Перейти к содержанию

Замена почти любого скаченного файла архивом

Koshka_Mry
 Share

Рекомендуемые сообщения

Koshka_Mry Новичок

Koshka_Mry

Опубликовано
Опубликовано

Здравствуйте, мой пк заразился вирусом описанным в этих темах: https://forum.kasperskyclub.ru/index.php?showtopic=57618, https://forum.kasperskyclub.ru/index.php?showtopic=57602.

 

Строгое предупреждение от модератора Mark D. Pearlstone
Внимательно читайте правила раздела! Евгений Касперский не помогает вылечиться от вирусов и не оказывает помощь по продуктам.

CollectionLog-2017.11.12-16.32.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

CurrencyConvertor

MediaGet

PlusHD_1.02mV09.08

Кнопка "Яндекс" на панели задач

удалите через Установку программ

 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Игорь\appdata\roaming\svchost.exe','');
 QuarantineFile('C:\Users\Игорь\appdata\roaming\cppredistx86.exe','');
 QuarantineFile('C:\Program Files\rempl\remsh.exe','');
 QuarantineFile('C:\Users\D395~1\AppData\Roaming\curl\curl_7_54.exe','');
 QuarantineFile('C:\Users\Игорь\AppData\Roaming\CurrencyConvertor\ml.py','');
 DeleteService('webviewerprocontroller');
 DeleteService('UbarCalloutDriver');
 TerminateProcessByName('c:\users\Игорь\appdata\roaming\currencyconvertor\python\pythonw.exe');
 QuarantineFile('c:\users\Игорь\appdata\roaming\currencyconvertor\python\pythonw.exe','');
 DeleteFile('c:\users\Игорь\appdata\roaming\currencyconvertor\python\pythonw.exe','32');
 DeleteFile('C:\Users\Игорь\AppData\Roaming\CurrencyConvertor\python\unicodedata.pyd','32');
 DeleteFile('C:\Users\Игорь\AppData\Roaming\CurrencyConvertor\python\_ssl.pyd','32');
 DeleteFile('C:\Users\Игорь\AppData\Roaming\CurrencyConvertor\python\_ctypes.pyd','32');
 DeleteFile('C:\WINDOWS\system32\drivers\webviewprocontroller.sys','32');
 DeleteFile('C:\Users\D395~1\AppData\Roaming\SETUPS~1\ml.py','32');
 DeleteFile('C:\Users\D395~1\AppData\Roaming\SETUPS~1\python\pythonw.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','setupsk_upd');
 DeleteFile('C:\Users\Игорь\AppData\Roaming\CurrencyConvertor\ml.py','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CurrencyConvertor');
 DeleteFile('C:\WINDOWS\system32\Tasks\curl','64');
 DeleteFile('C:\Users\D395~1\AppData\Roaming\curl\curl_7_54.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\curls','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\CurrencyConvertor','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\CurrencyConvertor2','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\rempl\shell','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\rempl\shell-unlock','64');
 DeleteFile('C:\Program Files\rempl\remsh.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Phoenix Browser Updater','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Plugin Follow','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Sentry.7ASLP3Q4N23EBA7KZRND2RDC4A.logon','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Sentry.7ASLP3Q4N23EBA7KZRND2RDC4A.restart','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\setupsk_upd','64');
 DeleteFile('C:\Users\Игорь\appdata\roaming\cppredistx86.exe','32');
 DeleteFile('C:\Users\Игорь\appdata\roaming\svchost.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
Отправьте c:\quarantine.zip при помощи формы над первым сообщением темы или (если размер архива превышает 16 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Карантин прикреплять к сообщениям на данном форуме ЗАПРЕЩЕНО!!!

 

Пофиксите в HiJack из папки Autologger

O9-32 - Extra button: TSearch - HKLM\..\{03AE1B7B-A9E7-4D5A-9D34-89999C31B659} - (no file)
O17 - HKLM\System\CSS\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 52.56.51.39
O17 - HKLM\System\CSS\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 82.202.226.203
O17 - HKLM\System\CSS\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 52.56.51.39
O17 - HKLM\System\CSS\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 82.202.226.203
O17 - HKLM\System\CSS\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 52.56.51.39
O17 - HKLM\System\CSS\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 82.202.226.203
O17 - HKLM\System\CSS\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 192.168.0.1
O17 - HKLM\System\CSS\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 52.56.51.39
O17 - HKLM\System\CSS\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 52.56.51.39
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{307969ed-5312-4493-9593-f5fcebe231ee}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 52.56.51.39
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{3ac6a0f9-466b-42d7-916e-bb6b61cd3b94}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 52.56.51.39
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{b0e4f46f-9ea0-4dc6-9b79-5282871a6833}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 192.168.0.1
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 52.56.51.39
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{c1be6172-82d9-4cdc-b972-4044e15bc2bf}: NameServer = 82.202.226.203
Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Отвечать в теме лучше только после выполнения рекомендации полностью, а для благодарности есть соответствующая кнопка.

 

Ждем новые логи после выполнения скрипта и фикса.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • raviloli
      Перестало выводиться изображение на монитор после замены термопасты
      От raviloli
      Вообщем, поменял термопасту, снял процессор, все сделал, поставил обратно - пк не запустился, бп ушел в защиту, разобрал, оказывается я поставил процессор наоборот, поставил уже правильно - пк стартанул, кулеры закрутились - но изображения нет, все перепробывал, переставлял оперативку местами, вытаскивал батарейку cmos, продул все слоты от пыли и т.д, вообщем, буквально все проверил - 0 результата, причем процессор греется а по звуку слышно, как запускается винда, но изображения все так же нет. Мог ли я сломать сокет или погнуть какую нибудь ножку ответственную за вывод изображения на монитор? Или еще что угробил? Видеокарту не трогал вообще, навряд ли с ней что то, но проверить без нее не могу, другой видеокарты нет, а процц без встройки, монитор тоже проверял, ставил другой - так же безрезультатно.
      Забыл упомянуть, сокет LGA 1700, проц 12100F
    • Gistap
      Два файла Dwm.exe
      От Gistap
      Когда я включаю пк у меня он начинает сильно шуметь и проц грузиться очень сильно, и грееться до 70 градусов на рабочем столе. Когда я открываю диспетчер задач до 2 dwm.exe который походу майнер снижает моментально нагрузку с цп, но его задачу можно снять и он не будет грузить систему будет только 1 dwm.exe файл. И ещё у того dwm exe который грузит цп путь такой же как и у оригинального, что мне в этом случае делать я уже всё антивирусы перепробовал и в безопасном режиме их прогонял что только я не делал, не должен же себя так вести себя dwm exe почему когда я открываю диспетчер задач нагрузка моментально падает это же не нормально. Я думал что это майнер, антивирусы находили трояны я их удалял в безопасном режиме. Почему их воопще 2 может эта ошибка системы?

    • Azward
      Зашифровались файлы hop_dec
      От Azward
      Добрый день! 
      Зашифровались все файлы на рабочей машине. В том числе 1с базы.
      [MJ-CR7920861453](decodehop@gmail.com )   Все файлы с таким расширением.
      Отправил во вложении Архив с файлом, и логи FRST
      Надеемся на вашу помощь. Стоял касперский Small office security. Не помог. Сейчас вовсе исчез.
      virus.rar Addition.txt FRST.txt
    • gin
      Помощь в расшифровке файлов
      От gin
      Добрый день! Просьба помочь расшифровать файлы
      логи FRST.zip записка.zip примеры файлов.zip
    • Andrei Butyrchyk
      Зашифрованы файлы с расширением .mammn
      От Andrei Butyrchyk
      Здравствуйте!
      Отработал на машине шифровальщик. До конца отработать, по всей видимости, не успел так как нет записки и не все файлы были зашифрованы.
      Есть папки с RSADecryptKey и предположительно сам файл шифровальщик.
      FRST.zip EncryptedFiles.zip
×
×
  • Создать...