přepsani souboru na připonu ENCODED

[ondris23]

C:\Users\Ondra\AppData\Roaming\Jhml0.txt
C:\Users\Ondra\AppData\Roaming\MEDib.txt
C:\Users\Ondra\AppData\Roaming\B1j6c.txt

neznam.... našel jsem je teda na disku a zabiraji 0bajtu

[ondris23]

Jeden znamy mi řekl at skusim ComboFix ale vy pišete že se to nema skoušet bez doporučeni

[motji]

Dobře, můžete mi otestovat ještě ty 3 soubory na virustotalu? pak to smažu.
nevíte, kde jste k tomu viru přišel? Kd ejste ten den byl, něco stahoval..pomohlo by nám to, kdyby jsme našli zdroj.


Vy máte 64b systém,že? Na něj combofix nefunguje. A odšifrovat Vám data nepomůže.
Já ty škodlivé soubory pak smažu něčím jiným, jen mi je iotestujte na tom virustotalu.

[ondris23]

našel jsem je v avg v trezoru stači to takhle ??

"C:\Users\Public\S-2535-6853-2745\winrsvn.exe";"Trojský kůň BackDoor.Generic12.CIRC";"Přesunuto do trezoru"
"C:\Users\Public\S-2535-6853-2745\crssn.exe";"Trojský kůň Crypt.ZRO";"Přesunuto do trezoru"
"C:\Users\Public\G-2535-6853-2745\winusbmngr.exe";"Trojský kůň BackDoor.Generic12.CKTJ";"Přesunuto do trezoru"

[motji]

Aha, Vy už je máte fuč .
Fajn, zeptám se znovu, nevíte, kde jste k tomu přišel?



Stahněte MBAM z mého podpisu
-Nainstalujte,dejte úplný sken

NIC NEMAZAT
-MBAM má občas falešné detekce,proto budeme mazat až po kontrole logu.
-Log zkopírujte sem.



Stahněte OTL http://oldtimer.geekstogo.com/OTL.exe
-uložte ho na plochu a spustte soubor OTL.exe.
-do bílého okna dole skopírujte tento skript:

Kód: Vybrat vše

netsvcs
drivers32
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /s
c:\windows\*.* /U
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
symmpi.sys
adp3132.sys
mv61xx.sys
nvraid.sys
ndis.sys
winlogon.exe
explorer.exe
userinit.exe
lsass.exe
svchost.exe
smss.exe
hal.dll
ws2_32.dll
tcpip.sys
cryptsvc.dll
Changer.sys
JakNDis.sys
isapnp.sys
cdrom.sys
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\winlogon" /v GinaDLL /c
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv" /v ImagePath /c
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS" /v ImagePath /c
%systemroot%\system32\drivers\*.sys /3
%systemroot%\system32\*.* /3
CREATERESTOREPOINT 

- zaškrtněte okénko Pro všechny uživatele.
-označte okénka Kontrola na havěť "LOP" a Kontrola na havěť "Purity"
- Klikněte na tlačítko Prohledat
-po dokončení skenu se objeví logy OTL.Txt a Extras.txt, vložte je zde

[ondris23]

Nevim kde jsem knim přišell


http://www.errortek.com/soubory/OTL.Txt
http://www.errortek.com/soubory/Extras.Txt

• Malwarebytes' Anti-Malware 1.46
  http://www.malwarebytes.org
  
  Verze databáze: 4770
  
  Windows 6.1.7600
  Internet Explorer 8.0.7600.16385
  
  7.10.2010 18:01:36
  mbam-log-2010-10-07 (18-01-36).txt
  
  Typ skenu: Úplný sken (C:\|D:\|E:\|)
  Skenované objekty: 510591
  Uplynulý čas: 1 hodina(y), 46 minuta(y), 3 sekunda(y)
  
  Infikované procesy v paměti: 0
  Infikované moduly v paměti: 0
  Infikované klíče registru: 8
  Infikované hodnoty registru: 0
  Infikované datové položky registru: 1
  Infikované složky: 0
  Infikované soubory: 60
  
  Infikované procesy v paměti:
  (Žádné škodlivé položky nebyly zjištěny)
  
  Infikované moduly v paměti:
  (Žádné škodlivé položky nebyly zjištěny)
  
  Infikované klíče registru:
  HKEY_CURRENT_USER\SOFTWARE\209K1I9HN8 (Trojan.FakeAlert) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\3FWHZQA3LT (Trojan.FakeAlert) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\ASH24SXZ9S (Trojan.FakeAlert) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\OTGV1DNWQQ (Trojan.FakeAlert) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\SMH2B46TDP (Trojan.FakeAlert) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\XBV6RD5SZF (Trojan.FakeAlert) -> No action taken.
  HKEY_CURRENT_USER\SOFTWARE\YXE7DXCQ37 (Trojan.FakeAlert) -> No action taken.
  
  Infikované hodnoty registru:
  (Žádné škodlivé položky nebyly zjištěny)
  
  Infikované datové položky registru:
  HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> No action taken.
  
  Infikované složky:
  (Žádné škodlivé položky nebyly zjištěny)
  
  Infikované soubory:
  C:\Program Files (x86)\Rockstar Games\Grand Theft Auto IV\LaunchGTAIV.exe (Risktool.Crack) -> No action taken.
  C:\Users\Ondra\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\0CQSA40P\i[1].Exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\4LVUKZH4\u[1].Exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Mozilla\Firefox\Profiles\aysfluda.default\Cache\79C731ACd01 (Trojan.Dropper.PGen) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\0125626.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\0518816.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\0749520.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\0934551.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\2657114.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\2897487.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\3008199.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\3046395.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\3162194.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\3322883.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\3966805.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\4096060.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\4180856.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\4769753.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\4931957.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\5532261.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\5583391.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\5603528.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\5665470.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\5756683.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\5786188.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\6187136.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\6391512.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\7348754.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\7586774.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\8119105.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\8188300.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\8257824.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\9100764.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\9518687.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\9584895.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\9847550.exe (Backdoor.Bot) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\BDc8F0j6iK.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\BG11IH8fM8.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\Bl7JC8GleG.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\BmlK1b7M17.log (Backdoor.Agent) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\DNMkcC7mf8.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\DNmL618Nf8.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\dnmL61HNGH.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\e1bm1d6CH6.log (Backdoor.Agent) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\E8n7d6h8gh.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\He167GM0kM.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\ifFEIHnflA.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\JgGe6IbgNC.log (Backdoor.Agent) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\kH71j6c88c.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Local\Temp\kH81KJcH8c.log (Backdoor.Gootkit) -> No action taken.
  C:\Users\Ondra\AppData\Roaming\Microsoft\Windows\Templates\memory.tmp (Rootkit.Agent.Gen) -> No action taken.
  E:\Hry\Staré Hry\Rc tycoon\Razor1911\yapkea.exe (Malware.Packer.Krunchy) -> No action taken.
  E:\Setup\ableton\Keygen.exe (Trojan.Agent) -> No action taken.
  E:\Setup\NERO7_10_10\NERO71010\Ahead.Nero.7.xx.All.Editions.and.Some.Plug-Ins.WORKING.KEYGEN-FFF\Keygen.exe (RiskWare.Tool.CK) -> No action taken.
  C:\Users\Ondra\AppData\Roaming\chrtmp (Malware.Trace) -> No action taken.
  C:\Program Files (x86)\Hydra Demo.dll (Spyware.OnlineGames) -> No action taken.
  C:\Windows\Temp\_ex-08.exe (Trojan.Dropper) -> No action taken.
  C:\Windows\Temp\_ex-68.exe (Trojan.Dropper) -> No action taken.
  C:\Users\Public\Documents\Server\admin.txt (Malware.Trace) -> No action taken.
  C:\Users\Public\Documents\Server\server.dat (Malware.Trace) -> No action taken.

[motji]

fíha, to je urodička ,
vše smažte a pak udělejte ten log z OTL.
Ty zašifrovaná data si vypalte někam na DVD, snad časem přijdeme na to, jak se na ně dostat.

[ondris23]

DATA jsou promne životně duležita moje hudebni tvorba za posledni rok a pul je vtahu to jsem dělal naposled zalohu... moje FL to uklada do zipu.... jsem nato prdel jsem si řikal že viry napadaji jen systemove soubory

[motji]

Zatím jsem bohužel nepřišla na to, jak to rozšifrovat .
Někde si je uložte bokem, až přijde někdo na to,jak to rozšifrovat

Viry napadají třeba i exe soubory a podobně. Ještě se zeptám, když se Vám ta data zašifrovala, neobjevil se Vám žádný text, že pokud chcete data zpět, máte někde poslat peníze?

Opravdu nevíte, kde jste k tomu mohl přijít? Stahování nějakého programu, filmu, nějaké internetové stránky...

[ondris23]

jinak dik za snahu a kde jinde se mam obratit nevite ??

[motji]

na autora toho viru, jedině .
Dejte si kopii těch souborů někam na DVD, a zkuste obnovu systému k datu, kdy jste vir ještě neměl.

[motji]

Mrkněte ještě sem
http://translate.google.cz/translate?js ... 44&act=url

Případně bych Vám asi doporučila kontaktovat nějakou antivirovou společnost, jeslti by Vám nepomohli

[bockelman]

Jelikoz tady neni nic dalsiho, tak predpokladam, ze se asi stale nevyresilo, jak soubory desifrovat?

stalo se "mi" to same, co je popsano vyse. jedine, co se tu jeste neobjevilo, ikdyz nepredpokladam, ze by to necemu pomohlo, je text, ktery se objevil k tomu (HOW TO DECRYPT FILES.txt):

Kód: Vybrat vše

Attention!!!    
All your personal files (photo, documents, texts, certificates, kwm-files, video) were encrypted by a very strong cypher RSA-1024. The original files deleted.  You can check it yourself - just look for this in all folders.
 There is no possibility to decrypt these files without a special decrypt program! Nobody can help you - even don't try to find another method or tell someone because after 3 days all encrypted files will be completely deleted and you will have no chance to get it back.
 We can help you with a decrypt-program for 100$ via wire transfer (bank transfer:  SWIFT/IBAN). 
For details you have to send your request on this e-mail (with serial key from text-file on desktop) : codemanager@fastmail.fm

07BE1B5EC61D74B9D024EC06998A765D045F5B347904A781EC974A9F1BA7AA5017B675E17A924DE0A049A94C41C8491A018BF74B208210F8BF6BA08E43FFD297
97296CB680B574D51A4B1DA7DC765CCEBAB38F040D53D43820A6D15F6D975C488F60FDE3175A06AD5921EA53136E92B84A0AB2A52D5B7A08ACD35D42D0EE2F9C
3E19E7BA68CD2F9CEE0BB8E67522B649D8586F88A55AC477CC19875C7047EF5F34F491E5A1EEFB5499DAA7CAB60BB417E89DBFA68B263CE36DF911570C0724D6
E396DFEC84AC54ECAA2A01B119BA9187FB20F0ADFC2B2720D817D4F08A467D46464F0765EBAEB73987F500E0A29A1797295F89FBCC3E522B07DEA6EDBA85CD8C
FE1544805C186C687DC61445AA81EC33268E602E52A179FC85A3B3F8BA309A5A5AB71E970F211CDDCA57D17F061978F5D8FA5230241270D9F5395A8C3FD25058
BC9EDCABAAD891408D7923652BC6D933C76E515BB1854A097E6D832A282B230ECE9095C77CE4E7CF072792136ABFB18E5E8F57E72878B512897B6A046F9B6129
39A19E2259FF6175AE03D2CBD60225B6601AA4F9C985FAAFF1182780A24A0EB16B3B523E2A61A9F67AB98697404DEF7F186748C646809CF875A7A43E56FC6471
E2EF044FE2C0D0E9E787F59C5402D424A06801B2A4742ECE52376AC399D7DCB079C57E0567837BA79CF3470D93700E9D948EE475DCE2F12F328DC1DA9EC6FCC2
B34CD9C945FFA358679A275A7B6D270AAADC9B3FEC23820C6E1BC5019380C8935FCD22BD3808A38BF1F8C19A838BD7DE0A9AE336371341B0671D47EADB7FA28D
42C271AC2517CEC4F75357F1850256C763402264F669BE1ED86BA99F80F8807BCD0D76655CA55403D244B09EB0B00641969512E0BA985B89E64913F3834E98B4
C4D2846BC18B5B8331AA600F7B34EE4FD3230099A17BEC49ADEFE2E27DB46AFA92FB5D65D50CED16090CD025C99BE9C0C5CAF71B74EF55F6B30CAAE38812D606
973BB4BC74B94B37987ACA2111EFB345C6DF0CE37BCD13FD63579637E8E4CD24254AB0C39B62F46D7E7636E6850232CF0D68A7F5F729FAC75C21B50C5594197F

[motji]

Bockelman hezké odpoledne
Kolegové mají pravděpodobně jiný vir, protože nepsali, že by se jim text objevil.
Zkuste tento postup.
http://translate.google.cz/translate?js ... 44&act=url
A zkoušel jste některý z těch uvedených výše? Nevíte, kde jste k viru přišel? moc by to pomohlo, kdyby se našel zdroj a mohli jsme vir otestovat.

[bockelman]

Take preji hezke odpoledne

nemohu samozrejme mluvit za ne, ale vsadil bych se, ze maji vir stejny, ale o textaku zapomneli napsat. v mem pripade se (myslim) objevil jen na plose, kde ma spousta lidi celkem neporadek, tak je mozne ho celkem jednoduse prehlednout, ale jak rikam - nevim..

kde jsem k nemu prisel bohuzel nevim. ikdyz je to muj pocitac, tak v te dobe jsem na nem nepracoval ja a bratr, ktery u neho byl si to pry nepamatuje.

Uvedeny postup jsem nezkousel, ani nic jineho, protoze u pocitace jsem zatim nebyl. vse co vim, vim pouze na dalku. Fyzicky u nej budu az pristi vikend. Snazil jsem se pouze najit, jestli se nejedna o nejaky znamy/rozsireny problem, ktery by vyresilo par kliknuti...