Шифровальщик combo (128)

[Hendehog]

Отправлено Вчера, 17:41

Здравствуйте.

У нас в локальной сети поселился шифровальщик. Шифрует с расширением .combo

Прочистил все компы cureit и KVRT , но они не нашли Dharma или Crysis.

Как и сказали в предыдущей темы буду создавать отдельную тему по каждому ПК.

На этом компе были выявлены разные вирксы

Комп пролечен.

Прошу сказать,пролечен ли он полностью,и этот ли комп является распространителем заразы combo?

Проблема в том,что не обнаружено ни одного компа на котором бы локально были зашифрованы файлы,только по сети зашифрованы.

Спасибо

 

CollectionLog-2018.10.09-10.43.zip

[SQ]

Здравствуйте,

 

HiJackThis (из каталога autologger)профиксить

Важно: необходимо отметить и профиксить только то, что указано ниже.

R0 - HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command: (default) = C:\Program Files\Internet Explorer\iexplore.exe http://www.istartsurf.com/?type=sc&ts=1424858418&from=face&uid=395049983_1052515_9B874409
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt: Закачать ВСЕ при помощи Download Master - (no file)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt: Закачать при помощи Download Master - (no file)
O9 - Button: HKLM\..\{8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no name) - (no file)
O13 - HKLM\..\URL: DefaultPrefix[] = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=904a261f6faa4e9ab62c5d838db0e673&text=

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

   

  

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

- Подготовьте лог AdwCleaner и приложите его в теме.

[Hendehog]

Прикрепляю

AdwCleanerS00.txt

ClearLNK-2018.10.10_14.47.27.log

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Hendehog]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

 

AdwCleanerC01.txt

[SQ]

- Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
  

 

[Hendehog]

Готово

Addition.txt

FRST.txt

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  CHR HKLM\...\Chrome\Extension: [ablpcikjmhamjanpibkccdmpoekjigja] - hxxp://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pfigaoamnncijbgomifamkmkidnnlikl] - hxxp://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-1459129975-4059760831-3796336173-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-1459129975-4059760831-3796336173-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-1459129975-4059760831-3796336173-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
  File: C:\ProgramData\HandSetService\HuaweiHiSuiteService.exe
  File: C:\Windows\system32\srvany.exe
  File: C:\Windows\System32\drivers\WinDivert32.sys
  File: C:\Users\Admin\AppData\Local\Temp\540751A2-7D6B8416-888F211C-FDD85AA4\d47115b03.sys
  File: C:\Users\Admin\AppData\Local\Temp\3C85B65E-E559BAD6-C5E9C941-E767F331\63c5a8dc5.sys
  File: C:\Program Files\IQIYI Video\LStyle\winio.sys
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1000_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{035FBE31-3755-450A-A775-5E6BBD43D344}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Local\Google\Update\1.3.21.135\psuser.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Local\Google\Update\1.3.25.5\psuser.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{19170A69-A883-40D5-AF97-F6DC41495F15}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{2D6BD2F0-5F84-4a06-924F-AEE0598B6272}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{33A431BB-FF15-4047-8FEC-F82FD3523A00}\localserver32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDisk.exe -autoplay => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{34700894-16CA-43a3-91E2-4A393296F164}\localserver32 -> "C:\Users\Admin\AppData\Local\Yandex\Updater2\u2-ctrl.exe" => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{444785F1-DE89-4295-863A-D46C3A781394}\InprocServer32 -> C:\Users\UpdatusUser\AppData\LocalLow\Unity\WebPlayer\loader\UnityWebPluginAX.ocx => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{61CED8F3-2CB2-4C3C-9484-7530E1127A58}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll => No File <==== ATTENTION
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{63D48440-63AB-44D0-B323-4731DFCDE9E9}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Local\Google\Update\1.3.24.15\psuser.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{97836AB9-12C5-4C30-A128-B75196DD1787}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29161}\localserver32 -> "C:\Users\Admin\AppData\Local\Amigo\Application\32.0.1709.113\delegate_execute.exe" => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{A45426FB-E444-42B2-AA56-419F8FBEEC61}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Local\Google\Update\1.3.22.3\psuser.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{AF8D197E-7022-4c3d-BD88-68AD35C9C169}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Local\Google\Update\1.3.25.11\psuser.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{D96C1D26-5CDF-4506-9244-57233C3984DF}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll => No File <==== ATTENTION
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{EB06378B-ABB6-4B3C-9B40-D488DD8A6E93}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Local\Google\Update\1.3.22.5\psuser.dll => No File
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{F3D0D36F-23F8-4682-A195-74C92B03D4AF-NOT}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll => No File <==== ATTENTION
  CustomCLSID: HKU\S-1-5-21-1459129975-4059760831-3796336173-1001_Classes\CLSID\{FB2FE984-05F5-4512-9D9B-69D3DE61F6D9}\InprocServer32 -> C:\Users\UpdatusUser\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
  ShellIconOverlayIdentifiers: [    YndCase0Sync] -> {63D48440-63AB-44D0-B323-4731DFCDE9E9} => C:\Users\Admin\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ShellIconOverlayIdentifiers: [    YndCase1Modified] -> {7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0} => C:\Users\Admin\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ShellIconOverlayIdentifiers: [    YndCase2Error] -> {FB2FE984-05F5-4512-9D9B-69D3DE61F6D9} => C:\Users\Admin\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ShellIconOverlayIdentifiers: [    YndCase3Shared] -> {AF8D197E-7022-4c3d-BD88-68AD35C9C169} => C:\Users\Admin\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ContextMenuHandlers1: [AIMP] -> {1F77B17B-F531-44DB-ACA4-76ABB5010A28} =>  -> No File
  ContextMenuHandlers1: [MRACMenu] -> {B495CAFE-D53F-408B-A081-0814BE80EB3E} =>  -> No File
  ContextMenuHandlers4: [AIMP] -> {1F77B17B-F531-44DB-ACA4-76ABB5010A28} =>  -> No File
  HKU\S-1-5-21-1459129975-4059760831-3796336173-1000\Software\Classes\batfile:  <==== ATTENTION
  HKU\S-1-5-21-1459129975-4059760831-3796336173-1000\Software\Classes\cmdfile:  <==== ATTENTION
  MSCONFIG\Services: bomujope => 2
  MSCONFIG\Services: hurygire => 2
  MSCONFIG\Services: tykeziro => 2
  File: C:\program files\magicplus\magicplus.exe
  File: C:\program files\dvrclient\dvrclient.exe
  Folder: C:\Program Files\XTab
  Reboot:
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Hendehog]

Держите

Fixlog.txt

[SQ]

Сообщите, что с проблемой?

[Hendehog]

Сообщите, что с проблемой?

Комп вроде стабильно работает,только ярлыки значки видеоизменены,и я не понимаю чем,в программа хи компонентах не вижу программы которая на это влияет.

[SQ]

Могли бы показать скрин?

[Hendehog]

Да конечно,вот 

[SQ]

Уточните пожалуйста, если зайти в свойства папки и в настройках сменить его на стандратный получается?

Также уточните пожалуйста, ярлыки изменились после выполнения FRST или это было ранее?

[Hendehog]

Уточните пожалуйста, если зайти в свойства папки и в настройках сменить его на стандратный получается?

 

Также уточните пожалуйста, ярлыки изменились после выполнения FRST или это было ранее?

Я в пуск - панель управления - параметры папок сбрасывал все по дефолту,толку нету.

Ярлыки были изменены до лечения в принципе.

Даже при ручной смене значка он не меняется,если ему указать картинку стандартную..

Я нахожу это странным просто.