaspersky.com http://www.viruslist.com"

 

 

новые логи

вот

ClearLNK-13.05.2017_11-34.log

ClearLNK-13.05.2017_11-34.log

CollectionLog-2017.05.13-11.46.zip

Изменено 13 мая, 2017 пользователем regist
спрятал ответ ЛК под спойлер

[regist]

"Пофиксите" в HijackThis:

O4 - MSConfig\startupreg: [BlueStacks Agent] C:\Program Files (x86)\Bluestacks\HD-Agent.exe (file missing) (HKCU) (2017/01/15)
O4 - MSConfig\startupreg: [IAStorIcon] C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIconLaunch.exe "C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" 60 (file missing) (HKLM) (2017/01/15)
O22 - Task (Ready): MSIAfterburner - D:\проги\MSI Afterburner\MSIAfterburner.exe /s (file missing)
O22 - Task (Ready): Registry Reviver64-Администратор-Startup - C:\Program Files\ReviverSoft\Registry Reviver\RegistryReviver64.exe (file missing)
O22 - Task (Ready): {47F363D1-438A-4743-88E0-CB931392B352} - c:\program files (x86)\google\chrome\application\chrome.exe http://www.skype.com/go/downloading?source=lightinstaller&ver=6.7.0.102&LastError=404 (file missing)
O22 - Task (Ready): {7C93E9C3-F862-47CC-8FFA-DC4850832AD2} - c:\program files (x86)\google\chrome\application\chrome.exe http://www.skype.com/go/downloading?source=lightinstaller&ver=6.7.0.102&LastError=404 (file missing)
O22 - Task (Ready): {AD765B87-2134-4C98-A401-D0DBCDEEB10E} - c:\program files (x86)\google\chrome\application\chrome.exe http://www.skype.com/go/downloading?source=lightinstaller&ver=6.7.0.102&LastError=404 (file missing)

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[aleksei92]

готово

Addition.txt

FRST.txt

Shortcut.txt

[regist]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  HKU\S-1-5-21-690978819-1716531058-392526402-500\...\Run: [*LABAL*] => [X]
  HKU\S-1-5-21-690978819-1716531058-392526402-500\...\MountPoints2: {a58c2c83-36cd-11e6-baab-20898453064e} - F:\AutoRun.exe
  HKU\S-1-5-21-690978819-1716531058-392526402-500\...\MountPoints2: {f323b8f1-438e-11e6-9860-20898453064e} - F:\feprog.exe
  HKU\S-1-5-21-690978819-1716531058-392526402-500\...\MountPoints2: {f323b8f6-438e-11e6-9860-20898453064e} - I:\AutoRunMorrowind.exe
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  CHR HomePage: Default -> hxxp://www.mystartsearch.com/?type=hp&ts=1445857537&z=7be1c491a95b0a4a245f0deg5z2z6w0bfw5m3o4b3z&from=cmi&uid=WDCXWD5000LPVT-22G33T0_WD-WX31AC2M7698M7698
  2017-05-12 18:03 - 2017-05-11 20:13 - 01440054 _____ C:\Users\Default\Desktop\@WanaDecryptor@.bmp
  2017-05-12 18:03 - 2017-05-11 20:13 - 01440054 _____ C:\Users\Default User\Desktop\@WanaDecryptor@.bmp
  2017-05-12 17:58 - 2017-05-12 15:27 - 00000933 _____ C:\Users\Администратор\Downloads\@Please_Read_Me@.txt
  2017-05-12 17:57 - 2017-05-12 15:27 - 00000933 _____ C:\Users\Администратор\AppData\Local\@Please_Read_Me@.txt
  2017-05-12 15:28 - 2017-05-12 15:27 - 00000933 _____ C:\Users\Администратор\Documents\@Please_Read_Me@.txt
  2017-05-13 11:14 - 2017-05-13 11:14 - 0182568 _____ () C:\Users\Администратор\AppData\Local\Temp\mediaget-uninstaller.exe
  2017-05-13 11:54 - 2016-08-24 15:37 - 0216593 _____ () C:\Users\Администратор\AppData\Local\Temp\Uninstall.exe
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.[/code]
 

Обновление поставьте http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212
И в будущем не забывайте своевременно обновляться.

[aleksei92]

сделано

а что дальше? файлы так и зашифрованы пока что(((

Fixlog.txt

[regist]

 

 

файлы так и зашифрованы пока что(((

Расшифровки пока ни у кого нет и не известно будет ли вообще. Пока только вирус вычищаем.

 

Сделайте свежие логи FRST.

 

+ Обновление поставьте http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212
И в будущем не забывайте своевременно обновляться.

[aleksei92]

новый

 

файлы так и зашифрованы пока что(((

Расшифровки пока ни у кого нет и не известно будет ли вообще. Пока только вирус вычищаем.

 

Сделайте свежие логи FRST.

 

+ Обновление поставьте http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212
И в будущем не забывайте своевременно обновляться.

 

понятно спасибо

Fixlog.txt

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

 

больше помочь нечем.