Перейти к содержанию

шифровальщик с расширением crypted000007 от Novikov.Vavila@gmail.com

Shikovets
 Share

Рекомендуемые сообщения

Shikovets Новичок

Shikovets

Опубликовано
Опубликовано (изменено)

Словили шифровальщик при открытии почтового сообщения, как я понял. ОС Windows XP. Саму систему пролечил по инструкции.

Содержимое файла Readme:

Вaшu фaйлы были зaшuфрoвaны.
Чmобы paсшuфровaть иx, Bам нeoбходuмо omправить koд:
C86F2A3E7E42C25794DC|818|6|2
нa элекmрoнный адpec Novikov.Vavila@gmail.com .
Далеe вы пoлyчите всe нeoбxодuмыe инcтрykции.
Попыткu расшифровamь cамoстoяmeльно не пpивeдym нu k чeму, kpоме безвoзвpamнoй пomери инфopмацuи.
Eсли вы всё же xотuте пoпытаться, то nредваритeльно cделайтe рeзepвные копuu файлов, инaчe в слyчaе
иx uзмeнeния paсшuфpовkа сmанеm нeвозмoжной нu пpu какиx услoвuях.
Eсли вы не nолучuли отвeта nо вышeуkазанномy адреcy в mечeниe 48 чаcoв (и mольkо в эmoм cлyчae!),
восnoльзуйmeсь фоpмой oбрaтнoй cвязи. Это можно cдeлamь двyмя cnособамu:
1) Ckачaйmе u yстанoвиme Tor Browser по cсылke: https://www.torproject.org/download/download-easy.html.en
В адрeсной cmроke Tor Browser-а введиme адpeс:
http://cryptsen7fo43rr6.onion/
u нажмumе Enter. 3агpyзитcя cтpанuцa c фоpмой oбpатнoй cвязи.
2) В любoм бpаyзерe nерeйдите nо одному из aдресов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

Лог файл прикреплен.

CollectionLog-2017.08.04-11.54.zip

Изменено пользователем Shikovets
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\WINDOWS\system32\hfpapi.dll','');
 DelBHO('{FB4F6285-4C32-49F2-950F-A5998F9CEC6C}');
 DeleteService('TS888');
 DeleteService('QMUdisk');
 DeleteService('BDAntiExp');
 DeleteService('BDEnhanceBoost');
 SetServiceStart('bd0003', 4);
 SetServiceStart('BDArKit', 4);
 SetServiceStart('BDMNetMon', 4);
 DeleteService('BDMNetMon');
 DeleteService('BDArKit');
 DeleteService('bd0003');
 DeleteService('ServiceUpdater');
 DeleteService('NetHttpService');
 DeleteService('BlockAndSurf');
 SetServiceStart('QiyiService', 4);
 DeleteService('QiyiService');
 SetServiceStart('BaiduHips', 4);
 DeleteService('BaiduHips');
 TerminateProcessByName('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe');
 TerminateProcessByName('c:\program files\iqiyi video\lstyle\5.3.21.2676\mdnsresponder.exe');
 TerminateProcessByName('c:\program files\iqiyi video\lstyle\5.3.21.2676\qiyiservice.exe');
 DeleteFile('c:\program files\iqiyi video\lstyle\5.3.21.2676\mdnsresponder.exe','32');
 DeleteFile('c:\program files\iqiyi video\lstyle\5.3.21.2676\qiyiservice.exe','32');
 DeleteFile('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDKitUtils.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMAVCached.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMAVEng.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMPerfMon.dll','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDMNetMon.sys','32');
 DeleteFile('C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\mDNSResponder.exe','32');
 DeleteFile('C:\WINDOWS\system32\netupdsrv.exe','32');
 DeleteFile('C:\WINDOWS\system32\nethtsrv.exe','32');
 DeleteFile('C:\Program Files\version62BlockAndSurf\L8so192.exe','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDEnhanceBoost.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDAntiExp.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QMUdisk.sys','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','QQPCTray');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QQPCTray.exe','32');
 DeleteFile('C:\Program Files\V-bates\notifier.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','V-bates');
 DeleteFile('C:\PROGRA~1\SearchProtect\SearchProtect\bin\VC32Loader.dll','32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\couponriser\couponriser_stb.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\couponriser','command');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\couponriser\config.json','32');
 DeleteFile('C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\Accelerator\IEHelper.dll','32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf_wd.job','32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf Update.job','32');
 DeleteFile('C:\WINDOWS\Tasks\FF Watcher {54B52EE9-2DD7-4519-BE52-3AC9E6475C49}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\FF Watcher {FA5DC8DB-CB2B-428D-89BD-F7B6D231708A}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\sipficd.job','32');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Mozilla\brbnpsl.exe','32');
 DeleteFile('C:\WINDOWS\system32\hfpapi.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

Ссылка на комментарий
Поделиться на другие сайты
Shikovets Новичок

Shikovets

Опубликовано
  • Автор
Опубликовано

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
hfpapi.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ
(чуть позже выложу автолог)


логи

CollectionLog-2017.08.04-15.05.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Расширения

Ultimate Discounter

Stop Banner

couponriser

удалите в Опера.

 

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Run: [V-bates] => C:\Program Files\V-bates\notifier.exe
HKLM\...\Run: [ QQPCTray] => "C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QQPCTray.exe"  /regrun
HKU\S-1-5-18\...\RunOnce: [Del2507453] => cmd.exe /Q /D /c del "C:\WINDOWS\TEMP\0.del" <==== ATTENTION
CHR HKU\S-1-5-21-1078081533-879983540-682003330-500\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-1078081533-879983540-682003330-500\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text={searchTerms}
HKU\S-1-5-21-1078081533-879983540-682003330-500\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://1homepage.biz/?company=5
SearchScopes: HKU\S-1-5-21-1078081533-879983540-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1078081533-879983540-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text=
DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text= <==== ATTENTION
FF HKLM\...\Firefox\Extensions: [{21EAF666-26B3-4a3c-ABD0-CA2F5A326744}] - C:\Program Files\V-bates\Firefox => not found
FF HKLM\...\Firefox\Extensions: [ext@RichMediaViewV1release5153.net] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release5153\ff => not found
FF HKU\S-1-5-21-1078081533-879983540-682003330-500\...\Firefox\Extensions: [{C5F219F3-EE65-3E45-0EBA-476EDEF71A22}] - C:\Program Files\version62BlockAndSurf\192.xpi
FF Extension: (BlockAndSurf) - C:\Program Files\version62BlockAndSurf\192.xpi [2015-05-28] [not signed]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [clpdgmdkdnijjbgmnajolnbnjejoeogm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fopefgobkmblbipkdebgnnlclchlakom] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
CHR HKLM\...\Chrome\Extension: [jaeahnnfohikjnejpokeaaiinijhpfop] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [kocacaifmbbacomgplgohlknmfiihnbm] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release5153\ch\RichMediaViewV1release5153.crx <not found>
CHR HKLM\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [njabjmhinndphfnbjehdalkphpdmepli] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [nonodemgnpfmmhbnkecpjjdkfmaifoni] - C:\Program Files\Adobe Flash Players 10.0\adobeflashplayer-sk.crx <not found>
CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
R2 BDKVRTP; C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe [443432 2014-07-21] (百度在线网络技术（北京）有限公司)
S2 BaiduHips; C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduHips.exe [X]
R1 bd0001; C:\WINDOWS\System32\DRIVERS\bd0001.sys [70984 2014-09-17] (Baidu)
R1 bd0002; C:\WINDOWS\System32\DRIVERS\bd0002.sys [196424 2014-09-17] (Baidu)
R1 bd0003; C:\WINDOWS\System32\DRIVERS\bd0003.sys [55752 2014-07-21] (Baidu)
R2 BDArKit; C:\WINDOWS\System32\DRIVERS\BDArKit.sys [90440 2014-07-21] (BaiduTechnology)
R2 BDDefense; C:\WINDOWS\System32\drivers\BDDefense.sys [123720 2014-09-23] (Baidu)
2017-08-04 11:41 - 2017-08-04 11:41 - 000000211 _____ C:\Documents and Settings\Admin\Рабочий стол\Искать в Интернете.url
2017-07-25 13:02 - 2017-07-25 13:02 - 006220854 _____ C:\Documents and Settings\Admin\Application Data\2995A01B2995A01B.bmp
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README9.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README8.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README7.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README6.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README5.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README4.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README3.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README2.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README10.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README1.txt
2017-07-24 17:48 - 2017-07-25 13:02 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README9.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README8.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README7.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README6.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README5.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README4.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README3.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README2.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README10.txt
2017-07-24 17:37 - 2017-08-01 14:48 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{039B2CA5-3B41-4D93-AD77-47D3293FC5CB}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.25.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{1423F872-3F7F-4E57-B621-8B1A9D49B448}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.27.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{2614C37E-2C78-4bfb-B7A6-E49B62B9CD9B}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.23.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{42481700-CF3C-4D05-8EC6-F9A1C57E8DC0}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{590C4387-5EBD-4D46-8A84-CD0BA2EF2856}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.30.3\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{5C8C2A98-6133-4EBA-BBCC-34D9EA01FC2E}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.1\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{793EE463-1304-471C-ADF1-68C2FFB01247}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.29.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.24.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29162}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Orbitum\Application\43.0.2357.174\delegate_execute.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A45426FB-E444-42B2-AA56-419F8FBEEC61}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.22.3\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A54D478D-4F70-4F72-9A74-17C9986E35AB}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.21.165\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{BB6410D8-F879-4184-9C5C-6A02D16AE0B3}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{C3BC25C0-FCD3-4F01-AFDD-41373F017C9A}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.26.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{CA1073A2-5F3F-4445-8E5E-7109BDCEDDBE}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{CC182BE1-84CE-4A57-B85C-FD4BBDF78CB2}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.29.2\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.25.11\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D0D38C6E-BF64-4C42-840D-3E0019D9F7A6}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D236C998-BECE-472D-B939-541727B72AEF}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D5A55D2D-C59D-42C3-A5BF-4C08EEE74339}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{EB06378B-ABB6-4B3C-9B40-D488DD8A6E93}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.22.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{FB994D36-B312-46CE-A40B-CF63980641F9}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.21.111\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.24.7\psuser.dll => No File
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:AAF237E7 [113]
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^hipl.lnk => C:\WINDOWS\pss\hipl.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^IMVU.lnk => C:\WINDOWS\pss\IMVU.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^OrbitumUpdate.lnk => C:\WINDOWS\pss\OrbitumUpdate.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^爱奇艺PPS.lnk => C:\WINDOWS\pss\爱奇艺PPS.lnkStartup
MSCONFIG\startupreg: couponriser => 
MSCONFIG\startupreg: QyClient => "C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\QyClient.exe" autostart
DomainProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduSd.txt] => Enabled:百度杀毒安装程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe] => Enabled:百度杀毒服务程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSd.exe] => Enabled:百度杀毒主程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdTray.exe] => Enabled:百度杀毒托盘程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdUpdate.exe] => Enabled:百度杀毒更新程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdBugRpt.exe] => Enabled:百度杀毒BUG上报程序
DomainProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduAn.txt] => Enabled:百度卫士安装程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe] => Enabled:百度卫士服务程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAn.exe] => Enabled:百度卫士主程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe] => Enabled:百度卫士托盘程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnUpdate.exe] => Enabled:百度卫士更新程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnBugRpt.exe] => Enabled:百度卫士BUG上报程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\107\bddownloader.exe] => Enabled:百度高速下载器
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\Tencentdl.exe] => Enabled:腾讯产品下载组件
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\bugreport_xf.exe] => Enabled:腾讯产品下载组件Crash上报
DomainProfile\AuthorizedApplications: [C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QMAccountProtection.exe] => Enabled:????-???
StandardProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduSd.txt] => Enabled:百度杀毒安装程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe] => Enabled:百度杀毒服务程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSd.exe] => Enabled:百度杀毒主程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdTray.exe] => Enabled:百度杀毒托盘程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdUpdate.exe] => Enabled:百度杀毒更新程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdBugRpt.exe] => Enabled:百度杀毒BUG上报程序
StandardProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduAn.txt] => Enabled:百度卫士安装程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe] => Enabled:百度卫士服务程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAn.exe] => Enabled:百度卫士主程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe] => Enabled:百度卫士托盘程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnUpdate.exe] => Enabled:百度卫士更新程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnBugRpt.exe] => Enabled:百度卫士BUG上报程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\107\bddownloader.exe] => Enabled:百度高速下载器
StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
StandardProfile\AuthorizedApplications: [C:\Documents and Settings\Admin\Local Settings\Application Data\MediaGet2\mediaget.exe] => Enabled:MediaGet
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Shikovets Новичок

Shikovets

Опубликовано
  • Автор
Опубликовано
Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

 

ссылка не работает скачал с оф сайта версию 6.047 (7 версия на хр не хочет запускаться)

 

AdwCleanerS0.txt

Ссылка на комментарий
Поделиться на другие сайты
Shikovets Новичок

Shikovets

Опубликовано
  • Автор
Опубликовано

0_o т.е. это не исправить? зачем мы тогда это делали?))) проще было полное форматирование сделать) а так получил вылеченную винду и кучу потерянной информации((

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Всегда умиляли пострадавшие, которые в названии раздела видят слово "расшифровка". Наша первоочередная задача - избавить пользователей от следов вирусов, как активных, так и неактивных. В тех случаях, когда расшифровка возможна, ее предоставляют

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Bruce007
      Шифровальщик с расширением fear.pw
      От Bruce007
      Здравствуйте!
      Поймали вирус-шифровальщик с расширением fear.pw прикладываю два зашифрованных файла и лог FRST (запускал с live cd) почта platishilidrochish@fear.pw
      Пожалуйста, помогите, чем можете!
      DeCrYpTiOn.txt FRST.txt Примеры файлов.rar
    • Юрикс
      Шифровальщик, расширение .A7V3ac
      От Юрикс
      Приветствую всех. Уже прилично как зашифровало файлы. Почтой отправлял данные (сам вирус и шифрованные файлы) в Касперский, но что-то тишина.
      Шифрование похоже на .7Kf9uY и .rOSb1V. Только в сообщении у меня другая ссылка на сайт. А так, вроде и сайт с тем самим видом.
      Внимание! Все Ваши файлы зашифрованы!Чтобы восстановить свои файлы посетите сайт http://plc.2fh.co Если сайт недоступен пишите на plc12@inbox.com Ваш id d9115873 У вас есть 6 попыток ввода кода. При превышении этого  лимита все данные необратимо испортятся. Надеюсь и мне повезёт с расшифровкой.
      Прикладываю шифрованный файл.
      OemInfo.zip.zip
    • Always_Young
      Шифровальщик вымогатель. Расширение .y8ItHTbGJ
      От Always_Young
      Здравствуйте! На ПК пришло письмо с файлом с раширением .cab. Файл находится в облаке. Скрин проверки с VirusTotal прилагается. После этого все документы JPEG, JPG,PDF,XLSX,DOCX оказались зашифрованы. Доступ на ПК осуществлялся удаленно, через AnyDesk. В сети три ПК и один ноутбук по Wi-Fi. Заражен оказался один. Есть ли возможность расшифровать? 

      Addition.txt FRST.txt y8ItHTbGJ.README.txt Файлы шифр.zip
    • Иван Иванович Ивановский
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Иван Иванович Ивановский
      сегодня утром зашифровал все файлы
      часть данных у меня были на флешке, есть исходные, не зашифрованные файлы - положил их тоже в архив
      что это за тип шифровальщика, возможна ли расшифровка?
      и с компом чего теперь делать, возможно ли очистить и работать дальше или лучше все отформатировать и переустановить ?
       
      архив и логи FRST прилагаю
      Архив.7z Addition.txt FRST.txt
    • Александр Щепочкин
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Александр Щепочкин
      Добрый день, такое же и у меня случилось,  с таким же расширением, никто ничего не скачивал и по ссылкам не переходил, работают на удаленном рабочем столе, переносят только файлы вод или экселя. Кидаю пример файла и текст с выкупом
      6iENBa2rG.README.txt Ведомость выроботки по объекту Радиальная (белорусы) общее.xlsx.rar
       
      Сообщение от модератора kmscom Сообщение перенесено из темы Шифровальщик зашифровал файлы расширение .6iENBa2rG
×
×
  • Создать...