Инфектиран съм с някакъв крипто вирус, моля за помощ!

Цитат

!RecoveR!-dsbbo++.HTML

!RecoveR!-dsbbo++.PNG

!RecoveR!-dsbbo++.TXT

 

 

Addition.txt

FRST.txt

Това прилича на TeslaCrypt, но гледам вече сте опитали с TeslaDecoder:

2016-05-21 17:51 - 2016-05-21 17:51 - 00000000 ____D C:\Users\bibi i ivo\Desktop\TeslaDecoder
2016-05-21 17:50 - 2016-05-21 17:50 - 01394065 _____ C:\Users\bibi i ivo\Desktop\TeslaDecoder.zip

Не се ли получи? Авторите на TeslaCrypt вече спряха заразата и предоставиха ключ за декриптиране на файловете така че, инструментите за декриптирането на заразара са обновени да се справят с последните и версии.

Опитайте с инструмента на ESET:

http://support.eset.com/kb6051/?viewlocale=en_US

След това ще чистим остатъците ако се получи!

Поздрави!

С много малки изключения всичко се възстанови, но има прекалено много файлове за триене от вида:

Цитат

20141117_142233.jpg.backup_by_eset
 (Official Video HD).mp4.backup_1_by_eset
4D47F3713C02.bmp
4D47F3713C02.html
4D47F3713C02.txt
!RecoveR!-dsbbo++.HTML.crypt
!RecoveR!-dsbbo++.PNG
!RecoveR!-dsbbo++.TXT.crypt
DSCF3447.JPG.backup_1_by_eset
photothumb.db.crypt
Нов текстов документ.txt.backup_1_by_eset

Добавям и лога от Eset декриптора за дял Д, за Ц се е презаписал и е чист.

Благодаря за помощта, но ако има начин да ми напишете и скрипт за изтриване на дублиращите се файлове.

 

ESETTeslaCryptDecryptor.exe_20160522.130939.1504.log

Здравейте,

Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

След това пишете как е положението!

Поздрави!

Мисля, че всичко е ок.

Позволих си да добавя в скрипта изчистване и на дял Д от същите файлове.

И отново благодаря!

Fixlog.txt

Преди да приключим нека да проверим за остатъци, защото в логовете си видяха и остатъци от Necurs рууткит и от троянеца Rozena, които почистихме, но за всеки случай:

 

СТЪПКА 1

 

Моля изтеглете Malwarebytes Anti-Malware 2.2.1.1043 Final и я запазете на вашия десктоп.

• Стартирайте файла mbam-setup-2.2.1.1043.exe и следвайте указанията за да инсталирате програмата.
• След като инсталацията приключи се уверете че сте сложили отметка пред:
• Launch Malwarebytes Anti-Malware
• Отметката активираща пробния 14 дневен период също е маркиран по-подразбиране. Ако не желаете да тествате защитата в реално време на програмата през следващите 14 дни тогава премахнете отметката. Т.е. премахнете първата отметка:

• Натиснете бутона Finish.
• Отидете до табът Settings > Detection and Protection > и под категорията Detection Options включете опцията "Scan for rootkits".
• Отидете до табът Scan, сложете радио-бутона пред Threat Scan и след това натиснете бутона Scan Now >> . Ако е намерена актуализация тогава натиснете бутона Update Now.
• Ще започне проверка за зловреден софтуер.
• При някои инфекции можете да видите съобщението:
• "Could not load DDA driver"
• Натиснете "Yes" на това съобщение за да позволите драйвера да се зареди след рестарт.
• Разрешете на компютъра да се рестартира и след това продължете с останалите инструкции.
• След като проверката приключи натиснете бутона Apply Actions.
• Изчакайте да се появи прозореца подканващ ви да рестартирате и след това натиснете бутона Yes.
• След рестарта, когато се появи десктопа MBAM ще се зареди още веднъж.
• Отидете то табът History > Application Logs.

• Отворете рапорта с последната дата и час и натиснете бутона "Copy to Clipboard"
• Сега вече поставете съдържанието на лог файла с клавишната комбинация Ctrl + V и го публикувайте в следващия си коментар.

 

СТЪПКА 2

 

1.Изтеглете Hitman Pro.

За 32-битова система - .
За 64-битова система -

2.Стартирайте програмата.
3.След като сте стартирали програмата като кликнете върху иконата и натиснете бутона „Напред“ като се съгласите с лицензионното споразумение (EULA).

4.Сложете отметка пред "Не, искам да завърша еднократно сканиране на компютъра".

5.Натиснете бутона „Напред“.

6.Програмата ще започне да сканира. Времето за сканиране е около 2 минути.

7.След завършване на сканирането от списъка с намерените неща (ако има такива) изберете Apply to all => Ignore.

8.Натиснете "Next" и след това натиснете "Изнеси резултата в XML file" и запазете лог файла на десктопа.

9.Архивирайте файла и го прикачете в следващия си коментар или копирайте съдържанието му в следващия си коментар.
 
Забележка: Ако няма падащо меню, където да изберете ignore както на снимката:
 

 
Тогава просто затворете програмата след края на проверката (без да премахвате нищо)...след това отворете C:\Programdata\HitmanPro\Logs, отворете и публикувайте съдържанието на лог файла в следващия си коментар.

Забележка: Папката C:\ProgramData е скрита и затова трябва да направите скритите файлове видими по-следния начин:

От My Computer => Tools => Folder Options => View:

Сложете отметка пред "Show hidden files, folders and drives"

и махнете отметката пред "Hide protected operating system files (recommended)".

Натиснете Apply.

Сега проверете за лог файла в папката C:\Programdata\HitmanPro\Logs и го прикачете в следващия си коментар.

 

СТЪПКА 3

 

• Моля изтеглете EmsisoftEmergencyKit, стартирайте exe файла и посочете къде да се разархивира програмата - например в (C:\EEK), натискайки бутона Extract.
• Стартирайте иконата на файла Start Emsisoft Emergency Kit от десктопа за да стартирате приложението.
• Натиснете бутона"Yes", когато бъдете подканени да обновите дефинициите на програмата.

• След като процеса по обновяването на дефинициите приключи натиснете бутона "Scan".
• Натиснете бутона "Yes", когато бъдете попитани дали да програмата да включи засичането на потенциално нежелани приложения (Potentially Unwanted Applications).
• Сега вече изберете бутона Custom Scan. Премахнете от списъка всички дялове без C:\ (т.е. нека да остане само дял C:\ в списъка).
• Натиснете Next за да започне проверката.
• Когато проверката приключи натиснете бутона View Report.
• Копирайте съдържанието на лог файла в следващия си коментар.

 

Поздрави!

Извинявам се за забавянето!

Ето ги и логовете:

scan_160525-093259.txt

HitmanPro_20160525_0924.log

mb.txt

Интересно...в логовете виждам неща, които изтрихме вече с FRST. Сигурни ли сте, че поне лог файла от MBAM е пресен, защото е от 22-и (неделя), а аз поисках да сканирате от понеделник...

 

СТЪПКА 1

 

Направете нова проверка с MBAM и ако има намерени неща маркирайте само следните обекти (и премахнете отметките от останалите записи)
 

Цитат

 

Trojan.Bedep, HKLM\SOFTWARE\CLASSES\CLSID\{F6BF8414-962C-40FE-90F1-B80A7E72DB9A}, Не е избрано действие от потребителя, [19d3fedabfdae15511e99c33b74a01ff],

Trojan.Bedep, HKU\S-1-5-21-2273512109-4036817980-2015749148-1000_Classes\CLSID\{F6BF8414-962C-40FE-90F1-B80A7E72DB9A}, Не е избрано действие от потребителя, [19d3fedabfdae15511e99c33b74a01ff],

Trojan.Bedep, C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8}\vfnws.dll, Не е избрано действие от потребителя, [19d3fedabfdae15511e99c33b74a01ff],

C:\Users\bibi i ivo\Documents\wlrmdr.exe, Не е избрано действие от потребителя, [e309c90f049555e1d2bc5675649d8f71],

 

и ги изтрийте. След това повторете проверката и вижте дали програмата ги намира пак.

 

СТЪПКА 2

 

След това все пак създадох скрипт за всеки случай на базата на логовете от Emsisoft, Malwarebytes и HitmanPro (макар да очаквам намерените неща вече да са изтрити - поне по-голямата част):

Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

 

СТЪПКА 3

 

За финал направете следното:

• Моля изтеглете и стартирайте изпълнимия файл от линка отдолу:
  ESET OnlineScan
• Сложете отметката пред
• Натиснете бутона .
• Сложете отметката пред Enable detection of potentially unwanted applications.
• Сега кликнете на Advanced Settings и се уверете, че опцията Remove found threats не е маркирана, а следните са маркирани:
  • Scan archives
  • Scan for potentially unsafe applications
  • Enable Anti-Stealth Technology
  • Изберете сега бутона Change и изберете само Operating memory и дял C:\

 

• Натиснете бутона Start.
• ESET ще започне да сваля и инсталира актуализации за вирусните дефиниции и след това ще започне да сканира компютъра. Бъдете търпеливи, защото процеса е бавен и може да отнеме доста време.
• След като проверката приключи натиснете бутона
• Сега натиснете бутона , и запазете файла на десктопа с име по избор като например (ESETScan.txt). Копирайте резултата в следващия си коментар.
• Натиснете бутона и след това натиснете бутона за да затворите приложението.

 

След това пишете как е положението!

 

Поздрави!

Станала е грешка при лога на MBAM.

Прикрепям и новите логове:

 

mbam.txt

eset.txt

Все пак изпълнете и последния скрипт от FRST

Иначе вече логовете са чисти. Намерените неща от MBAM няма да ги коментирам, защото са ясни. Тези от ESET са основно от потенциално нежелани приложения и просто трябва да внимавате по време на инсталацията на програмите (какви отметки слагате) за да се предпазите от инсталирането на нежелан софтуер. Може да използвате и  Unchecky за да премахва автоматично отметките по времето на инсталацията на програмите. Или просто ги изтрийте по ваше усмотрение.

Поздрави!

Много благодаря за оказаната помощ, вече всичко е наред!!!

ПП: Понеже аз довърших почистването и в момента нямам достъп до лаптопа, отговарям вместо питащия!

Редактирано 26 май 201610 г. от androns (преглед на промените)