Перейти к содержанию

вирус который меняет скачиваемые файлы из инета архивом


Surenaka

Рекомендуемые сообщения

Недавно заметил что при скачивание файлов из яндекс/гугл/mediafire ресурсов у меня скачивается архив 

ссылку на вирустотал архива - https://www.virustotal.com/ru/file/a9984223567fed08497e571a6bb7d8873bdab363f7f232201934af3ca5861546/analysis/1508964673/

имя архива archive-12-b2e.zip в нем находится сам вирус в формате exe

http://rgho.st/7t2xfgJcLвот ссылку на лог файл, просто у меня почему то не получилось загрузить файл простым способом

Изменено пользователем Surenaka
Ссылка на комментарий
Поделиться на другие сайты

у меня почему то не получается прикрепить лог-файл могу ли скинуть через какой нить файлообменник?

Ссылка на комментарий
Поделиться на другие сайты

Недавно заметил что при скачивание файлов из яндекс/гугл/mediafire ресурсов у меня скачивается архив 

ссылку на вирустотал архива - https://www.virustotal.com/ru/file/a9984223567fed08497e571a6bb7d8873bdab363f7f232201934af3ca5861546/analysis/1508964673/

имя архива archive-12-b2e.zip в нем находится сам вирус в формате exe

http://rgho.st/7t2xfgJcLвот ссылку на лог файл, просто у меня почему то не получилось загрузить файл простым способом

CollectionLog-2017.10.29-12.04.zip

Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ

begin
ExecuteFile('schtasks.exe', '/delete /TN "shell-unlock" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "shell" /F', 0, 15000, true);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Пофиксите в HiJack из папки Autologger

O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 35.177.46.238
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 35.177.46.238
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 82.202.226.203
Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.
  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ

begin
ExecuteFile('schtasks.exe', '/delete /TN "shell-unlock" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "shell" /F', 0, 15000, true);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Пофиксите в HiJack из папки Autologger

O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 35.177.46.238
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 35.177.46.238
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{62f0dd72-f39e-4fdb-a2c1-d0f8af50b5ae}: NameServer = 82.202.226.203
Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

 

сделал все как написано, проблема осталось

 

извините, проблема прошла, огромное спасибо вам за вашу отзывчивость и за профессиональность, как я понял если вдруг вирус вернется повторить те же действие?

CollectionLog-2017.10.29-13.39.zip

Ссылка на комментарий
Поделиться на другие сайты

как я понял если вдруг вирус вернется повторить те же действие?

Причина может оказаться в другом. Потому лучше обращаться с новыми логами.

 

Загрузите SecurityCheck by glax24 и сохраните утилиту на Рабочем столе.

  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Процитируйте содержимое файла в своем следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Kemel
      От Kemel
      Your ID: EBF7F3B5F6C0398D
      If you want your files back, contact us at the email addresses shown below.
      Frank1850@mailum.com
      Frank1850@firemail.de
      ((*** Your ID must be included in the subject line of your email or we WILL NOT answer ***))
      This notification shows that your system has been hacked.
      Your files have not been damaged or infected by viruses; they are just locked with the Frank suffix.
      We saved your data on our servers,
      and if you don't contact us, we'll extract your sensitive information and put it on the darknet, where anybody can view it.
      We have no political goals and are not trying to harm your reputation.
      This is our business. Money and our reputation are the only things that matter to us.
      There is no software or company on the internet that can recover your locked files; we are the only ones who can help you.
      Do Not Change These Locked Files; if you want to do it anyway, make a backup of your files first.
      Frank_Help.txt Зашифрованные файлы.rar
    • MaximLem
      От MaximLem
      Здравствуйте, хотел бы обратиться за помощью в связи с ситуацией с вирусами на компьютере. Честно говоря, не знаю точно после чего эти вирусы появились., находятся они в разделе "Разрешённые угрозы". Логи и скриншот прикрепил
    • specxpilot
      От specxpilot
      Текст сообщения 
      !!!Your files have been encrypted!!!
      To recover them, please contact us via email:
      Write the ID in the email subject
      ID: E3EA701E87735CC1E8DD980E923F89D4
      Email 1: Datablack0068@gmail.com
      Email 2: Datablack0068@cyberfear.com
      Telegram: @Datablack0068

      To ensure decryption you can send 1-2 files (less than 1MB) we will decrypt it for free.
      IF 48 HOURS PASS WITHOUT YOUR ATTENTION, BRACE YOURSELF FOR A DOUBLED PRICE.
      WE DON'T PLAY AROUND HERE, TAKE THE HOURS SERIOUSLY.
    • dext
      От dext
      вчера было все нормально, но сегодня вечером заметил что с пк что-то не так и через доктор веб проверил, было 3 вируса log4j, ещё вирус с торрентом и там ещё один вирус, почистил всё, и потом приходит уведомления от майкрософта дефендерс, я пытался удалить но, я тупо не нашел эти файлы, или удалил их, но пишет все равно эту фигню, и пк все равно не очень работает хорошо, 16 гб оперативы у пк, и я ещё заметил только что, что Log4j не удалился, помогите
       



    • Freudis
      От Freudis
      После недавно установленного zip файла компьютер начал тупить, нагреваться и шуметь. Данный файл не запрашивал права администратора да и сам файл я не запускал. Проверял компьютер куреитами, ничего не нашли. Один касперский обнаружил 1 файл, но этот файл был под именем систем файла, точный файл не знаю, но в процессе лечения после перезагрузки я решил открыть диспетчер задач, выявило ошибку "нет доступа или администратор запретил доступ". Решил запустить хоть гугл, та же ошибка. Перевзловнованный выдернул из розетки включатель компьютера, доступ ко всему вернулся, касперский ничего не сделал, но после этого компьютер начал нагреваться и в один момент очень сильно зашумел, я начал подозревать что есть вирусы под именем системных файлов, ведь зная касперский, лишь он нашёл 1 вирус и именно при его удалении с перезагрузкой доступ пропал к приложениям. Перерыл интернет, ноль информации. Но и заканчивать работу каких нибудь svchost.exe или подобное я очень боюсь. Решил обратиться за помощью к единственному кто нашёл этот вирус. Помогите, пожалуйста.
      У меня windows 10
       
×
×
  • Создать...