Решена Помогите пожалуйста с вирусом шифровальщик iizomer@aol.com

Иван7777777 · 21 Апр 2016

Помогите пожалуйста с вирусом шифровальщик iizomer@aol.com

regist · 21 Апр 2016

Иван7777777 · 21 Апр 2016

Забыл логи скинуть

regist · 21 Апр 2016

Удалите папку с AutoLogger-ом, скачайте заново обычную версию из ресурсов (не PIF) и переделайте логи. В той версии почему-то старый AVZ, сейчас буду разбираться почему он автоматом не обновился.

Иван7777777 · 21 Апр 2016

Принято, сделал.
Спасибо.

regist · 21 Апр 2016

Здравствуйте!

1) Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

Запустите AVZ.
Выполните обновление баз (Меню Файл - Обновление баз)
Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
Закачайте полученный архив, как описано на этой странице.
Если размер архива превышает 100 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: RGhost, Zippyshare, My-Files.RU, karelia.ru, Ge.tt или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.

2)

INI:

> Chrome Search [2015/06/10 22:11:36]-->cmd.exe /c move/y %WinDir%\system32\GroupPolicy\Machine\Registry.pol %WinDir%\system32\GroupPolicy\Machine\Registry.pol.old & move/y %WinDir%\system32\GroupPolicy\Machine\Registry.pol.bak %WinDir%\system32\GroupPolicy\Machine\Registry.pol & gpupdate.exe /force & reg.exe DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{2AEF02C3-5159-4C81-A688-8D954F0DEE56}_NewSearch /f & start "" "http://spacesearch.ru/?ri=1&rsid=34ff69fe3e783c695fd00624b96bfa1a&q=&uninstall=1"
AnySend [2015/05/27 19:47:40]-->"C:\Users\860182\AppData\Roaming\ASPackage\Uninstall.exe"
DNS Unlocker version 1.4 [20151015]-->"C:\Program Files (x86)\DNS Unlocker\unins000.exe"
GamesDesktop 033.254 [20150527]-->"C:\Program Files (x86)\gmsd_ru_254\unins000.exe"
SmartWeb [2015/05/27 19:47:53]-->C:\Users\860182\AppData\Local\SmartWeb\__u.exe _?=C:\Users\860182\AppData\Local\SmartWeb
Time tasks [2015/05/27 19:36:59]-->"C:\ProgramData\TimeTasks\uninstall.exe"

это вирусные программы, обязательно их удалите.

INI:

Surfing Protection [20150527]-->"C:\Program Files (x86)\IObit\Surfing Protection\unins000.exe"

тоже советую удалить.

3) Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\SxypUtvlzGpBcDbDkkdr.exe', '');
QuarantineFile('C:\PROGRA~3\2c5b5d38\119d25af.dll', '');
QuarantineFile('C:\autorun.inf', '');
QuarantineFileF('C:\Users\860182\appdata\roaming\aspackage\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files (x86)\CinemaPlus-3.2cV22.04\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\Windows\Tasks\SxypUtvlzGpBcDbDkkdr.job', '64');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
DeleteFile('C:\Users\860182\AppData\Roaming\SxypUtvlzGpBcDbDkkdr.exe', '32');
DeleteFile('C:\PROGRA~3\2c5b5d38\119d25af.dll', '32');
ExecuteFile('schtasks.exe', '/delete /TN "SxypUtvlzGpBcDbDkkdr" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{68CACBFF-D433-A8FF-1E87-B8C86A9C7D1B}" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "5e268201-1543-42ba-a15b-7ac04c4823a0-1-7" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "5e268201-1543-42ba-a15b-7ac04c4823a0-10_user" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "5e268201-1543-42ba-a15b-7ac04c4823a0-3" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "5e268201-1543-42ba-a15b-7ac04c4823a0-5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "5e268201-1543-42ba-a15b-7ac04c4823a0-5_user" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Driver Booster SkipUAC (860182)" /F', 0, 15000, true);
DeleteFileMask('C:\Program Files (x86)\CinemaPlus-3.2cV22.04\', '*', true);
DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
DeleteDirectory('C:\Program Files (x86)\CinemaPlus-3.2cV22.04\');
DeleteDirectory('c:\program files (x86)\zaxar');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Интернет браузер Phоеniх.lnk', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Оpеrа.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Puntо Switсhеr.lnk', '');
QuarantineFile('C:\launcher.bat', '');
QuarantineFile('C:\Program Files (x86)\punto.bat', '');
DeleteFile('C:\launcher.bat', '');
DeleteFile('C:\Program Files (x86)\punto.bat', '');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ZaxarGameBrowser');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ZaxarLoader');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(2);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

после выполнения скрипта компьютер перезагрузится.

4) Файл quarantine.zip из папки AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

5) Профиксите в HijackThis

Код:

O17 - HKLM\System\CCS\Services\Tcpip\..\{9A55A558-FC48-4A2A-AC5B-FE310BC5C901}: NameServer = 82.163.142.7 95.211.158.134
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 82.163.142.7 95.211.158.134
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 82.163.142.7 95.211.158.134
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 82.163.142.7 95.211.158.134
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 82.163.142.7 95.211.158.134
O17 - HKLM\System\CS4\Services\Tcpip\Parameters: NameServer = 82.163.142.7 95.211.158.134

6) - Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

Код:

C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Интернет браузер Phоеniх.lnk
C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk
C:\Users\Public\Desktop\Оpеrа.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Puntо Switсhеr.lnk
C:\Users\860182\AppData\Local\SmartWeb\uninst.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iTunes\О программе iTunes.lnk

7) Сделайте аппаратный сброс настроек роутера на заводские, введите правильные настройки, смените пароль на роутере, очистите куки и кэш браузеров.

8) Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

PS. похоже вы долго собирали эту коллекцию малвари

.

Иван7777777 · 22 Апр 2016

Судя по всему собрал!!! :Shok:

Спасибо, буду сейчас проделывать работу, по Вашим рекомендациям!

regist · 22 Апр 2016

+ к написанному выше.

Программы/расширения от Mail.ru используете?

+

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Иван7777777 · 22 Апр 2016

Понял, еще раз спасибо!

Иван7777777 · 22 Апр 2016

Добрый день!
Проделал все рекомендованное Вами, файлы прикрепляю.
Спасибо.

regist · 22 Апр 2016

не ответили

regist написал(а):
Программы/расширения от Mail.ru используете?

карантина также не вижу, присылали?

Иван7777777 · 22 Апр 2016

Прошу прощения забыл ответить, программы\расширения использую от mail.ru.
А карантин высылал по форме, могу продублировать на почту.

regist · 22 Апр 2016

1)

INI:

HomePageDefender [2016/04/22 00:44:48]-->C:\Program Files (x86)\HomePageDefender\uninstaller.exe
Time tasks [2015/05/27 19:36:59]-->"C:\ProgramData\TimeTasks\uninstall.exe"

деинсталируйте.

2) MusaLLaT.exe - вам знакомо?

3) Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Оpеrа (2).lnk', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Оpеrа (3).lnk', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Оpеrа.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Opera.LNK', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.LNK', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Интернет браузер Phoenix.LNK', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.LNK', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехplоrеr.lnk', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr.lnk', '');
QuarantineFile('C:\Users\860182\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk', '');
QuarantineFileF('c:\program files (x86)\homepagedefender\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DeleteFileMask('c:\program files (x86)\homepagedefender\', '*', true);
DeleteDirectory('c:\program files (x86)\homepagedefender\');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

после выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

4)

Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать").

По окончанию сканирования снимите галочки со следующих строк:

Код:

Папка Найдено : C:\ProgramData\Mail.Ru
Папка Найдено : C:\ProgramData\Application Data\Mail.Ru
Папка Найдено : C:\Users\860182\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\860182\AppData\Local\MailRu
Файл Найдено : C:\Users\860182\Favorites\Mail.Ru.url
Файл Найдено : C:\Users\860182\Favorites\Mail.Ru Агент - используй для общения!.url
Ключ Найдено : HKCU\Software\Mail.Ru
Ключ Найдено : HKCU\Software\Amigo
Ключ Найдено : HKCU\Software\AppDataLow\Software\Mail.Ru
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\MailRuUpdater
Ключ Найдено : HKU\S-1-5-21-4213456350-2095932283-1828526418-1000\Software\Mail.Ru
Ключ Найдено : HKU\S-1-5-21-4213456350-2095932283-1828526418-1000\Software\Amigo
Ключ Найдено : HKU\S-1-5-21-4213456350-2095932283-1828526418-1000\Software\AppDataLow\Software\Mail.Ru
Ключ Найдено : HKU\S-1-5-21-4213456350-2095932283-1828526418-1000\Software\Microsoft\Windows\CurrentVersion\Uninstall\MailRuUpdater
Параметр Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Run [MailRuUpdater]
Параметр Найдено : HKU\S-1-5-21-4213456350-2095932283-1828526418-1000\Software\Microsoft\Windows\CurrentVersion\Run [MailRuUpdater]

Нажмите кнопку "Clean" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

5) - Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

6) Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Иван7777777 · 22 Апр 2016

Понял, сейчас буду делать.
Спасибо.
MusaLLaT.exe нет, не знаю что это.
Пересылаю файлы с отчетами.

regist · 23 Апр 2016

Иван7777777 написал(а):
MusaLLaT.exe нет, не знаю что это.

поищите его в корне диска С если там нет, то попробуйте через поиск. А потом пришлите в карантин по этой инструкции.

Иван7777777 написал(а):
AdwCleaner[S2].txt

Перечитайте внимательно. Не тот лог прислали.

Иван7777777 · 23 Апр 2016

Ссори!

regist · 23 Апр 2016

Сделайте свежий лог AdwCleaner-а.

И жду результатов по поиску MusaLLaT.exe

Иван7777777 · 23 Апр 2016

Понял, сейчас сделаю!
MusaLLaT.exe пока не могу найти ни в ручную ни через поиск, буду перерывать весь диск.
Спасибо.

regist · 23 Апр 2016

Ок, тогда ещё вручную удалите

Код:

C:\autorun.inf

именно он должен был запускать MusaLLaT.exe
Возможно exe в своё время удалил антивирус, а авторан в корне диска остался.

Иван7777777 · 23 Апр 2016

Готово.
Принято, сейчас сделаю.

Решена Помогите пожалуйста с вирусом шифровальщик iizomer@aol.com

Новый пользователь

гоняюсь за туманом

Новый пользователь

Вложения

гоняюсь за туманом

Новый пользователь

Вложения

гоняюсь за туманом

Новый пользователь

гоняюсь за туманом

Новый пользователь

Новый пользователь

Вложения

гоняюсь за туманом

Новый пользователь

гоняюсь за туманом

Новый пользователь

Вложения

гоняюсь за туманом

Новый пользователь

Вложения

гоняюсь за туманом

Новый пользователь

гоняюсь за туманом

Новый пользователь

Вложения