Зашифровались все документы и фото

[Stolyar]

Зашифровались все документы и фото

Батя с дуру запустил из письма какую-то фигню и у него на компе зашифровалось все что можно. Но это еще пол беды, у злоумышленника теперь есть удаленный доступ к компьютеру, т.е. он запросто открывает блокнот и пишет в нем сообщения, ну и пароли всякие поломал от почты, от скайпа и т.д. Пароли то поменяли, но как закрыть удаленный доступ к компу и вычистить остатки вируса....
Помогите пожалуйста

вот лог

 

[Гризлик]

Скопируйте код ниже в буфер обмена

;uVS v3.87.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
delall %SystemDrive%\PROGRAM FILES\114841984_МICROSОFТ-NET-11.EXE
delall %SystemDrive%\PROGRAM FILES\320X240\РИСУНОК JPG  PHOTO\МICROSOFT CLIENT - 2012.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\LOCAL SETTINGS\TEMP\МICROSOFT CLIENT - 2012.EXE
delall %SystemDrive%\PROGRAM FILES\МICROSOFT CLIENT - 2012.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\МICROSOFT CLIENT - 2012.EXE
delall %SystemDrive%\PROGRAM FILES\320X240\РИСУНОК JPG  PHOTO\МIСRОSOFT NET CLIENT-2012.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\МIСRОSOFT NET CLIENT-2012.EXE
delall %SystemDrive%\INSTALL\INSTALL\UPDATE.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\LOCAL SETTINGS\TEMP\LOJRX.BAT
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\LOCAL SETTINGS\TEMP\GOXDM.BAT
delall %SystemDrive%\PROGRAM FILES\MOBOGENIE\DAEMONPROCESS.EXE
deldir %SystemDrive%\PROGRAM FILES\MOBOGENIE
delall %SystemDrive%\PROGRAM FILES\SEARCHPROTECT\UI\BIN\CLTMNGUI.EXE
delall %SystemDrive%\PROGRAM FILES\SEARCHPROTECT\MAIN\BIN\CLTMNGSVC.EXE
delall %SystemDrive%\PROGRAM FILES\SEARCHPROTECT\SEARCHPROTECT\BIN\CLTMNG.EXE
exec C:\Program Files\Mobogenie\uninst.exe
exec "C:\PROGRA~1\SearchProtect\Main\bin\uninstall.exe" /S
deltmp
delnfr
restart

Закройте все браузеры. Запустите UVS под текущим пользователем. В меню: Скрипты---Выполнить из буфера обмена. После перезагрузки выполните сканирование Malwarebytes и выложите полученый лог

 

[safety]

+
добавьте какое расширение стало у зашифрованных файлов
.locked?

 

[Stolyar]

+
добавьте какое расширение стало у зашифрованных файлов
.locked?

расширение *.cbf

а главный фокус что судя по отзывам в инете платить этому перцу бесполезно, ибо ключей у него нет, он просто тупо собирает бабки и всех кидает.

 

[Гризлик]

Насколько я знаю дешифратора пока нет

 

[safety]

добавьте рег файл из архива в реестр. Возможно, поможет в будущем избежать повторного запуска вредоносных скриптов.
(здесь добавлены настройки для XP)

Посмотреть вложение stop.exe.for.xp.update.rar