Решена шифровальщик email-anton_ivanov34@aol.com.ver... прошу помочь

Seliy · 10 Дек 2015

Добрый день. На компьютер пропустили шифровальщик, все файлы стали иметь имя email-anton_ivanov34@aol.com.ver...
заранее благодарю.

Кирилл · 16 Дек 2015

Здравствуйте.
Удалите через установку и удаление программ:
TSearch

Браузер амиго,ДругВокруг и программы от iobit ваше?

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

Код:

-[HTTP] "C:\Documents and Settings\Admin\Рабочий стол\Поиcк в Интeрнете.lnk"     -> ["(Internet Explorer)"  =>> hxxp://go-search.ru/?utm_source=desktop]
>>> [CMD][MASK][h][s] "C:\Documents and Settings\Admin\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk"  -> ["C:\WINDOWS\system32\cmd.exe"  =>>  /c start "" "hxxp://idrin.ru/?utm_source=startlink03&utm_term=7EE65F5E4149BA984A81C436A39082CC"]

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Seliy · 16 Дек 2015

Koza Nozdri написал(а):
Браузер амиго,ДругВокруг и программы от iobit ваше?

нет. можно удалить?

Кирилл · 16 Дек 2015

Seliy написал(а):
можно удалить?

Удалим,жду отчеты.

Seliy · 16 Дек 2015

Прошу извинить за задержку.

Кирилл · 20 Дек 2015

- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

Повторите сканирование и прикрепите новый лог.

Seliy · 21 Дек 2015

прошу извинить за задержку, вынужден был отъехать.

Кирилл · 24 Дек 2015

Удалите через установку и удаление программ:
Kino-Filmov.Net Toolbar
Software Updater
Амиго

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Program Files\Torrent Search\IEEF\azN0cjdkAN_R.dll', '');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Application Data\Amigo\Application\amigo.exe', '');
QuarantineFileF('C:\Program Files\Kino-Filmov.Net', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('C:\Documents and Settings\Admin\Application Data\WindowsUpdater', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('C:\Documents and Settings\Admin\Application Data\MyDesktop', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('C:\Documents and Settings\Admin\Application Data\PriceGong', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('C:\Program Files\Torrent Search', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFile('C:\Documents and Settings\Admin\Application Data\ДругВокруг\drugvokrug.exe', '');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\MyDesktop\qweeeCL.exe', '');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\MyDesktop\qweeeCL.exe ', '');
DeleteFile('C:\Documents and Settings\Admin\Application Data\MyDesktop\qweeeCL.exe ', '32');
DeleteFile('C:\Documents and Settings\Admin\Application Data\MyDesktop\qweeeCL.exe', '32');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ДругВокруг\drugvokrug.exe', '32');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\Amigo\Application\amigo.exe', '32');
DeleteFile('C:\Program Files\Torrent Search\IEEF\azN0cjdkAN_R.dll', '32');
DeleteFileMask('C:\Program Files\Kino-Filmov.Net', '*', true);
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\WindowsUpdater', '*', true);
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\MyDesktop', '*', true);
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\PriceGong', '*', true);
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\ДругВокруг', '*', true);
DeleteFileMask('C:\Documents and Settings\Admin\Local Settings\Application Data\Amigo', '*', true);
DeleteFileMask('C:\Program Files\Torrent Search', '*', true);
DeleteDirectory('C:\Program Files\Kino-Filmov.Net');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\WindowsUpdater');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\MyDesktop');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\PriceGong');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\ДругВокруг');
DeleteDirectory('C:\Documents and Settings\Admin\Local Settings\Application Data\Amigo');
DeleteDirectory('C:\Program Files\Torrent Search');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DrugVokrug', 'command');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'MyDesktop');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kmbofwclhj', 'command');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

Seliy · 24 Дек 2015

так и не понял, ушел отчет по форме Отправка файлов в антивирусные лаборатории , или нет. сначала вроде выплыло окно - ждите ответа от консультанта, а потом снова вернулась в неотправленное состояние с заполненными полями и выдало сообщение см. файл Screenhot_217.jpg

Кирилл · 26 Дек 2015

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-1708537768-507921405-1417001333-500_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29161}\localserver32 -> "C:\Documents and Settings\Admin\Local Settings\Application Data\Amigo\Application\44.0.2403.111\del (the data entry has 29 more characters).
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
C:\Documents and Settings\Admin\Local Settings\Temp\9aeFL7HMSNuo.exe
C:\Documents and Settings\Admin\Local Settings\Temp\AdvancedPCCareSetup.exe
C:\Documents and Settings\Admin\Local Settings\Temp\AmbZqXn3hyCN.exe
C:\Documents and Settings\Admin\Local Settings\Temp\AmigoDistrib.exe
C:\Documents and Settings\Admin\Local Settings\Temp\amigo_setup.exe
C:\Documents and Settings\Admin\Local Settings\Temp\eDwsBGdG1YJy.exe
C:\Documents and Settings\Admin\Local Settings\Temp\fyBVuan4l1Vr.exe
C:\Documents and Settings\Admin\Local Settings\Temp\jbu4KdZixWuU.exe
C:\Documents and Settings\Admin\Local Settings\Temp\jZ2hdWXHiIPs.exe
C:\Documents and Settings\Admin\Local Settings\Temp\kqh5o2tiJPM8.exe
C:\Documents and Settings\Admin\Local Settings\Temp\kSMIOKnEdGGf.exe
C:\Documents and Settings\Admin\Local Settings\Temp\PMbp3w3kZbbT.exe
C:\Documents and Settings\Admin\Local Settings\Temp\qweeeCL.exe
C:\Documents and Settings\Admin\Local Settings\Temp\S1EjM7QCbGnM.exe
C:\Documents and Settings\Admin\Local Settings\Temp\Uninstall.exe
C:\Documents and Settings\Admin\Local Settings\Temp\xvAGfAm6FXKa.exe
C:\Documents and Settings\Admin\Local Settings\Temp\yKpDzLy76PXt.exe
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kmbofwclhj]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DrugVokrug]
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.

Пожалуйста, запустите adwcleaner.exe
Нажмите Uninstall (Деинсталлировать).
Подтвердите удаление нажав кнопку: Да.

Подробнее читайте в этом руководстве.

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

Подробнее читайте в этом разделе форума поддержки утилиты.

Обратитесь так же в этот раздел по вопросу расшифровки:
Помощь в расшифровке файлов

Seliy · 28 Дек 2015

Благодарю за помощь! С наступающим!

Кирилл · 29 Дек 2015

MarketResearch ваше?

Seliy · 29 Дек 2015

Koza Nozdri написал(а):
MarketResearch ваше?

нет.

Кирилл · 29 Дек 2015

У вас установлено безымянное расширение для оперы

Код:

C:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\nnmpgbpdmjdgadaagohenfbkjccheigj

Ваше или нет?

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
Folder: C:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\nnmpgbpdmjdgadaagohenfbkjccheigj
Folder: C:\Program Files\1C
Folder: C:\Documents and Settings\Admin\Application Data\03000200-1426867613-0500-0006-000700080009
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите , запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Seliy · 30 Дек 2015

безымянное расширение для оперы - не мое.

Кирилл · 30 Дек 2015

Seliy написал(а):
безымянное расширение для оперы - не мое.

Оно от adware,удалите папку
C:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\nnmpgbpdmjdgadaagohenfbkjccheigj
и расширение из браузера,если таковое будет иметься.
Папка C:\Program Files\1C ваша? если содержимое вам не знакомо,то удалите вместе с папкой

Системный диск: C: ФС: [NTFS] Емкость: [29.3 Гб] Занято: [16.7 Гб] Свободно: [12.6 Гб]

Маловато места.

Исправьте:

Internet Explorer 8.0.6001.18702 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Java(TM) 6 Update 18 v.6.0.180 Внимание! Скачать обновления Внимание! Данная версия содержит уязвимость нулевого дня! Рекомендуется деинсталлировать Java версий 6 и 7, скачать и установить Java 8
^Если Ваша система не поддерживает Java 8, удалите старую версию и скачайте по ссылке выше (jre-7u80-windows-i586.exe). Желательно отключить Java-плагин в браузере!!!^

Adobe Reader 7.0.5 v.7.0.5 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^

The Bat! v5.0.20.1 Русская Версия v.5.0.20.1 Внимание! Скачать обновления

Выполните рекомендации после лечения.

Удалите папку c:\frst

Далее продолжайте в разделе по расшифровке файлов.

Решена шифровальщик email-anton_ivanov34@aol.com.ver... прошу помочь

Seliy

Новый пользователь

Вложения

Кирилл

Seliy

Новый пользователь

Кирилл

Seliy

Новый пользователь

Вложения

Кирилл

Seliy

Новый пользователь

Вложения

Кирилл

Seliy

Новый пользователь

Вложения

Кирилл

Seliy

Новый пользователь

Вложения

Кирилл

Seliy

Новый пользователь

Кирилл

Seliy

Новый пользователь

Вложения

Кирилл

Похожие темы