Вирус .INFOWAIT

[Chenter]

Вирус переименовал документы, фото, и многие другие файлы, в имени файла, после расширения добавлено ".INFOWAIT", во всех пораженных папках появился файл !readme.txt в котором содержится текст с требованием отправить 290$ для расшифровки файлов. Проблема возникла в момент когда пересматривал фото которые хранятся на диске D, и вообще по инету не лазил. Связываю это с тем что дня за 3 до этого, днем, искал в сети софт, все работало нормально, вечером того же дня, когда работал в екселе, начали запускаться какие-то программы непонятные, понял что подхватил вирус, выключил wifi и примерно за 20 минут нашел и удалил все, по крайней мере я так решил, что устанавливалось, включил wifi перезагрузил ноут, новой активности подозрительной и левых процессов не обнаружил, и подумал что все ок, проверку системы не делал, надо было быстро закончить работу, подумал что потом проверю, и конечно забыл... Отчет программы AutoLogger во вложении.

Почему-то сразу не прикрепился файл.

CollectionLog-2018.11.19-10.30.zip

CollectionLog-2018.11.19-10.30.zip

[thyrex]

Скорее всего расшифровки нет. Будет только зачистка мусора.

 

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelBHO('{14D0AD49-F627-4E41-93CA-E9A444EE8B22}');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\2192675','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\3029828','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\5399405','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\8832232','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\D1JHKMNDGBRQ2OS','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GGDVFVELFSH67J9','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\HBW53N7FEVUNQT7','x64');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZL5E98X9X6U8ZQ9','x64');
 DeleteFile('C:\Program Files (x86)\IwTmDCzJJIE\kYJpSopz.dll','32');
 DeleteSchedulerTask('EGDwIDfrVjLvW2');
 DeleteFile('C:\Program Files (x86)\eEvEEOxmU\RZfaeV.dll','64');
 DeleteFile('C:\Program Files (x86)\pbjpUXEkQjxU2\LRjZcfOalePVb.dll','64');
 DeleteFile('C:\Program Files (x86)\BHXQvOBMsgKdEntstUR\RDJpyIC.dll','64');
 DeleteFile('C:\Program Files (x86)\UmTwpSvRUOfSC\KiCHFno.dll','64');
 DeleteSchedulerTask('yKlRUxrwnsuFpeUeBWz2');
 DeleteSchedulerTask('qdxgajDnKqmDPrtzQ2');
 DeleteSchedulerTask('OqUgsIhoyVOixP');
 DeleteSchedulerTask('niYEcWwYibJfLQX2');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[Chenter]

Спасибо, раз вероятность расшифровки невелика буду форматировать винт и переустанавливать винду. После проверки, и чистки, утилитой KVRT новые файлы не шифруются.