Перейти к содержанию

WanaDecryptor

Victoria26
 Share

Рекомендуемые сообщения

thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{BA0C978D-D909-49B6-AFE2-8BDE245DC7E6}');
 QuarantineFile('C:\Users\User\AppData\Roaming\R4GUdTRR1OVmPHq4I.exe','');
 DeleteFile('C:\Users\User\AppData\Roaming\R4GUdTRR1OVmPHq4I.exe','32');
 DeleteFile('C:\Windows\Tasks\R4GUdTRR1OVmPHq4I.job','32');
 DeleteFile('C:\PROGRA~2\IObit\SURFIN~1\BROWER~1\ASCPLU~1.DLL','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

Ссылка на комментарий
Поделиться на другие сайты
Victoria26 Новичок

Victoria26

Опубликовано
  • Автор
Опубликовано

KLAN-6236859465

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700
http://www.kaspersky.com http://www.viruslist.com"


C:\Users\User\Downloads\AutoLogger\AutoLogger

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{BA0C978D-D909-49B6-AFE2-8BDE245DC7E6}');
 QuarantineFile('C:\Users\User\AppData\Roaming\R4GUdTRR1OVmPHq4I.exe','');
 DeleteFile('C:\Users\User\AppData\Roaming\R4GUdTRR1OVmPHq4I.exe','32');
 DeleteFile('C:\Windows\Tasks\R4GUdTRR1OVmPHq4I.job','32');
 DeleteFile('C:\PROGRA~2\IObit\SURFIN~1\BROWER~1\ASCPLU~1.DLL','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

 

 

CollectionLog-2017.05.14-09.13.zip

Ссылка на комментарий
Поделиться на другие сайты
Victoria26 Новичок

Victoria26

Опубликовано
  • Автор
Опубликовано

сделала восстановление системы к 06.05.17, перестал работать chrome, переустановила, заново установила Kaspersky. процедуру, которую вы описывали выше, нужно повторить?

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [gmsd_ru_005010044] => [X]
HKLM-x32\...\Run: [gmsd_ru_005010047] => [X]
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\crossbrowse.lnk [2015-07-29]
ShortcutTarget: crossbrowse.lnk -> C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe (No File)
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1438366671&z=5d0dd27fff9d835d497a83egaz7c4b9c6q3qaq9gfo&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=ds&ts=1438366671&z=5d0dd27fff9d835d497a83egaz7c4b9c6q3qaq9gfo&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1458220715&z=cc97b9b0ec2c5257924db53gez5wdbao5oae5mag3z&from=wpm0314&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1458220715&z=cc97b9b0ec2c5257924db53gez5wdbao5oae5mag3z&from=wpm0314&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1438366671&z=5d0dd27fff9d835d497a83egaz7c4b9c6q3qaq9gfo&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=ds&ts=1438366671&z=5d0dd27fff9d835d497a83egaz7c4b9c6q3qaq9gfo&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
HKU\S-1-5-21-3185830332-2734977193-635577535-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.istartsurf.com/web/?type=dspp&ts=1438155532&z=3c4cf28314fed4a8194f913gcz8cabagdw7w0z9b5e&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
HKU\S-1-5-21-3185830332-2734977193-635577535-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1458220715&z=cc97b9b0ec2c5257924db53gez5wdbao5oae5mag3z&from=wpm0314&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET
HKU\S-1-5-21-3185830332-2734977193-635577535-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.istartsurf.com/web/?type=dspp&ts=1438155532&z=3c4cf28314fed4a8194f913gcz8cabagdw7w0z9b5e&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3185830332-2734977193-635577535-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=face&utm_campaign=install_ie&utm_content=ds&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&ts=1438366721&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3185830332-2734977193-635577535-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://yoursites123.com/web?type=ds&ts=1458220715&z=cc97b9b0ec2c5257924db53gez5wdbao5oae5mag3z&from=wpm0314&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3185830332-2734977193-635577535-1000 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=face&utm_campaign=install_ie&utm_content=ds&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&ts=1438366721&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3185830332-2734977193-635577535-1000 -> {EA5DA172-203E-4BD6-B3CC-A4B5FE4CC285} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=face&utm_campaign=install_ie&utm_content=ds&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&ts=1438366721&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3185830332-2734977193-635577535-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://www.istartsurf.com/web/?utm_source=b&utm_medium=face&utm_campaign=install_ie&utm_content=ds&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&ts=1438366721&type=default&q={searchTerms}
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files (x86)\IObit\IObit Uninstaller\UninstallExplorer64.dll => No File
BHO-x32: Advanced SystemCare Surfing Protection -> {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} -> C:\PROGRA~2\IObit\SURFIN~1\BROWER~1\ASCPLU~1.DLL => No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?type=sc&ts=1438155497&z=9d4ef82faf5212cce3cefdcg0z4c3b1g6wfwcz9zbq&from=face&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET
CHR StartupUrls: Default -> "hxxp://www.delta-homes.com/?type=hp&ts=1442922344&z=8c1c4e506419bc09be2cebdgdz7z3o5tco2o3cdzcz&from=ient07031&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET"
CHR NewTab: Default ->  Not-active:"chrome-extension://pnooffjhclkocplopffdbcdghmiffhji/visual-bookmarks.html"
CHR DefaultSearchURL: Default -> hxxp://search.delta-homes.com/web/?type=ds&ts=1442922344&z=8c1c4e506419bc09be2cebdgdz7z3o5tco2o3cdzcz&from=ient07031&uid=TOSHIBAXMQ01ABD050_72R1CIBETXX72R1CIBET&q={searchTerms}
CHR DefaultSearchKeyword: Default -> delta-homes
CHR HKLM\...\Chrome\Extension: [fhoibnponjcgjgcnfacekaijdbbplhib] - hxxps://chrome.google.com/webstore/detail/fhoibnponjcgjgcnfacekaijdbbplhib
CHR HKU\S-1-5-21-3185830332-2734977193-635577535-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fhoibnponjcgjgcnfacekaijdbbplhib] - hxxps://chrome.google.com/webstore/detail/fhoibnponjcgjgcnfacekaijdbbplhib
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
S2 comyninu; C:\Program Files (x86)\58435451-1438002301-304A-4532-3085A92E263D\hnsp29D0.tmp [X]
S2 hyverumu; C:\Program Files (x86)\58435451-1438002301-304A-4532-3085A92E263D\jnse1219.tmp [X]
S2 IHProtect Service; C:\Program Files (x86)\MiuiTab\ProtectService.exe [X]
S2 IhPul; C:\Users\User\AppData\Roaming\TSv\TSvr.exe [X]
S2 SSFK; C:\Program Files (x86)\SFK\SSFK.exe -s [X]
S2 WdMan; C:\ProgramData\8WdM8\WdMan.exe -svr [X]
2017-05-12 17:28 - 2017-05-14 11:01 - 00000000 ____D C:\Users\Все пользователи\rxfmjsdtofibk767
2017-05-12 17:28 - 2017-05-14 11:01 - 00000000 ____D C:\ProgramData\rxfmjsdtofibk767
2015-07-29 10:40 - 2015-07-29 10:40 - 14376992 _____ (CiPlus-4.5vV28.07) C:\Users\User\AppData\Local\Temp\1504.exe
2015-07-27 16:04 - 2015-07-27 16:04 - 0189176 _____ (morning running) C:\Users\User\AppData\Local\Temp\iobitdownloader_installspro.exe
2015-07-31 21:09 - 2015-07-31 12:44 - 4705512 ____N (Mail.Ru) C:\Users\User\AppData\Local\Temp\MailRuUpdater.exe
2015-07-27 16:04 - 2015-07-27 16:06 - 50449456 _____ (Microsoft Corporation) C:\Users\User\AppData\Local\Temp\net.exe
Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: C:\Windows\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: C:\Windows\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
Task: C:\Windows\Tasks\Crossbrowse.job => C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\utility.exe <==== ATTENTION
Task: C:\Windows\Tasks\R4GUdTRR1OVmPHq4I.job => C:\Users\User\AppData\Roaming\R4GUdTRR1OVmPHq4I.exe <==== ATTENTION
Task: {271E450D-3831-4B8B-95E5-170D5A489052} - System32\Tasks\Crossbrowse => C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\utility.exe  <==== ATTENTION
Task: {84B224F8-AEA6-4E94-9636-BEDE5AF9333C} - \APSnotifierPP3 -> No File <==== ATTENTION
Task: {8C351F4B-D908-4914-BAC8-04F106951726} - System32\Tasks\SmartWeb Upgrade Trigger Task => C:\Users\User\AppData\Local\SmartWeb\SmartWebHelper.exe  <==== ATTENTION
Task: {963AB2B2-BCCB-4D1E-A432-510970B33799} - \{F7811095-F5C4-4D69-9926-93D70AB14039} -> No File <==== ATTENTION
Task: {B9CBB94C-C2F9-4CD9-8D51-4B7380772893} - \APSnotifierPP2 -> No File <==== ATTENTION
Task: {C872E80F-FA38-43BD-B373-140DE8F98496} - \{EC16B080-DAED-4DCF-8BEC-A4CFEBFD0AB2} -> No File <==== ATTENTION
Task: {CE63A7FE-49DC-488F-B5F5-2CC4CE7535CA} - \APSnotifierPP1 -> No File <==== ATTENTION
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Victoria26 Новичок

Victoria26

Опубликовано
  • Автор
Опубликовано

Спасибо! Систему переустанавливать не нужно? И есть ли шанс расшифровать файлы?
Можно ли попробовать создать запрос на расшифровку https://forum.kasperskyclub.ru/index.php?showtopic=48525 ?

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Переустанавливать не надо. На данный момент расшифровать нельзя, что будет в будущем знают только ясновидящие.

Попробовать создать запрос можно и не помешает, только на данный момент данные не вернёт.


И раз восстановление системы было включено, то можете, попробовать восстановить файлы из теневых копий.
 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...