Ruski wirus, potrzebna pomoc

[maty11]

witam, dzisiaj po włączeniu kompa na pulpicie pojawił się napis 

you used to download illegal files from the internet 
now all your private files has been locked and encrypted 

your uid:u19ysdj4d4 
 

w folderze dokumenty wczoraj po 22 utworzyły się dwa pliki ( tekstowy z dokładnie tą samą treścią co powyżej, oraz plik decryptor gdzie mam wpisać rzekomy kod do dezaktywacji ) 

 

ktoś coś zaradzi ? dziękuję za pomoc

 

[spandaupol]

Wymagane raporty FRST wykonane i zaprezentowane zgodnie z instrukcją

Raport obowiązkowy - Farbar Recovery Scan Tool System operacyjny: Windows XP\Vista\7\8\8.1\10 32-bit oraz 64-bit Nieingerencyjne narzędzie służące głównie do identyfikacji infekcji. Oczywiście możliwości programu są dużo większe. Raport z tego narzędzia stanowi podstawę do analizy aktualnej kondycji systemu. Jest to niezbędne do podjęcia działań naprawczych. FRST możemy uruchomić zarówno spod Windows jak i z poziomu środowiska zewnętrznego WinRE. Uruchomienie z poziomu środowiska WinRE opis…

 

[maty11]

mam nadzieję, że wszystko zrobiłem zgodnie z instrukcją, dziękuję za pomoc 

 

http://www.wklej.org/id/2865408/

http://www.wklej.org/id/2865421/

http://www.wklej.org/id/2865410/

[spandaupol]

Wklej do notatnika:
 

CloseProcesses: IFEO\bonus.screenshotreader.exe: [Debugger] "C:\Program Files (x86)\AVG\AVG PC TuneUp\TUAutoReactivator64.exe" IFEO\express.exe: [Debugger] "C:\Program Files (x86)\AVG\AVG PC TuneUp\TUAutoReactivator64.exe" IFEO\finecmd.exe: [Debugger] "C:\Program Files (x86)\AVG\AVG PC TuneUp\TUAutoReactivator64.exe" IFEO\finereader.exe: [Debugger] "C:\Program Files (x86)\AVG\AVG PC TuneUp\TUAutoReactivator64.exe" IFEO\pitpro2015.exe: [Debugger] "C:\Program Files (x86)\AVG\AVG PC TuneUp\TUAutoReactivator64.exe" Startup: C:\Users\Dell\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\einfo.exe 2016-09-23 C:\Users\Dell\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\einfo.exe CHR HomePage: Default -> hxxp://www.yessearches.com/?mode=nnnb&ptid=ism&uid=0A19FCBC51897A5C0DEC5362F7DE4419&v=20160501&ts=AHEqAX4nA38tAU.. CHR StartupUrls: Default -> "hxxp://www.yessearches.com/?mode=nnnb&ptid=ism&uid=0A19FCBC51897A5C0DEC5362F7DE4419&v=20160501&ts=AHEqAX4nA38tAU.." S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys 22704 2016-03-29 C:\Windows\System32\DRIVERS\EsgScanner.sys S1 cunwbhxw; \??\C:\Windows\system32\drivers\cunwbhxw.sys [X] 2016-09-23 22:18 - 2016-09-23 22:18 - 00025088 _____ C:\Users\Dell\Documents\decryptor.exe 2016-09-23 22:18 - 2016-09-23 22:18 - 00000020 _____ C:\Users\Dell\Documents\uid.txt 2016-09-23 22:18 - 2016-09-23 22:18 - 00000020 _____ C:\Users\Dell\AppData\Roaming\uid.txt 2016-03-20 20:01 - 2016-03-20 20:01 - 6493696 _____ () C:\Users\Dell\AppData\Roaming\agent.dat 2016-03-20 20:00 - 2016-03-20 20:00 - 0127488 _____ () C:\Users\Dell\AppData\Roaming\Installer.dat 2016-03-20 20:01 - 2016-03-20 20:01 - 0400445 _____ () C:\Users\Dell\AppData\Roaming\Laming.bin 2016-03-29 18:49 - 2016-03-29 19:00 - 0000115 _____ () C:\Users\Dell\AppData\Roaming\LogFile.txt 2016-03-20 20:01 - 2016-03-20 20:01 - 0018432 _____ () C:\Users\Dell\AppData\Roaming\Main.dat 2016-09-23 22:18 - 2016-09-23 22:18 - 0000020 _____ () C:\Users\Dell\AppData\Roaming\uid.txt 2016-09-23 22:18 - 2016-09-23 22:25 - 0118784 _____ () C:\ProgramData\encfiles.log 2016-09-23 22:18 - 2016-09-23 22:18 - 0000020 _____ () C:\ProgramData\uid.txt C:\Users\Dell\AppData\Local\Temp\iplC090.tmp.exe Task: {173C0220-9266-402E-B56E-E9035D0736F1} - System32\Tasks\DellAcrimoniousCautiousV2 => Rundll32.exe ObituariesRelaundered.dll,main 7 1 <==== UWAGA Task: {8B5256CD-F678-4E8A-B607-F0B51C86CF27} - System32\Tasks{2BC6EC3D-7D44-D7A1-136B-62C54FAB109E} => C:\Users\Dell\AppData\Roaming{2BC6E~1\PRICEF~1.EXE <==== UWAGA Task: {A38E82C1-341F-4D14-8DB7-BBB0AB494267} - \Browser Updater Task(Core) -> Brak pliku <==== UWAGA Task: {BBF93C4B-0797-4427-A83D-FDEE1BABEC24} - System32\Tasks\TuneUpUtilities_Task_BkGndMaintenance2013 => C:\Program Files (x86)\AVG\AVG PC TuneUp\OneClick.exe [2015-08-04] (AVG Technologies) EmptyTemp:

Plik zapisz jako fixlist.txt i umieść w tym samym katalogu co FRST Uruchom FRST klikasz Napraw Raport z usuwania pokaż na forum. Następnie ponownie uruchom FRST klikasz Skanuj pokaż nowy raport FRST.txt na forum

[maty11]

http://www.wklej.org/id/2865447/

[spandaupol]

Następnie ponownie uruchom FRST klikasz Skanuj pokaż nowy raport FRST.txt na forum

 

[maty11]

przepraszam za brak estetyki, teraz już powinno być dobrze 

http://www.wklej.org/id/2865475/

 

 

[spandaupol]

Co Ty robisz przecież wiesz jak masz prezentować raporty.

1. Na forum prezentujemy wszystkie raporty które pojedynczo umieszczamy na http://www.wklej.org a w poście na forum podajemy linki do wklejek.

Proszę edytować posta i to poprawić.

[maty11]

 

przepraszam za brak estetyki, teraz już powinno być dobrze 

http://www.wklej.org/id/2865475/

 

[spandaupol]

Użyj Delfix instrukcja

DelFix - usuwanie użytych wcześniej narzędzi (AdwCleaner, FRST i innych)

wykonaj Wełny skan Malwarebytes http://www.dobreprogramy.pl/Malwarebytes-AntiMalware,Program,Windows,13117.html (w trakcie instalacji odznacz okres testowy) Wykonaj pełny skan, jeśli program coś wykryje pokaż raport na forum

[maty11]

log z delfixa

http://www.wklej.org/id/2865502/

 

malwarebytes nic nie wykazał 

problem z pojawiającym się napisem po uruchomieniu komputera ustał, natomiast w niektórych folderach jest plik o nazwie files encrypted i plików w tych folderach w zdecydowanej większości nie da się otworzyć ( dotyczy to głównie folderów na pulpicie, np pliki na innej partycji w tym filmy, zdjęcia i pdf działają bez zarzutu ... ) 

[spandaupol]

Jeśli pliki zostały zaszyfrowane to raczej nic nie da się z tym zrobić.

Uruchom FRST i w okno szukaj wklej:

files encrypted

Klikasz Szukaj i pokaż raport na forum

[maty11]

http://www.wklej.org/id/2866191/

 

tak się obawiałem, że z plikami zainfekowanymi będzie kiepsko, ale czy jeśli jakieś pliki teraz nie są zaszyfrowane, malware nic nie pokazuje, na pulpicie po uruchomieniu nic nie wyskakuje to mogę być spokojny o resztę plików ? 

 

co do wyników szukania z frst to muszę zaznaczyć, że z 2-3 folderów usunąłem ten plik ręcznie razem z uszkodzonymi plikami ... 

 

ps. bardziej Panu dziękuję za poświęcony czas i nieocenioną pomoc i cierpliwość 

[spandaupol]

ale czy jeśli jakieś pliki teraz nie są zaszyfrowane, malware nic nie pokazuje, na pulpicie po uruchomieniu nic nie wyskakuje to mogę być spokojny o resztę plików ? 

Wykonaj sobie kopie tych plików i zgraj na jakiś nośnik zewnętrzny typu pendrive lub DVD. Wtedy będziesz spokojniejszy. Chociaż teraz jest dobrze, to nie ma gwarancji że znowu czegoś nie ściągniesz lub gdzieś nie klikniesz. Zawsze powinno się mieć kopie ważnych dla siebie danych.