Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Украли персональные данные! (http://forum.oszone.net/showthread.php?t=287736)

postoronim 10-09-2014 11:33 2400708
Украли персональные данные!
 
Здравствуйте! У меня большая неприятность. Заметил ее не сразу и вот как: вчера я не смог авторизоваться (войти) на сайт. Очевидно это было связано с усилением их способов защиты, потому что при авторизации от меня требовали изменить пароль и т.д. Я долго мучился, потому что требовалось вводить кодовое слово, которое я уже забыл Ну вот в процессе этих мучений у меня возникло подозрение, что кто-то взломал мой аккаунт. И тут, блуждая по Проводнику, я вдруг обнаружил, что пропала папка Personal, которая находилась в папке "Мои документы". В пропавшей папке было очень много ценной информации и личных данных, такие как скрины паспортов, идентификационных кодов и прочее. Я включил проверку Нортон Антивирус. И тот обнаружил и удалил Трояна. Пароль я там сменил. Но вчера у меня исчезла из Проводника папка "Загрузки". Она мне очень нужна, так как я в нее загружаю все графические файлы, которые создаю в Пайнт. Сегодня я ее создал в "Избранное" и скопировал туда все файлы из аналогичной папки "Загрузки" из папки "Недавние места" в "Избранное". Но почему-то файлы, создаваемые в Пайнт не сохраняются в папку "Загрузки". Вернее они туда сохраняются, но когда я ее вскрываю через Проводник, то их там нет. А при попытке вновь сохранить через Пайнт мне пишет, что такой файл уже существует, и в окне при сохранении в папке "Загрузки" я его вижу. Но стоит мне выйти из процедуры сохранения файла и пойти через Проводник в папку "Загрузки", то нужного файла там не оказывается. Что за беда? Как исправить?
Вот эти две проблемы помогите решить.
1. Куда исчезла папка "Personal" ?
2. Куда исчезла папка "Загрузки"?
И есть ли еще на компе вирусы?

Sandor 10-09-2014 12:24 2400743
Здравствуйте!

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код:
begin
 ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
  if not IsWOW64
  then
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    end;
 QuarantineFile('d:\Программы\office\winword.exe','');
 QuarantineFile('C:\Users\Александр\AppData\Roaming\newSI_2\s_inst.exe','');
 QuarantineFile('C:\Users\Александр\AppData\Roaming\newSI_23\s_inst.exe','');
 QuarantineFile('C:\Windows\system32\Tasks\newSI_2','');
 QuarantineFile('C:\Windows\system32\Tasks\newSI_23','');
 DeleteFile('C:\Users\Александр\AppData\Roaming\newSI_2\s_inst.exe', '32');
 DeleteFile('C:\Users\Александр\AppData\Roaming\newSI_23\s_inst.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\newSI_2', '32');
 DeleteFile('C:\Windows\system32\Tasks\newSI_23', '32');
 QuarantineFileF('C:\Users\Александр\AppData\Roaming\newSI_2\','*', true,'',0 ,0);
 QuarantineFileF('C:\Users\Александр\AppData\Roaming\newSI_23\','*', true,'',0 ,0);
 DeleteFileMask('C:\Users\Александр\AppData\Roaming\newSI_2\', '*', true);
 DeleteFileMask('C:\Users\Александр\AppData\Roaming\newSI_23\', '*', true);
 DeleteDirectory('C:\Users\Александр\AppData\Roaming\newSI_2\');
 DeleteDirectory('C:\Users\Александр\AppData\Roaming\newSI_23\');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 ExecuteWizard('SCU',2,3,true);
 RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:
Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

2. Скачайте заново Autologger (ваш устарел) и сделайте повторные логи.

3. Попробуйте найти ваши папки с помощью файлового менеджера, типа Total Commander.

postoronim 11-09-2014 11:26 2401238
Здравствуйте! Выполнил оба скрипта. Архивный файл отправил по назначению через форму. Старый Autologger с компа удалил, новый загрузился в папку "Загрузки", но при кликании по ярлыку для установки пишет что приложение не найдено. Как быть?

Sandor 11-09-2014 11:46 2401246
Перенесите скачанный архив с Автологером в корень диска C: или D:, распакуйте и запустите.

postoronim 12-09-2014 09:50 2401743
Выполнил Ваши рекомендации. С помощью Total Commander нашел расположение папки Personal. Она осталась в папке Мои документы, но спряталась в другую папку почему-то. Так что гора с плеч. Но по-прежнему беспокоит невозможность работать с папкой "Загрузки" через Избранные. Как ее вывести туда? Чтобы она отображалась в Проводнике, чтобы туда шли загрузки и я мог с ними работать, а не лезть за ними по сложному пути: с - Пользователи - Александр - Загрузки. То есть так как оно было раньше.

Sandor 12-09-2014 10:18 2401754
Сделайте дополнительно такой лог:
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  5. Подробнее читайте в руководстве Как подготовить лог UVS

Цитата:
Цитата postoronim
Чтобы она отображалась в Проводнике »
Почитайте статью Как освоить библиотеки Windows за 5 минут

postoronim 13-09-2014 15:00 2402337
Цитата:
Цитата Sandor
Дождитесь окончания работы программы и прикрепите лог к посту в теме. »
Сделал.
Цитата:
Цитата Sandor
Почитайте статью Как освоить библиотеки Windows за 5 минут »
Сделал. Получилось. Спасибо.

Sandor 15-09-2014 11:03 2403013
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.83 BETA 30 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    delref HTTP://START.WEBALTA.RU/?ZIP&S=6F320D1F
    dirzoo %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\NEWSI_23
    dirzoo %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\NEWSI_2
    deldir %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\NEWSI_23
    deldir %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\NEWSI_2
    deltmp
    czoo
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.
  7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  8. Подробнее читайте в этом руководстве.

Повторите лог uVS.

В меню AVZ - Сервис - Поиск данных в реестре.
В поле 'Образец' впишите webalta, нажмите 'Пуск'.
После окончания сохраните протокол и выложите сюда.
Поиск не закрывайте.

postoronim 16-09-2014 10:00 2403383
Выполнил.

Sandor 16-09-2014 10:15 2403392
Цитата:
Цитата Sandor
Повторите лог uVS. »
Подразумевалось так же, как в этом сообщении.

postoronim 16-09-2014 16:06 2403518
Сделал.

Sandor 16-09-2014 17:14 2403535
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.83 BETA 30 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    delref HTTP://START.WEBALTA.RU/?ZIP&S=6F320D1F
    delref HTTP:\\START.WEBALTA.RU\?ZIP&S=6F320D1F
    regt 28
    deltmp
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. Подробнее читайте в этом руководстве.

Еще раз повторите лог uVS.

postoronim 17-09-2014 08:53 2403791
Сделал!

Sandor 17-09-2014 09:05 2403799
Вот теперь порядок))

Если проблем больше нет, то:
Для профилактики и защиты от повторных заражений скачайте и запустите SecurityCheck by glax24.
Когда откроется отчет, скопируйте и вставьте его сюда, сам файл выкладывать не нужно. В отчете будет показано, что в вашей системе нуждается в обновлении и другие угрозы безопасности.
Скачайте и установите обновления по ссылкам.

Рекомендации после лечения.

postoronim 17-09-2014 11:50 2403875
Вот:
Security Check by glax24 version 0.2.5.61 rc2
WebSite: www.safezone.cc
DateLog: 17.09.2014 10:49:42
Run directory: D:\Программы\Антивирусы\SC\
Log directory: C:\SecurityCheck\
IsAdmin: False
FileVersionInet: 8.1
__________________________________________________

Windows 7 (6.1.7601) Service Pack 1 (x86) Ultimate Lang: Russian(0419)
Дата установки ОС: 09.03.2014 17:25:48
Статус лицензии: Windows(R) 7, Ultimate edition Постоянная активация прошла успешно.
Системный диск: C:\ ФС: NTFS Емкость: [50 Гб] Занято: [40.4 Гб] Свободно: [9.6 Гб]
Браузер по умолчанию: C:\Program Files\Google\Chrome\Application\chrome.exe
-------------Windows------------------------------
Internet Explorer 11.0.9600.17239 [+]
Контроль учётных записей пользователя включен
Загружать автоматически обновления и устанавливать по заданному расписанию
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
-------------Antivirus_WMI------------------------
Norton Internet Security
-------------Firewall_WMI-------------------------
Norton Internet Security
-------------AntiSpyware_WMI----------------------
Norton Internet Security
Windows Defender
-------------AntiVirusFirewallInstall-------------
Norton Internet Security v.21.5.0.19
-------------OtherUtilities-----------------------
CCleaner v.4.11
Foxit Reader v.6.1.3.321 Внимание! Скачать обновления
-------------Java---------------------------------
Java 7 Update 67 v.7.0.670
Java Auto Updater v.2.1.67.1
-------------AdobeProduction----------------------
Adobe Flash Player 15 ActiveX v.15.0.0.152 [+]
Adobe Flash Player 15 Plugin v.15.0.0.152 [+]
Adobe Shockwave Player 12.1 v.12.1.2.152 Внимание! Скачать обновления
Adobe Shockwave Player + Authorware Web Player v.v12.0.7.148 Внимание! Скачать обновления
-------------Browser------------------------------
Google Chrome v.37.0.2062.120 [+]
-------------RunningProcess-----------------------
C:\Program Files\Google\Chrome\Application\chrome.exe v.37.0.2062.120
-------------EndLog-------------------------------

Sandor 17-09-2014 11:53 2403877
Обновите указанное.
Удачи!

postoronim 17-09-2014 13:22 2403925
У меня после обновления перестали загружаться изображения на сайте [/url]

Sandor 17-09-2014 14:23 2403950
Очистите кэш и куки браузера.

postoronim 17-09-2014 14:48 2403961
Все в порядке! Рассосалось!

postoronim 18-09-2014 08:57 2404234
Спасибо всем! закрываю тему!


Время: 11:12.

Время: 11:12.
© OSzone.net 2001-