ransom.shade шифровальщик с расширением crypted000007 от Novikov.Vavila@gmail.com

4 августа, 2017

Словили шифровальщик при открытии почтового сообщения, как я понял. ОС Windows XP. Саму систему пролечил по инструкции.

Содержимое файла Readme:

Вaшu фaйлы были зaшuфрoвaны.
Чmобы paсшuфровaть иx, Bам нeoбходuмо omправить koд:
C86F2A3E7E42C25794DC|818|6|2
нa элекmрoнный адpec Novikov.Vavila@gmail.com .
Далеe вы пoлyчите всe нeoбxодuмыe инcтрykции.
Попыткu расшифровamь cамoстoяmeльно не пpивeдym нu k чeму, kpоме безвoзвpamнoй пomери инфopмацuи.
Eсли вы всё же xотuте пoпытаться, то nредваритeльно cделайтe рeзepвные копuu файлов, инaчe в слyчaе
иx uзмeнeния paсшuфpовkа сmанеm нeвозмoжной нu пpu какиx услoвuях.
Eсли вы не nолучuли отвeта nо вышeуkазанномy адреcy в mечeниe 48 чаcoв (и mольkо в эmoм cлyчae!),
восnoльзуйmeсь фоpмой oбрaтнoй cвязи. Это можно cдeлamь двyмя cnособамu:
1) Ckачaйmе u yстанoвиme Tor Browser по cсылke: https://www.torproject.org/download/download-easy.html.en
В адрeсной cmроke Tor Browser-а введиme адpeс:
http://cryptsen7fo43rr6.onion/
u нажмumе Enter. 3агpyзитcя cтpанuцa c фоpмой oбpатнoй cвязи.
2) В любoм бpаyзерe nерeйдите nо одному из aдресов:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

Лог файл прикреплен.

CollectionLog-2017.08.04-11.54.zip

Изменено 4 августа, 2017 пользователем Shikovets

4 августа, 2017

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\WINDOWS\system32\hfpapi.dll','');
 DelBHO('{FB4F6285-4C32-49F2-950F-A5998F9CEC6C}');
 DeleteService('TS888');
 DeleteService('QMUdisk');
 DeleteService('BDAntiExp');
 DeleteService('BDEnhanceBoost');
 SetServiceStart('bd0003', 4);
 SetServiceStart('BDArKit', 4);
 SetServiceStart('BDMNetMon', 4);
 DeleteService('BDMNetMon');
 DeleteService('BDArKit');
 DeleteService('bd0003');
 DeleteService('ServiceUpdater');
 DeleteService('NetHttpService');
 DeleteService('BlockAndSurf');
 SetServiceStart('QiyiService', 4);
 DeleteService('QiyiService');
 SetServiceStart('BaiduHips', 4);
 DeleteService('BaiduHips');
 TerminateProcessByName('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe');
 TerminateProcessByName('c:\program files\iqiyi video\lstyle\5.3.21.2676\mdnsresponder.exe');
 TerminateProcessByName('c:\program files\iqiyi video\lstyle\5.3.21.2676\qiyiservice.exe');
 DeleteFile('c:\program files\iqiyi video\lstyle\5.3.21.2676\mdnsresponder.exe','32');
 DeleteFile('c:\program files\iqiyi video\lstyle\5.3.21.2676\qiyiservice.exe','32');
 DeleteFile('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDKitUtils.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMAVCached.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMAVEng.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\bdmantivirus\BDMPerfMon.dll','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDMNetMon.sys','32');
 DeleteFile('C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\mDNSResponder.exe','32');
 DeleteFile('C:\WINDOWS\system32\netupdsrv.exe','32');
 DeleteFile('C:\WINDOWS\system32\nethtsrv.exe','32');
 DeleteFile('C:\Program Files\version62BlockAndSurf\L8so192.exe','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDEnhanceBoost.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDAntiExp.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QMUdisk.sys','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','QQPCTray');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QQPCTray.exe','32');
 DeleteFile('C:\Program Files\V-bates\notifier.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','V-bates');
 DeleteFile('C:\PROGRA~1\SearchProtect\SearchProtect\bin\VC32Loader.dll','32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\couponriser\couponriser_stb.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\couponriser','command');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\couponriser\config.json','32');
 DeleteFile('C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\Accelerator\IEHelper.dll','32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf_wd.job','32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf Update.job','32');
 DeleteFile('C:\WINDOWS\Tasks\FF Watcher {54B52EE9-2DD7-4519-BE52-3AC9E6475C49}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\FF Watcher {FA5DC8DB-CB2B-428D-89BD-F7B6D231708A}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\sipficd.job','32');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Mozilla\brbnpsl.exe','32');
 DeleteFile('C:\WINDOWS\system32\hfpapi.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

4 августа, 2017

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
hfpapi.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ
(чуть позже выложу автолог)

логи

CollectionLog-2017.08.04-15.05.zip

4 августа, 2017

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

7 августа, 2017

Выкладываю отчет.

FRST.rar

7 августа, 2017

Расширения

Ultimate Discounter

Stop Banner

couponriser

удалите в Опера.

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Run: [V-bates] => C:\Program Files\V-bates\notifier.exe
HKLM\...\Run: [ QQPCTray] => "C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QQPCTray.exe"  /regrun
HKU\S-1-5-18\...\RunOnce: [Del2507453] => cmd.exe /Q /D /c del "C:\WINDOWS\TEMP\0.del" <==== ATTENTION
CHR HKU\S-1-5-21-1078081533-879983540-682003330-500\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-1078081533-879983540-682003330-500\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text={searchTerms}
HKU\S-1-5-21-1078081533-879983540-682003330-500\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://1homepage.biz/?company=5
SearchScopes: HKU\S-1-5-21-1078081533-879983540-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1078081533-879983540-682003330-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text=
DefaultPrefix: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b7d6652f21647962faf9fdc707a2d2e9&text= <==== ATTENTION
FF HKLM\...\Firefox\Extensions: [{21EAF666-26B3-4a3c-ABD0-CA2F5A326744}] - C:\Program Files\V-bates\Firefox => not found
FF HKLM\...\Firefox\Extensions: [ext@RichMediaViewV1release5153.net] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release5153\ff => not found
FF HKU\S-1-5-21-1078081533-879983540-682003330-500\...\Firefox\Extensions: [{C5F219F3-EE65-3E45-0EBA-476EDEF71A22}] - C:\Program Files\version62BlockAndSurf\192.xpi
FF Extension: (BlockAndSurf) - C:\Program Files\version62BlockAndSurf\192.xpi [2015-05-28] [not signed]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [clpdgmdkdnijjbgmnajolnbnjejoeogm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fopefgobkmblbipkdebgnnlclchlakom] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
CHR HKLM\...\Chrome\Extension: [jaeahnnfohikjnejpokeaaiinijhpfop] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [kocacaifmbbacomgplgohlknmfiihnbm] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release5153\ch\RichMediaViewV1release5153.crx <not found>
CHR HKLM\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [njabjmhinndphfnbjehdalkphpdmepli] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [nonodemgnpfmmhbnkecpjjdkfmaifoni] - C:\Program Files\Adobe Flash Players 10.0\adobeflashplayer-sk.crx <not found>
CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
R2 BDKVRTP; C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe [443432 2014-07-21] (百度在线网络技术（北京）有限公司)
S2 BaiduHips; C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduHips.exe [X]
R1 bd0001; C:\WINDOWS\System32\DRIVERS\bd0001.sys [70984 2014-09-17] (Baidu)
R1 bd0002; C:\WINDOWS\System32\DRIVERS\bd0002.sys [196424 2014-09-17] (Baidu)
R1 bd0003; C:\WINDOWS\System32\DRIVERS\bd0003.sys [55752 2014-07-21] (Baidu)
R2 BDArKit; C:\WINDOWS\System32\DRIVERS\BDArKit.sys [90440 2014-07-21] (BaiduTechnology)
R2 BDDefense; C:\WINDOWS\System32\drivers\BDDefense.sys [123720 2014-09-23] (Baidu)
2017-08-04 11:41 - 2017-08-04 11:41 - 000000211 _____ C:\Documents and Settings\Admin\Рабочий стол\Искать в Интернете.url
2017-07-25 13:02 - 2017-07-25 13:02 - 006220854 _____ C:\Documents and Settings\Admin\Application Data\2995A01B2995A01B.bmp
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README9.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README8.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README7.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README6.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README5.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README4.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README3.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README2.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README10.txt
2017-07-25 13:02 - 2017-07-25 13:02 - 000004178 _____ C:\Documents and Settings\Admin\Рабочий стол\README1.txt
2017-07-24 17:48 - 2017-07-25 13:02 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README9.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README8.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README7.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README6.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README5.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README4.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README3.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README2.txt
2017-07-24 17:47 - 2017-07-24 17:47 - 000004178 _____ C:\README10.txt
2017-07-24 17:37 - 2017-08-01 14:48 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{039B2CA5-3B41-4D93-AD77-47D3293FC5CB}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.25.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{1423F872-3F7F-4E57-B621-8B1A9D49B448}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.27.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{2614C37E-2C78-4bfb-B7A6-E49B62B9CD9B}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.23.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{42481700-CF3C-4D05-8EC6-F9A1C57E8DC0}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{590C4387-5EBD-4D46-8A84-CD0BA2EF2856}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.30.3\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{5C8C2A98-6133-4EBA-BBCC-34D9EA01FC2E}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.1\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{78550997-5DEF-4A8A-BAF9-D5774E87AC98}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.13\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{793EE463-1304-471C-ADF1-68C2FFB01247}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.29.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.24.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29162}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Orbitum\Application\43.0.2357.174\delegate_execute.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A45426FB-E444-42B2-AA56-419F8FBEEC61}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.22.3\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{A54D478D-4F70-4F72-9A74-17C9986E35AB}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.21.165\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{BB6410D8-F879-4184-9C5C-6A02D16AE0B3}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{C3BC25C0-FCD3-4F01-AFDD-41373F017C9A}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.26.9\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{CA1073A2-5F3F-4445-8E5E-7109BDCEDDBE}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{CC182BE1-84CE-4A57-B85C-FD4BBDF78CB2}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.29.2\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.25.11\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D0D38C6E-BF64-4C42-840D-3E0019D9F7A6}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.28.15\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D236C998-BECE-472D-B939-541727B72AEF}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Updater\yupdate-executor.exe" => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{D5A55D2D-C59D-42C3-A5BF-4C08EEE74339}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{EB06378B-ABB6-4B3C-9B40-D488DD8A6E93}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.22.5\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{FB994D36-B312-46CE-A40B-CF63980641F9}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.21.111\psuser.dll => No File
CustomCLSID: HKU\S-1-5-21-1078081533-879983540-682003330-500_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> C:\Documents and Settings\Admin\Local Settings\Application Data\Google\Update\1.3.24.7\psuser.dll => No File
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:AAF237E7 [113]
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^hipl.lnk => C:\WINDOWS\pss\hipl.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^IMVU.lnk => C:\WINDOWS\pss\IMVU.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^OrbitumUpdate.lnk => C:\WINDOWS\pss\OrbitumUpdate.lnkStartup
MSCONFIG\startupfolder: C:^Documents and Settings^Admin^Главное меню^Программы^Автозагрузка^爱奇艺PPS.lnk => C:\WINDOWS\pss\爱奇艺PPS.lnkStartup
MSCONFIG\startupreg: couponriser => 
MSCONFIG\startupreg: QyClient => "C:\Program Files\IQIYI Video\LStyle\5.3.21.2676\QyClient.exe" autostart
DomainProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduSd.txt] => Enabled:百度杀毒安装程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe] => Enabled:百度杀毒服务程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSd.exe] => Enabled:百度杀毒主程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdTray.exe] => Enabled:百度杀毒托盘程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdUpdate.exe] => Enabled:百度杀毒更新程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdBugRpt.exe] => Enabled:百度杀毒BUG上报程序
DomainProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduAn.txt] => Enabled:百度卫士安装程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe] => Enabled:百度卫士服务程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAn.exe] => Enabled:百度卫士主程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe] => Enabled:百度卫士托盘程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnUpdate.exe] => Enabled:百度卫士更新程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnBugRpt.exe] => Enabled:百度卫士BUG上报程序
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\107\bddownloader.exe] => Enabled:百度高速下载器
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\Tencentdl.exe] => Enabled:腾讯产品下载组件
DomainProfile\AuthorizedApplications: [C:\Program Files\Common Files\Tencent\QQDownload\130\bugreport_xf.exe] => Enabled:腾讯产品下载组件Crash上报
DomainProfile\AuthorizedApplications: [C:\Program Files\Tencent\QQPCMgr\10.6.15950.224\QMAccountProtection.exe] => Enabled:????-???
StandardProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduSd.txt] => Enabled:百度杀毒安装程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdSvc.exe] => Enabled:百度杀毒服务程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSd.exe] => Enabled:百度杀毒主程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdTray.exe] => Enabled:百度杀毒托盘程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdUpdate.exe] => Enabled:百度杀毒更新程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduSd\1.8.0.1255\BaiduSdBugRpt.exe] => Enabled:百度杀毒BUG上报程序
StandardProfile\AuthorizedApplications: [C:\Program Files\BaiduEx\BaiduAn.txt] => Enabled:百度卫士安装程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe] => Enabled:百度卫士服务程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAn.exe] => Enabled:百度卫士主程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe] => Enabled:百度卫士托盘程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnUpdate.exe] => Enabled:百度卫士更新程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnBugRpt.exe] => Enabled:百度卫士BUG上报程序
StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\107\bddownloader.exe] => Enabled:百度高速下载器
StandardProfile\AuthorizedApplications: [C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe] => Enabled:百度高速下载器
StandardProfile\AuthorizedApplications: [C:\Documents and Settings\Admin\Local Settings\Application Data\MediaGet2\mediaget.exe] => Enabled:MediaGet
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание, что будет выполнена перезагрузка компьютера.

7 августа, 2017

Выкладываю Fixlog.txt

Fixlog.txt

7 августа, 2017

Сделайте лог AdwCleaner

7 августа, 2017

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

ссылка не работает скачал с оф сайта версию 6.047 (7 версия на хр не хочет запускаться)

AdwCleanerS0.txt

7 августа, 2017

Удалите в AdwCleaner все найденное

8 августа, 2017

После нескольких прогонов все вычистил.

8 августа, 2017

Мусор почистили.

С расшифровкой помочь не сможем

8 августа, 2017

0_o т.е. это не исправить? зачем мы тогда это делали?))) проще было полное форматирование сделать) а так получил вылеченную винду и кучу потерянной информации((

8 августа, 2017

Всегда умиляли пострадавшие, которые в названии раздела видят слово "расшифровка". Наша первоочередная задача - избавить пользователей от следов вирусов, как активных, так и неактивных. В тех случаях, когда расшифровка возможна, ее предоставляют

9 августа, 2017

Огромное спасибо и на этом за ваши старания

ransom.shade шифровальщик с расширением crypted000007 от Novikov.Vavila@gmail.com

Рекомендуемые сообщения

Shikovets

thyrex

Shikovets

thyrex

Shikovets

thyrex

Shikovets

thyrex

Shikovets

thyrex

Shikovets

thyrex

Shikovets

thyrex

Shikovets

Пожалуйста, войдите, чтобы комментировать

Похожий контент

Обзор

Активность

Магазин

Kaspersky Support Forum