Вирус Wanna Cry

[Amidamarry]

Вечер добрый. В пятницу 12 мая, вечером ничего не качая, не заходил ни на какие сайты, ноутбук начал жёстко виснуть, пришлось его выключить. При включении он зависал на добро пожаловать (Windows 7), пришлось делать откат на более позднее число, что помогло, но я увидел что фотографии, архивированные файлы и текстовые файлы получили расширение .wncry. WanaDecryptor и тому подобное не открывал, сообщение не выскакивало о том, что нужно платить деньги. К сожалению время только сегодня появилось начать решать проблему. Сразу же поставил обновление защиты MS17-010. Проверил систему бесплатным антивирусом Kaspersky Virus Removal Tool. Он нашёл вирусы, после нажал продолжить, результаты выложил в скриншотах. После сделал сбор логов, также выкладываю результаты. Вопрос только возник по этому пункты, не нашёл его:

• После запуска RSIT выберите в выпадающем списке проверку за последние 3 месяца, после чего нажмите кнопку "Далее" ("Continue"). При первом запуске автоматического сборщика логов также может выйти запрос о принятии лицензионного соглашения HiJackThis; нажмите "I Accept" (принять).

CollectionLog-2017.05.14-21.51.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFileF('C:\ProgramData\bamvagwmwggxvb796', '*', true, '', 0, 0);
 DeleteFileMask('C:\ProgramData\bamvagwmwggxvb796', '*', true);
 DeleteDirectory('C:\ProgramData\bamvagwmwggxvb796');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

"Пофиксите" в HijackThis:

R4 - HKCU\Software\Microsoft\Internet Explorer\SearchScopes: DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} - (no name) - (no URL)
R4 - HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{67A2568C-7A0A-4EED-AECC-B5405DE63B64} - (no name) - (no URL)
R4 - HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990} - (no name) - (no URL)
O4 - MSConfig\startupreg: [Adobe Reader Speed Launcher] C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe  (file missing) (HKLM) (2010/04/02)
O4 - MSConfig\startupreg: [CLMLServer] C:\Program Files (x86)\CyberLink\Power2Go\CLMLSvc.exe  (file missing) (HKLM) (2010/04/02)
O22 - Task (Ready): Driver Booster SkipUAC (Илья) - C:\Program Files (x86)\IObit\Driver Booster\4.1.0\DriverBooster.exe /skipuac (file missing)

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.


 

[Amidamarry]

1. Сделал, ссылка: https://virusinfo.info/virusdetector/report.php?md5=7CED47537EBD51B9C5720666E45B661B

2. Выполнил скрипт в AVZ

3. Пофиксил в HijackThis

4. Прикладываю сканы Farbar Recovery Scan Tool

Странно, но где-то видел на этом форуме в какой-то теме, что Гугл Хром не стал запускаться, у меня тоже самое, по новой не устанавливал.(так к сведению может пригодится)

Addition.txt

FRST.txt

Shortcut.txt

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

попробовать восстановить файлы из теневых копий.
 
Больше помочь нечем, расшифровки пока нет.

[Amidamarry]

Поставил обновления. У меня есть некоторые вопросы:

1) Стоит ли проверять сейчас систему Касперским и лечить/удалять вирусы, если они найдутся

2) @Please_Read_Me@.txt и @WanaDecryptor@.exe так и остались на дисках, как их удалить, вылечить, чтобы они не мешались.

3) что посоветуете переустанавливать систему, форматировать диски или оставить, как есть сейчас?

[regist]

1) Проверьте, лишним не будет.

2) Удаляйте, но советую один @Please_Read_Me@.txt оставить если вдруг потом придётся опознавать вариацию.

3) Оставить как есть.