Проблем с троянец

[Фейсбука На Бо]

Здравейте, имам проблем и се нуждая от помощ, имам проблем с троянец, антивирусната ми е Avira.

[doktor_haus]

като за начало опитай с това

Malwarebytes' Anti-Malware[/url] и SUPERAntiSpyware Free. Ако вече имаш програмите, провери дали имаш последните версии и ако нямаш, премахни твоите и инсталирай най-новите. Ако тепърва инсталираш програмите, след инсталацията те ще предложат да се обновят автоматично, съгласи се. В противен случай обнови дефинициите им ръчно.

 

За Malwarebytes' Anti-Malware:

- стартирай програмата;

- избери Perform quick scan (Бързо сканиране) и кликни бутон Scan (Сканиране);

- след като приключи сканирането, ако не са открити заплахи, ще се отвори автоматично текстов файл (който можеш да затвориш) и програмата ще те уведоми, че не е открила нищо, след което можеш да кликнеш бутон OK и да я затвориш;

- ако са открити заплахи, кликни бутон OK и после Show results (Покажи резултатите);

- кликни бутон Remove Selected (Премахни избраните);

- ще се появи текстов файл (дневник/лог), копирай съдържанието му тук.

 

За SUPERAntiSpyware:

- стартирай програмата;

- кликни бутон Scan your Computer (Сканиране на компютъра);

- вляво избери само дял C:, а вдясно избери Perform Complete Scan (Извърши пълно сканиране);

- кликни Next и изчакай програмата да сканира;

- кликни OK на съобщението;

- ако има засечени заплахи, кликни Next, за да се премахнат гадинките, OK на потвърждението и накрая Finish;

- кликни бутон Preferences... (Настройки) и иди на подпрозорец Statistics/Logs (Дневници), маркирай последния лог по дата и кликни бутон View Log... (Покажи дневника);

- копирай съдържанието му тук.

 

Ако е нужен рестарт при някое от сканиранията, се съгласи и рестартирай веднага.

 

--

 

-----

[Night_Raven]

Премахването на въпросния троянец е важно и би трябвало поне едната от двете въпросни програми да се справи. Инструкциите за SUPERAntiSpyware, които Луд И Съваршен е дал, са стари, но да се надяваме, че ако си избрал да сканираш и с нея, ще се оправиш и сам.

Колкото до въпросните файлове, те са криптирани. Евентуално може да има начин да се декриптират и възстановят, но първо трябва да се разбере точно за коя гадинка става въпрос. Нека видим какво ще открият въпросните програми след сканирането. Напълно възможно е обаче за въпросната гадина да няма декриптор и всички криптирани файлове да са просто изгубени.

[Фейсбука На Бо]

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org

 

Database version: v2012.04.16.03

 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

Administrator :: ORL [administrator]

 

16.4.2012 г. 18:03:04

mbam-log-2012-04-16 (18-03-04).txt

 

Scan type: Quick scan

Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM

Scan options disabled: P2P

Objects scanned: 207839

Time elapsed: 30 minute(s), 23 second(s)

 

Memory Processes Detected: 1

C:\Documents and Settings\All Users\Application Data\InstallBrainService\ibsvc.exe (PUP.BundleInstaller.IB) -> 2028 -> No action taken.

 

Memory Modules Detected: 0

(No malicious items detected)

 

Registry Keys Detected: 23

HKLM\SYSTEM\CurrentControlSet\Services\InstallBrainService (PUP.BundleInstaller.IB) -> No action taken.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\InstallBrain Updater Service (PUP.BundleInstaller.IB) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{00A6FAF1-072E-44CF-8957-5838F569A31D} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44CF-8957-5838F569A31D} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{07B18EA1-A523-4961-B6BB-170DE4475CCA} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{07B18EA9-A523-4961-B6BB-170DE4475CCA} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA9-A523-4961-B6BB-170DE4475CCA} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EAB-A523-4961-B6BB-170DE4475CCA} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} (PUP.MyWebSearch) -> No action taken.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} (PUP.MyWebSearch) -> No action taken.

HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKCU\Software\ErrorRepairPro (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Error Repair Professional_is1 (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.

HKCR\CLSID\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.

HKCR\TypeLib\{77D6DDFA-7834-4541-B2B3-A8B0FB0E3924} (Trojan.BHO) -> Quarantined and deleted successfully.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\XTTB00001.XTTB00001Toolbar (Trojan.BHO) -> Quarantined and deleted successfully.

HKCR\ToolBand.XTTBPos00.1 (Trojan.BHO) -> Quarantined and deleted successfully.

HKCR\ToolBand.XTTBPos00 (Trojan.BHO) -> Quarantined and deleted successfully.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{055FD26D-3A88-4E15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{055FD26D-3A88-4E15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.

 

Registry Values Detected: 0

(No malicious items detected)

 

Registry Data Items Detected: 0

(No malicious items detected)

 

Folders Detected: 4

C:\Program Files\Error Repair Professional (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\Backups (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\startbug (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Start Menu\Programs\Error Repair Professional (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

 

Files Detected: 14

C:\Documents and Settings\All Users\Application Data\InstallBrainService\ibsvc.exe (PUP.BundleInstaller.IB) -> No action taken.

C:\Documents and Settings\Administrator\Local Settings\Application Data\promo.exe (PUP.Soge) -> No action taken.

C:\Program Files\Error Repair Professional\autostart.exe (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\Dataprogs.dat (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\ErrorRepairProfessional.exe (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\unins000.dat (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\unins000.exe (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\Backups\Backup_13-50-52_19-6-2009.reg (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\Backups\Backup_6-17-10_29-3-2011.reg (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\Backups\Backup_6-23-2_29-3-2011.reg (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\Error Repair Professional\Backups\Backup_9-9-32_12-7-2009.reg (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Start Menu\Programs\Error Repair Professional\Error Repair Professional.lnk (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Start Menu\Programs\Error Repair Professional\Uninstall Error Repair Professional.lnk (Rogue.ErrorRepairProfessional) -> Quarantined and deleted successfully.

C:\Program Files\ICQToolbar\toolbaru.dll (Trojan.BHO) -> Delete on reboot.

 

(end)

 

UPERAntiSpyware Scan Log

http://www.superantispyware.com

 

Generated 04/16/2012 at 07:42 PM

 

Application Version : 5.0.1146

 

Core Rules Database Version : 8458

Trace Rules Database Version: 6270

 

Scan type       : Critical Point Scan

Total Scan Time : 00:02:24

 

Operating System Information

Windows XP Professional 32-bit, Service Pack 3 (Build 5.01.2600)

Administrator

 

Memory items scanned      : 663

Memory threats detected   : 0

Registry items scanned    : 29139

Registry threats detected : 3

File items scanned        : 3633

File threats detected     : 0

 

PUP.MyWebSearch

    HKU\S-1-5-21-1606980848-2111687655-1343024091-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44CF-8957-5838F569A31D}

    HKU\S-1-5-21-1606980848-2111687655-1343024091-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA}

    HKU\S-1-5-21-1606980848-2111687655-1343024091-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA9-A523-4961-B6BB-170DE4475CCA}

 

Фалшива антивирусна програма се инсталира и "откри вирус", поиска някакви пари за изртиването му и криптира всички снимки,музика,филмове в C i D.

[Night_Raven]

Моля, избери 2-3 дребни криптирани файла, архивирай ги и прикачи архива към следващия си коментар.

 

Освен това, моля, снимай прозореца, който ти иска пари за декриптиране на файловетем, и публикувай снимката.

[Фейсбука На Бо]

за съжаление изтрих програмата от all programs,

Shortcut to Garena.lnk.rar

na kafence.jpg.rar

[B-boy/StyLe/]

Изтеглете инструмента XoristDecryptor.zip на заразения компютър.

Разархивирайте инструмента и стартирайте XoristDecryptor.exe

Стартирайте проверката..!

 

http://support.kaspersky.com/images/support_new/2911-1-en.png

 

След приключването на работата на програмата ще се създаде отчет в C:\ Публикувайте го в следващия си пост.

[Фейсбука На Бо]

повечето файлове се оправиха.Благодаря Ви за помощта

Copy of XoristDecryptor.2.2.61.0_18.04.2012_18.57.54_log.rar

[B-boy/StyLe/]

Ще ви изпратя инструкции по Л.С. за файловете които не са били успешно декриптирани от мерки да се запази неприкосновеността на инструмента.

[doktor_haus]

здравейте,едно аверче се е натъкнало на подобна гад ето снимки и инфо за компютъра и излиза му следния надпис при всяко включване (The files on your machine to the disabled for viewing, copying and duplicating video elements of porn and gay porn. To unlock you need to pay a fine of 50 euros. For this purpose, any terminal pay or buy a Ukash voucher Paysafecard on that amount. More sites http://ukash.com/uk/en/home.aspx http://www.paysafecard.com/choose-country/

Please send the voucher by e-mail tenagliamirella@gmail.com.

In the case of payment of an amount equal to the penalty in return you will receive an unlock code. It must be entered in the field. After unlocking you must remove all materials that contain elements of violence and porn. In the case of non-payment, all data on your personal computer will be permanently blocked.) ето и два криптирани файла от вируса http://dox.bg/files/dw?a=eb434392e8

[B-boy/StyLe/]

Вчера се борих с него. Инструмента на Kaspersky бе обновен вчера за да добави един подобен вариант, но днес го тествах на споделените два файла и не можа да ги оправи.

Обаче успях с инструмента на Dr.Web.

 

 

 

Изтеглете този инструмент и го запазете в свободната директория на дял C:\.

 

Oт Start => Run => въведете командата:

 

C:\te94decrypt.exe -k 103

 

Натиснете OK

 

Затворете всички отворени документи преди да го стартирате...спрете и всички програми.