.zepto  ми се натресе. Всичко без .exe и още някои с това разширение. На един стар компютър, който го ползвам само за Skype и тестване на монитори.

WinXP SP3 с всички M$ упдейти, без AV и с AdMuncher против реклами.

Твърди че всичко е кодирано с RSA-2048 and AES-128

Интересно ми е откъде е дошъл. Най-много да съм цъкнал на някой новинарски линк, пратен по Skype от приятел.

Ако трябват логове - утре.

На този компютър НЕ отварям E-mail. Принципно всички от PayPal, DHL, EBAY, FBI и нечакани (спамърски) директно ги трия, без да ги отварям. На линкк в поща въобще не цъкам.

Най-много да съм цъкнал на някой новинарски линк, пратен по Skype от приятел.

 

Сигурен ли си че е станало със знанието на твоя приятел ? Нищо чудно някой от абонатите ти да е заразен и да праща уж такива невинни линкове.

Както казах, през този говоря. И съм се чул с човека. Сигурно има логове на чата, ще се провери. Интересен ми е механизмът на проникване.

Няма инсталиран офис (или части) - което да обработи .DOC макроси.

Май имаше Acrobatм не съм сигурен за Flash.

Редактирано 4 септември 201610 г. от Филипов (преглед на промените)

Може ли да прикачиш логове от FRST?

преди 4 часа, Филипов написа:

Ако трябват логове - утре.

Интересно ми е как е влязъл. И да тествам дали пак ще влезе като сложа антивирус. Иначе е стара барака 512RAM 160HDD. Понявкога го оставям включен за денонощие и не го наглеждам. Или го забравям. Просто за тестове.

В интернета пише предимно за спам с прикачен файл. Но такова не съм отварял.

Има ли активна зараза, която да се разнесе? Или се самоизрива?

Редактирано 4 септември 201610 г. от Филипов (преглед на промените)

Чакай! Сам каза, че става дума за стар компютър, на който няма нищо ценно и се използва само за определени неща - тестове и разговори!

Форматираш, преинсталираш и готово! Всичко друго е загуба на време, и нерви, а крайният резултат неясен! Друго щеше да е ако имаше нещо ценно на тази машина!

 П.П. Научете се да си правите бекъп! Използвайте антивирусна програма и инструменти многократно коментирани тук от хората занимаващи се с борбата с вируси!

Редактирано 5 септември 201610 г. от Кумчо вълчооо (преглед на промените)

преди 41 минути, Кумчо вълчооо написа:

Чакай! Сам каза, че става дума за стар компютър, на който няма нищо ценно и се използва само за определени неща - тестове и разговори!

Форматираш, преинсталираш и готово! Всичко друго е загуба на време, и нерви, а крайният резултат неясен! Друго щеше да е ако имаше нещо ценно на тази машина!

 П.П. Научете се да си правите бекъп! Използвайте антивирусна програма и инструменти многократно коментирани тук от хората занимаващи се с борбата с вируси!

Струва ми се че човека знае че трябва да го прави но просто е любопитен как е станало.

преди 12 минути, Azhen написа:

Струва ми се че човека знае че трябва да го прави но просто е любопитен как е станало.

Няма да разбере! Когато аз се заразих също не разбрах от къде ми дойде! Мислех, премислях и нищо! Гледам, че автора на темата е писал, че дори няма елементарна защита, та в случая няма много за умуване!

 

Zepto е ново разширение на криптиращия вирус Locky. 

http://securityaffairs.co/wordpress/49094/malware/zepto-ransomware.html

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 31-08-2016
Ran by SF (administrator) on SF2 (05-09-2016 11:51:15)
Running from C:\Documents and Settings\SF\Desktop
Loaded Profiles: SF (Available Profiles: SF & Administrator)
Platform: Microsoft Windows XP Professional Service Pack 3 (X86) Language: English (United States)
Internet Explorer Version 8 (Default browser: IE)
Boot Mode: Normal
Tutorial for Farbar Recovery Scan Tool: http://www.geekstogo.com/forum/topic/335081-frst-tutorial-how-to-use-farbar-recovery-scan-tool/

==================== Processes (Whitelisted) =================

(If an entry is included in the fixlist, the process will be closed. The file will not be moved.)

(Intel Corporation) C:\WINDOWS\system32\hkcmd.exe
(Analog Devices, Inc.) C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
(adi) C:\Program Files\Analog Devices\SoundMAX\DrvLsnr.exe
() D:\Programs\AdMuncher\AdMunch.exe
(BitTorrent, Inc.) D:\Programs\uTorrent\uTorrent.exe
(Skype Technologies S.A.) D:\Programs\Skype\Phone\Skype.exe
(Analog Devices, Inc.) C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
(Microsoft Corporation) C:\WINDOWS\system32\wscntfy.exe
(Microsoft Corporation) C:\Program Files\Internet Explorer\iexplore.exe
(Microsoft Corporation) C:\Program Files\Internet Explorer\iexplore.exe
(Microsoft Corporation) C:\Program Files\Internet Explorer\iexplore.exe

==================== Registry (Whitelisted) ===========================

(If an entry is included in the fixlist, the registry item will be restored to default or removed. The file will not be moved.)

HKLM\...\Run: [Smapp] => C:\Program Files\Analog Devices\SoundMAX\SMTray.exe [143360 2003-05-05] (Analog Devices, Inc.)
HKLM\...\Run: [DrvLsnr] => C:\Program Files\Analog Devices\SoundMAX\DrvLsnr.exe [69632 2003-05-08] (adi)
HKLM\...\Run: [Ad Muncher] => D:\Programs\AdMuncher\AdMunch.exe [7168 2011-09-01] ()
HKLM\...\Run: [KernelFaultCheck] => %systemroot%\system32\dumprep 0 -k
Winlogon\Notify\igfxcui: C:\WINDOWS\system32\igfxsrvc.dll [2005-06-21] (Intel Corporation)
HKU\S-1-5-21-842925246-484061587-2147129427-1003\...\Run: [uTorrent] => D:\Programs\uTorrent\uTorrent.exe [396152 2011-08-26] (BitTorrent, Inc.)
HKU\S-1-5-21-842925246-484061587-2147129427-1003\...\Run: [Skype] => D:\Programs\Skype\Phone\Skype.exe [21633320 2014-09-13] (Skype Technologies S.A.)
GroupPolicyScripts: Restriction <======= ATTENTION

==================== Internet (Whitelisted) ====================

(If an item is included in the fixlist, if it is a registry item it will be removed or restored to default.)

Tcpip\..\Interfaces\{03BCA9EB-3A8F-4221-9CDC-5AF9C5672837}: [NameServer] 8.8.8.8,8.8.4.4

Internet Explorer:
==================
HKU\S-1-5-21-842925246-484061587-2147129427-1003\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
SearchScopes: HKU\S-1-5-21-842925246-484061587-2147129427-1003 -> DefaultScope {C927DA69-9089-4317-97CD-CED593092E44} URL = hxxp://www.google.bg/#hl=bg&source=hp&q={searchTerms}&oq={searchTerms}&aq=f&aqi=g-s1g1g-s1g1g-s1g1g-s1g1g-s1g1&aql=&gs_sm=e&gs_upl=5625l10406l0l10937l4l4l0l0l0l0l422l1343l2-1.2.1l4l0&bav=on.2,or.r_gc.r_pw.&fp=da78227e4f80bad6&biw=1592&bih=1057
SearchScopes: HKU\S-1-5-21-842925246-484061587-2147129427-1003 -> {04BA0125-626D-4743-9DA4-B35F3AAF2035} URL = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}&ie={inputEncoding}&oe={outputEncoding}&startIndex={startIndex?}&startPage={startPage}
SearchScopes: HKU\S-1-5-21-842925246-484061587-2147129427-1003 -> {C927DA69-9089-4317-97CD-CED593092E44} URL = hxxp://www.google.bg/#hl=bg&source=hp&q={searchTerms}&oq={searchTerms}&aq=f&aqi=g-s1g1g-s1g1g-s1g1g-s1g1g-s1g1&aql=&gs_sm=e&gs_upl=5625l10406l0l10937l4l4l0l0l0l0l422l1343l2-1.2.1l4l0&bav=on.2,or.r_gc.r_pw.&fp=da78227e4f80bad6&biw=1592&bih=1057

==================== Services (Whitelisted) ========================

(If an entry is included in the fixlist, it will be removed from the registry. The file will not be moved unless listed separately.)

R2 SoundMAX Agent Service (default); C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe [45056 2002-09-20] (Analog Devices, Inc.) [File not signed]

===================== Drivers (Whitelisted) ==========================

(If an entry is included in the fixlist, it will be removed from the registry. The file will not be moved unless listed separately.)

S3 NAL; C:\WINDOWS\system32\Drivers\iqvw32.sys [24064 2006-06-05] (Intel Corporation ) [File not signed]
U1 WS2IFSL; no ImagePath

==================== NetSvcs (Whitelisted) ===================

(If an entry is included in the fixlist, it will be removed from the registry. The file will not be moved unless listed separately.)

==================== Three Months Created files and folders ========

(If an entry is included in the fixlist, the file/folder will be moved.)

2016-09-05 11:48 - 2016-09-05 11:51 - 00004836 _____ C:\Documents and Settings\SF\Desktop\FRST.txt
2016-09-05 11:47 - 2016-09-05 11:51 - 00000000 ____D C:\FRST
2016-09-05 11:47 - 2016-09-05 11:47 - 01747968 _____ (Farbar) C:\Documents and Settings\SF\Desktop\FRST.exe
2016-08-26 20:11 - 2016-08-26 20:11 - 03436338 _____ C:\Documents and Settings\SF\Desktop\_HELP_instructions.bmp
2016-08-26 20:11 - 2016-08-26 20:11 - 00009572 _____ C:\Documents and Settings\SF\Desktop\_HELP_instructions.html
2016-08-26 16:50 - 2016-08-26 16:50 - 00001212 _____ C:\Documents and Settings\SF\My Documents\6907DBF5-7EA3-0AB5-72AB-238A9145AC20.zepto
2016-08-26 16:44 - 2016-08-26 16:44 - 00010052 _____ C:\Documents and Settings\SF\My Documents\6907DBF5-7EA3-0AB5-3F65-DAEBCB2D3DA8.zepto
2016-08-26 16:44 - 2016-08-26 16:44 - 00009572 _____ C:\Documents and Settings\SF\My Documents\_2_HELP_instructions.html
2016-08-26 16:44 - 2016-08-26 16:44 - 00009572 _____ C:\_8_HELP_instructions.html
2016-08-26 16:44 - 2016-08-26 16:44 - 00000836 _____ C:\6907DBF5-7EA3-0AB5-F303-1FD8989DE7A5.zepto

==================== Three Months Modified files and folders ========

(If an entry is included in the fixlist, the file/folder will be moved.)

2016-09-05 11:53 - 2011-08-26 12:00 - 00000000 ____D C:\Documents and Settings\SF\Application Data\uTorrent
2016-09-05 11:51 - 2011-06-22 18:40 - 00000000 ____D C:\Documents and Settings\SF\Local Settings\Temp
2016-09-05 11:41 - 2012-06-14 13:24 - 00000830 _____ C:\WINDOWS\Tasks\Adobe Flash Player Updater.job
2016-09-05 11:39 - 2011-08-26 16:52 - 00000000 ____D C:\Documents and Settings\SF\Application Data\Skype
2016-09-05 11:13 - 2014-04-06 18:23 - 00000216 _____ C:\WINDOWS\Tasks\Microsoft Windows XP End of Service Notification Logon.job
2016-09-05 11:13 - 2011-06-22 16:10 - 00000006 ____H C:\WINDOWS\Tasks\SA.DAT
2016-09-05 11:13 - 2008-04-23 09:36 - 00002206 _____ C:\WINDOWS\system32\wpa.dbl
2016-09-04 20:54 - 2011-06-22 18:40 - 00000178 ___SH C:\Documents and Settings\SF\ntuser.ini
2016-09-04 20:54 - 2011-06-22 16:10 - 00032610 _____ C:\WINDOWS\SchedLgU.Txt
2016-09-04 20:53 - 2011-07-05 20:41 - 00003259 _____ C:\WINDOWS\wincmd.ini
2016-08-26 16:50 - 2011-06-22 18:40 - 00000000 ___RD C:\Documents and Settings\SF\My Documents
2016-08-12 11:10 - 2013-08-23 17:31 - 00000000 ____D C:\WINDOWS\system32\MRT
2016-08-12 11:04 - 2011-08-26 14:58 - 144884648 ____C (Microsoft Corporation) C:\WINDOWS\system32\MRT.exe

Some files in TEMP:
====================
C:\Documents and Settings\SF\Local Settings\Temp\SkypeSetup.exe

==================== Bamital & volsnap =================

(There is no automatic fix for files that do not pass verification.)

C:\WINDOWS\explorer.exe => File is digitally signed
C:\WINDOWS\system32\winlogon.exe => File is digitally signed
C:\WINDOWS\system32\svchost.exe => File is digitally signed
C:\WINDOWS\system32\services.exe => File is digitally signed
C:\WINDOWS\system32\User32.dll => File is digitally signed
C:\WINDOWS\system32\userinit.exe => File is digitally signed
C:\WINDOWS\system32\rpcss.dll => File is digitally signed
C:\WINDOWS\system32\dnsapi.dll => File is digitally signed
C:\WINDOWS\system32\Drivers\volsnap.sys => File is digitally signed

==================== End of FRST.txt ============================

Чукнах в лога да добави файловете от последните 90 дни. Някъде там ще е. Ако може преместете темата в съответния подраздел. Това го прехвърлих през флашка - очевадна модификация няма. Май заразата не е активна.

Addition.txt

Редактирано 5 септември 201610 г. от Филипов (преглед на промените)

Понеже ти е интересно(и не само на теб)как си се заразил без да отваряш прикачени файлове или да сваляш такива-та drive-by download,легитимни сайтове се компрометират(ифрейм вкаран) които водят до експлойт пакове които възползвайки се от уязвимости в браузъра и компонентите му свалят и инсталират без твое знание при посещение на дадения ресурс....(говорим за известни CVE-... или 0-day експлойти които се вграждат в експлойт паковете-Java,Flash,Silverlight   и  така нататък...)
Поздрави!
ПС: Или полчаваш ''доставка'' чрез рекламните мрежи-малвертайзинг 

Редактирано 5 септември 201610 г. от Гост (преглед на промените)

Тези неща ме притесняват 

2016-09-05 11:41 - 2012-06-14 13:24 - 00000830 _____ C:\WINDOWS\Tasks\Adobe Flash Player Updater.job

2016-09-05 11:13 - 2014-04-06 18:23 - 00000216 _____ C:\WINDOWS\Tasks\Microsoft Windows XP End of Service Notification Logon.job
2016-09-05 11:13 - 2011-06-22 16:10 - 00000006 ____H C:\WINDOWS\Tasks\SA.DAT
2016-09-05 11:13 - 2008-04-23 09:36 - 00002206 _____ C:\WINDOWS\system32\wpa.dbl
2016-09-04 20:54 - 2011-06-22 18:40 - 00000178 ___SH C:\Documents and Settings\SF\ntuser.ini
2016-09-04 20:54 - 2011-06-22 16:10 - 00032610 _____ C:\WINDOWS\SchedLgU.Txt

Нещо влиза в ОС и си прави задание да се тегли? Уж XP не се поддържа. Идва си ежемесечен упдейт за MRT, но за какво му е WPA? На другия компютър няма такова. 

Неслучайно споменах за AdMuncher - реклами не се виждат.

Редактирано 5 септември 201610 г. от Филипов (преглед на промените)

Цитат

2016-09-05 11:41 - 2012-06-14 13:24 - 00000830 _____ C:\WINDOWS\Tasks\Adobe Flash Player Updater.job

Не разбирам какво те притеснява в това? Това е задача на Flash Player-a. Проверява за актуализации.

Цитат

2016-09-05 11:13 - 2014-04-06 18:23 - 00000216 _____ C:\WINDOWS\Tasks\Microsoft Windows XP End of Service Notification Logon.job

Това е задача, която ви напомня, че поддръжката на Windows XP е спряна. Задачата може да се спре и/или да се изтрие. Ако искате ще я изтрием.

Цитат

2016-09-05 11:13 - 2011-06-22 16:10 - 00000006 ____H C:\WINDOWS\Tasks\SA.DAT

Този файл съдържа информация за  Task Scheduler, като време за изпълнение и други.

Цитат

2016-09-05 11:13 - 2008-04-23 09:36 - 00002206 _____ C:\WINDOWS\system32\wpa.dbl

Файлът е част от Recovery Console.

Цитат

2016-09-04 20:54 - 2011-06-22 18:40 - 00000178 ___SH C:\Documents and Settings\SF\ntuser.ini

Този файл съдържа информация, за текущия потребител(user), файлът е легитимен и не бива да се изтрива, защото може да докара проблеми при логване в user-a.

Цитат

2016-09-04 20:54 - 2011-06-22 16:10 - 00032610 _____ C:\WINDOWS\SchedLgU.Txt

 

Този файл съдържа информация за, планираните задачи(Task Scheduler), време и дата на изпълненията. 

Вирусът се е самоизтрил. Декриптор за Locky, няма. Лично аз мисля, че сте се заразили от някой JS в някой сайт. Това е другия начин освен от пощата.

преди 5 часа, Филипов написа:

Нещо влиза в ОС и си прави задание да се тегли? Уж XP не се поддържа. Идва си ежемесечен упдейт за MRT, но за какво му е WPA? На другия компютър няма такова. 

Неслучайно споменах за AdMuncher - реклами не се виждат.

Както каза Васко, освен AdMucnher е добре да има и добавка от сорта на NoScript с настройки за блокиране на iframes и други подобни. Един Malwarebytes Anti-Exploit би бил добра идея за предпазване срещу payload-ите, които exploit-ите използват. Разбира се един Malwarebytes Anti-Ransomware също е добре да има на системата (той поставя капан за ransomware-a и дори вируса да успее да криптира 5-6 файла, другите промени ще бъдат отрязани - разбира се  ако варианта е познат за програмата). И не на последно място е добре да се изключи Autorun-а ако се вкарват често непознати флашки и дори е добре да се изключи Windows Scripting Host, защото повечето ransomware варианти в момента използват vbs, vbe, js, jse... Може да стане с инструмента на Symantec отново с името NoScript.exe. И разбира се, бекъп!.

И още една гадна тенденция-Fileless Ransomware няма файл на диска-директно в паметта се зарежда...

https://www.crowdstrike.com/blog/fileless-ransomware-works/

Така в резюме - има ли шанс да се установи кога и откъде е тръгнало? Хронологията на Skype седи, а освен това е дублирана и на друг компютър.

И ако може да се провери системата за зарази - примерно някой троянец да го е докарал допълнително. И да почистим - нямам време за преинсталиране и упдейтване.

Информация за спасяване няма, а и декриптор също. Просто го бях оставил празен за тестове. Че преди време изпляска ТХО на един монитор и умори предишен. Машината е старо марково HP, навремето падна търсене на подходящите драйвери.

Шифрирането е почнало на 26.08.2016 в 16:43 и е завършило за около 2 часа. Малко над 130GB DVD (.VOB) - държах ги дублиращо. 

Не се сещам да съм инсталирал нещо, но може и аз да съм го пуснал - първо е D:\Programs\TotalCmd следва D:\Install  където слагам инсталационни програми и след това се е прехвърлил на C:\Documents and Settings Ориентир - където мине слага _N_Help Instructions където N - пореден номер. Но TotalCmd е от години и там не съм пипал.

Редактирано 6 септември 201610 г. от Филипов (преглед на промените)

преди 1 час, Филипов написа:

Така в резюме - има ли шанс да се установи кога и откъде е тръгнало? Хронологията на Skype седи, а освен това е дублирана и на друг компютър.

И ако може да се провери системата за зарази - примерно някой троянец да го е докарал допълнително. И да почистим - нямам време за преинсталиране и упдейтване.

Информация за спасяване няма, а и декриптор също. Просто го бях оставил празен за тестове. Че преди време изпляска ТХО на един монитор и умори предишен. Машината е старо марково HP, навремето падна търсене на подходящите драйвери.

Шифрирането е почнало на 26.08.2016 в 16:43 и е завършило за около 2 часа. Малко над 130GB DVD (.VOB) - държах ги дублиращо. 

Не се сещам да съм инсталирал нещо, но може и аз да съм го пуснал - първо е D:\Programs\TotalCmd следва D:\Install  където слагам инсталационни програми и след това се е прехвърлил на C:\Documents and Settings Ориентир - където мине слага _N_Help Instructions където N - пореден номер. Но TotalCmd е от години и там не съм пипал.

Няма как да се разбере откъде е тръгнал най-вероятно (но може да прегледате хронологията на Скайп и историята на браузърите). А иначе кога е била заразена системата мога да ви кажа веднага:

На 26.08.2016 според логовете. Но това и сам го виждате, защото вече сте го споменали.

Цитат

2016-08-26 16:44 - 2016-08-26 16:44 - 00000836 _____ C:\6907DBF5-7EA3-0AB5-F303-1FD8989DE7A5.zepto

Като цяло може да се провери за зарази, но текущите логове са чисти и лично аз не смятам, че ще има допълнителни зарази в системата, защото най-вероятно се е самоизтрил. Все пак ще оставя на колегата да пусне още проверки, че аз в момента нямам време.

Колкото до драйверите...добра идея е да им направите бекъп например с Double Driver 4.1 или DriverMax 8.28, но само за БЕКЪП, без да използвате опциите за обновяване на драйверите на втората. Така след преинсталация (ако се наложи такава) просто връщате бекъпа на драйверите и не се налага да търсите такива наново.

А иначе както споменах е добре да спрете Autorun-a в системата и ако машината е в някаква мрежа, то ограничете правилата на писане на папките шернати по мрежата.

Поздрави!

преди 4 минути, B-boy/StyLe/ написа:

Double Driver 4.1

Само да вметна - разочарован съм от него. На два пъти на различни системи се дъни като инструмент - при възстановяване от направено от него резервирано копие на драйвъри не възстановява някои от тях.
Намерих добра безплатна алтернатива - Driver Magician Lite.

Стъпка 1

Изтеглете:  Malwarebytes Anti-Malware.

• Стартирайте инсталационния файл и следвайте съветника за инсталация.
• Преди края на инсталацията премахнете отметката от: "Enable free trial of Malwarebytes Anti-Malware Premium" и се уверете че има отметка пред "Launch Malwarebytes Anti-Malware".
• Отидете до табът Settings => Detection and Protection => сложете отметка на "Scan for rootkits".
• Отидете до табът Dashboard => натиснете бутона "SCAN NOW".
• Програмата автоматично ще провери за актуализации и ще започне сканирането.

Забележка: Ако видите съобщението "Could not load DDA driver" натиснете бутона "YES". След което разрешете на системата да се рестартира.

• След като проверката приключи натиснете бутона "Apply Actions".
• Системата ще поиска рестарт, съгласете се.
• След като системата зареди MBAB ще зареди.
• Отидете до табът History => Applications Logs.
• Потърсете лог с име "SCAN LOG" с последната дата и час и натиснете върху него.
• Натиснете бутона EXPORT => Copy to Clipboard.
• Поставете съдържанието на лога с клавишната комбинация CTRL+V към следващия Ви коментар.

 

Стъпка 2

Изтеглете: Emsissoft Emergency Kit

• Стартирайте файла и посочете къде да се разархивира програмата - например в (C:\EEK), натискайки бутона Extract.
• Стартирайте файла Start Emsisoft Emergency Kit от десктопа за да стартирате програмата.
• Натиснете бутона "Yes", когато бъдете подканени да обновите дефинициите на програмата.
• След като обновяването на дефинициите приключи натиснете бутона "Scan".
• Програмата ще Ви попита дали искате да включите засичането на Potentially Unwanted Applications,  натиснете бутона "Yes".
• Натиснете бутона "Custom Scan". Премахнете от списъка оставете само дял C:\.
• Натиснете "Next" за да започне проверката.
• Когато проверката приключи натиснете бутона "View Report".
• Копирайте съдържанието на лог файла в следващия Ви коментар.

преди 35 минути, ExaFlop написа:

Само да вметна - разочарован съм от него. На два пъти на различни системи се дъни като инструмент - при възстановяване от направено от него резервирано копие на драйвъри не възстановява някои от тях.
Намерих добра безплатна алтернатива - Driver Magician Lite.

Нормално е, защото инструмента не се поддържа от доста години, но пък на мен не ми е правил проблеми. Но така или иначе алтернативи има бол. Важното е, бе да се спомене просто идеята за да си спести трудностите след това.

Да, желателно/задължително е наличието на резервиране на драйвърите в системата.

Редактирано 6 септември 201610 г. от ExaFlop (преглед на промените)

Драйверите си седят на харда в инсталационен вид в отделна директория. Непипнати .EXE.

C:\ е овършано чак с номер 8 - не е там началото. Има и незасегнати картинки / директории

Malwarebytes Anti-Malware
www.malwarebytes.org

Scan Date: 06.9.2016 г.
Scan Time: 13:34:19
Logfile: Mbam.txt
Administrator: Yes

Version: 2.2.1.1043
Malware Database: v2016.09.06.03
Rootkit Database: v2016.08.15.01
License: Free
Malware Protection: Disabled
Malicious Website Protection: Disabled
Self-protection: Disabled

OS: Windows XP Service Pack 3
CPU: x86
File System: NTFS
User: SF

Scan Type: Threat Scan
Result: Completed
Objects Scanned: 281862
Time Elapsed: 24 min, 52 sec

Memory: Enabled
Startup: Enabled
Filesystem: Enabled
Archives: Enabled
Rootkits: Enabled
Heuristics: Enabled
PUP: Enabled
PUM: Enabled

Processes: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Registry Keys: 0
(No malicious items detected)

Registry Values: 0
(No malicious items detected)

Registry Data: 0
(No malicious items detected)

Folders: 0
(No malicious items detected)

Files: 0
(No malicious items detected)

Physical Sectors: 0
(No malicious items detected)

(end)

EEK иска поне Win7

Прегледах хронологията на Skype, поне на хората с които контактувам на-често. Няма нищо около въпросния момент.

Из пощата от тази дата в спама има съмнителен мейл за упгрейд на PayPal акаунт, който нямам.  И десет дни преди това пак оттам два спама за върнато плащане. Абсурд е да ги отворя, хептен пък от тоя компютър. Ако някой иска да му го препратя.

Редактирано 6 септември 201610 г. от Филипов (преглед на промените)

Системата е чиста. Още сканирания ще са чиста загуба на време. 

Благодаря. Ръчно ли да трия или има нещо автоматизирано?

И от историята в браузера

[url=http://s16.radikal.ru/i191/1609/03/fb082c1a717f.jpg][img=http://s16.radikal.ru/i191/1609/03/fb082c1a717ft.jpg][/url]

Следващите редове вече са от вчера. Като гледам нещо от offnews и през flash. И какво да му сложа за предпазване? Че машинката слабичка и без памет.

.WSH го асоциирах с Notepad

Редактирано 6 септември 201610 г. от Филипов (преглед на промените)

Изтеглете:  Delfix.

• Стартирайте Delfix.exе.
• По подразбиране трябва да има 2 отметки на "Remove disinfection tools" и "Purge system restore ". Ако липсват, ги сложете.
• Натиснете бутона "Run". 
• Инструмента ще се самоизтрие след като приключи своята задача.
• Изтрийте лог файла от Delfix.
• Ако има останали програми, които сме използвали и не са се изтрили, ги изтрийте ръчно.

 

Какъв е браузъра?