360section что это за папка

Что за папка $360Section$? Можно ли удалить (Windows 7) Можно ли удалить папку $360Section$, или всё же она важная?

обратитесь к истокам по аналогам расширений, там описываются все способы забраться в ваши данные, и знать что вы делаете и как живете, дабы обворовать вас, интернет это госсистема а это секреты, здесь ответы на свои вопросы вы не получите или они будут удалены моментально

если вы удалили 360TS, то оставшуюся скрытую папку $360Section можно спокойно удалить в Windows 7 64 бит обычным способом. В то же время, после удаления 360TS, остается скрытая системная папка 360SANDBOX, которая не удаляется обычным способом из-за того, что файлы этой папки открыты в папке System32. К тому же в реестре в разделе HKEY_USERS присутствует папка с тем же названием, которую также не удается удалить. Для удаления используем «показ скрытых системных файлов и папок». Затем открываем папку Windows/System32/drivers. В папке drivers находим 5 файлов, название которых начинается с 360 (360Hacker.dll, 360Camera.dll и др.). Удаляем эти файлы обычным способом, а после этого удается удалить и папку 360SANDBOX обычным способом. При этом происходит автоматическое удаление папки с аналогичным названием в реестре. После этого необходимо почистить реестр, для чего воспользуйтесь программой Wise Registry Cleaner Free, что я и сделал (по-видимому подойдет Ccleaner или другая аналогичная программа). На всякий случай перед проведением описанной процедуры удаления папки 360SANDBOX создайте точку восстановления ОС.

Самовосстанавливающийся вирус. Помогите. [Trojan.Win32.Agentb.isqc ] (заявка № 216577)

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Самовосстанавливающийся вирус. Помогите. [Trojan.Win32.Agentb.isqc ]

Здравствуйте, у меня такая же проблема как и тут:
https://virusinfo.info/showthread.php?t=211090
Вот картинка вируса: http://prntscr.com/hj72js
Создает ярлыки файлов которые я скидываю туда.
А сами файлы, скрывает на флешке.
Антивирус находит данный вирус, удаляет. Но когда подключаю флешку он опять появляется.
Сделал скрипт AVZ как написано по этой ссылке.

И дальше появилась вот это вот папка:
Что делать дальше?

Последний раз редактировалось erik51711; 05.12.2017 в 06:40 .

Будь в курсе! Будь в курсе!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

05.12.2017, 05:39 #2

Cyber Регистрация 11.05.2011 Сообщений 2,284 Вес репутации 376

Уважаемый(ая) erik51711, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность — пожалуйста поддержите проект.

05.12.2017, 06:46 #3

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Я сейчас сделал autologger и сделал AVZ скрипт с другого компа. Где нету этого вируса. Но когда подключаю эту флешку вот на эту свою ПК то тот вирус там есть и удалить его также нельзя. Но на другом ПК есть и этот же вирус который есть на флешке (в папке Roaming). И там его также невозможно удалить. Я оттуда не смог сделать Auto logger так как компьютер не могу включить, зарядный устройства сломался.

Вот прикреплю логи зараженного компьютера:

Последний раз редактировалось erik51711; 05.12.2017 в 11:52 .

06.12.2017, 21:59 #4

Senior Helper Регистрация 06.05.2008 Адрес Тула Сообщений 35,286 Вес репутации 1054

begin QuarantineFile('C:\RECYCLER\S-1-0-87-1210341083-8705727176-107883546-3224\BGsnUwJP.cpl', ''); QuarantineFile('C:\RECYCLER\S-1-0-87-1210341083-8705727176-107883546-3224\xvRJReUr.cpl', ''); QuarantineFile('d:\users\зерде\appdata\roaming\\033046d9.exe', ''); DeleteFile('C:\RECYCLER\S-1-0-87-1210341083-8705727176-107883546-3224\BGsnUwJP.cpl', '32'); DeleteFile('C:\RECYCLER\S-1-0-87-1210341083-8705727176-107883546-3224\xvRJReUr.cpl', '32'); DeleteFile('d:\users\зерде\appdata\roaming\\033046d9.exe', '32'); ExecuteFile('schtasks.exe', '/delete /TN "" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "" /F', 0, 15000, true); DeleteService('aswSP'); DeleteFileMask('d:\users\зерде\appdata\roaming\', '*', true); DeleteFileMask('D:\Users\зерде\AppData\Roaming\', '*', true); DeleteDirectory('d:\users\зерде\appdata\roaming\'); DeleteDirectory('D:\Users\зерде\AppData\Roaming\'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\', 'command'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\', 'command'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo', 'command'); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); ExecuteSysClean; ExecuteWizard('SCU', 2, 2, true); RebootWindows(true); end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке «Прислать запрошенный карантин» над над первым сообщением в теме.
Удалите следующие программы:

Elements Browser
Амиго
Кнопка «Яндекс» на панели задач
Менеджер браузеров
Служба автоматического обновления программ
Служба маркировки и обновления компонентов

Сделайте новый лог такой версией Autologger.

08.12.2017, 19:05 #5

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Сделал все как вы сказали и вот логи и карантин:

Последний раз редактировалось Vvvyg; 08.12.2017 в 19:20 .

08.12.2017, 19:29 #6

Senior Helper Регистрация 06.05.2008 Адрес Тула Сообщений 35,286 Вес репутации 1054

Не нужно полностью цитировать сообщения хелпера, это ухудшает читаемость темы, и сообщения попадают на премодерацию.
Просто пишите в окне «Быстрый ответ».
И не нужно крепить карантин сообщению, если он не загружается, куда положено, значит, он пуст, следовательно не нужен.

Выполните скрипт в AVZ:

begin QuarantineFile('d:\users\зерде\appdata\roaming\\033046d9.exe', ''); DeleteFile('d:\users\зерде\appdata\roaming\\033046d9.exe', '32'); DeleteFileMask('d:\users\зерде\appdata\roaming\', '*', true); DeleteDirectory('d:\users\зерде\appdata\roaming\'); RebootWindows(true); end.

Выполните в AVZ скрипт:

begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке «Прислать запрошенный карантин» над над первым сообщением в теме.

09.12.2017, 09:23 #7

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Вот новые логи и прислал также карантин

И да кстати, этот же вирус есть и на втором флешке. А пока я делаю все эти логи подключив один из флешек.

09.12.2017, 12:58 #8

Senior Helper Регистрация 06.05.2008 Адрес Тула Сообщений 35,286 Вес репутации 1054

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.0.10 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v400c cexec tools\CreateRestorePoint.exe BeforeCure OFFSGNSAVE zoo %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\ROAMING\\033046D9.EXE addsgn 1ACD2D9A55835A8CF42B16F1C38C12C6848A84B0897FDF2EEFD79BC9576E714E231728510593E04EA046279F3E504990798F00B10FDAB0A9ED2EFD8C3B616473 8 Trojan.Win32.Agentb.isqc [Kaspersky] 7 zoo C:\\C30F80A0-E4B2-915E-2B55-1E58E72A395E.EXE addsgn A7679BF0AA021C2C4AD4C6D14B891261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C263C9EE82BD6D734856C775BACCA8E8B32 8 New.USB.Trj 7 chklst delvir ;------------------------autoscript--------------------------- hide %SystemRoot%.OLD.000\USERS\ЯУКВУ4\DOWNLOADS\OPERA.EXE deldir %SystemRoot%.OLD.000\USERS\ЯУКВУ4\APPDATA\LOCAL\XPOM deldir %SystemRoot%.OLD.000\USERS\ЯУКВУ4\APPDATA\LOCAL\MAIL.RU deldir %SystemRoot%.OLD.000\PROGRAMDATA\GUARD.MAIL.RU delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGDLJKKMGHDKCKHAOGAEMGBGDFOPHKFCO%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLGDNILODCPLJOMELBBNPGDOGDBMCLBNI%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\ODIJCGAFKHPOBJLNFDGIACPDENPMBGME\11.0.4_1\ДОМАШНЯЯ СТРАНИЦА MAIL.RU delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PHKDCINMMLJBLPNKOHLIPAIODLONPINF\11.0.3_1\ПОИСК MAIL.RU delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK\2.21.9_0\ПУЛЬТ delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\BOFBPDMKBMLANCFIHDNCIKCIGPOKMDDA\0.420\QUICK SEARCHER delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\40.0.2214.3645\RESOURCES\GENERATED_TABLEAU\TABLEAU delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\40.0.2214.3645\RESOURCES\TABLEAUDER\SRC\TABLEAUDER delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK%26INSTALLSOURCE%3DONDEMAND%26UC zoo %SystemDrive%\SUPERMEGABEST\SETUP.DLL delall %SystemDrive%\SUPERMEGABEST\SETUP.DLL deldir %SystemDrive%\SUPERMEGABEST delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\ROAMING\\650CCA14.EXE delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\YANDEX\BROWSERMANAGER\MBLAUNCHER.EXE delref HTTP:\\WWW.MAIL.RU regt 5 apply ;------------------------------------------------------------- deltmp czoo restart

Запустите файл start.exe из папки с uVS, выберите «Запустить под текущим пользователем», в главном меню программы — Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке «Прислать запрошенный карантин» над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Выполните такой скрипт в UVS, только вместо X подставьте букву своего флэш-диска.

adddir X: crimg

Будет создан новый новый полный образ автозапуска uVS, загрузите его в доступное облачное хранилище или на файлообменник (rghost.ru, например) и дайте ссылку.

09.12.2017, 17:40 #9

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Надеюсь все правильно сделал?

09.12.2017, 21:44 #10

Senior Helper Регистрация 06.05.2008 Адрес Тула Сообщений 35,286 Вес репутации 1054

Не всё верно.

adddir C:

Неужели буква диска флэшки — С: Не верю. Мы флэшку должны зачистить.

Пробуем так, чтобы вы не путались.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.0.10 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v400c OFFSGNSAVE ;------------------------autoscript--------------------------- sreg addsgn 1ACD2D9A55835A8CF42B16F1C38C12C6848A84B0897FDF2EEFD79BC9576E714E231728510593E04EA046279F3E504990798F00B10FDAB0A9ED2EFD8C3B616473 8 Trojan.Win32.Agentb.isqc [Kaspersky] 7 addsgn A7679BF0AA021C2C4AD4C6D14B891261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C263C9EE82BD6D734856C775BACCA8E8B32 8 New.USB.Trj 7 chklst delvir delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PHKDCINMMLJBLPNKOHLIPAIODLONPINF\11.0.3_1\ПОИСК MAIL.RU delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PKEDCJKDEFGPDELPBCMBMEOMCJBEEMFM\6317.1002.0.5_0\CHROME MEDIA ROUTER delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK\2.21.9_0\ПУЛЬТ delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\40.0.2214.3645\RESOURCES\GENERATED_TABLEAU\TABLEAU delref %SystemDrive%\USERS\ЗЕРДЕ\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\40.0.2214.3645\RESOURCES\TABLEAUDER\SRC\TABLEAUDER delref %Sys32%\DRIVERS\VDE2ODQX.SYS delref H:\WINDOWS\AUTORUN.EXE delref H:\AUTORUN.EXE apply areg

Запустите файл start.exe из папки с uVS, выберите «Запустить под текущим пользователем», в главном меню программы — Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

Лог выполнения скрипта, самый свежий, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Уточните букву флэш диска.

10.12.2017, 07:10 #11

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Вот новый лог:
И да флеш диск да: С

10.12.2017, 13:21 #12

Senior Helper Регистрация 06.05.2008 Адрес Тула Сообщений 35,286 Вес репутации 1054

Ну, тогда всё в порядке должно быть.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

10.12.2017, 14:57 #13

Junior Member Регистрация 05.12.2017 Сообщений 99 Вес репутации 23

Готово, вот файлы

10.12.2017, 20:05 #14

Senior Helper Регистрация 06.05.2008 Адрес Тула Сообщений 35,286 Вес репутации 1054

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CloseProcesses: HKU\S-1-5-21-844884140-4176702358-3930692641-1000\. \Run: [] => d:\users\зерде\appdata\roaming\\033046d9.exe [319488 2017-12-10] (The reader is the leader) Task: - System32\Tasks\ => d:\users\зерде\appdata\roaming\\033046d9.exe [2017-12-10] (The reader is the leader) <==== ATTENTION Folder: 2017-12-05 16:03 - 2017-12-10 10:06 - 000000000 ____D D:\Users\зерде\AppData\Roaming\Folder: D:\Users\зерде\AppData\Roaming\ 2017-12-05 17:17 - 2017-12-08 17:13 - 000000000 ____D D:\Users\зерде\AppData\Roaming\ 2017-12-05 16:03 - 2017-12-10 10:06 - 000000000 ____D D:\Users\зерде\AppData\Roaming\ FF Extension: (Домашняя страница Mail.Ru) - D:\Users\зерде\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2017-03-12] [Lagacy] FF Extension: (Поиск@Mail.Ru) - D:\Users\зерде\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2017-03-12] [Lagacy] CHR Extension: (Chrome Media Router) - D:\Users\зерде\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2017-12-09] CHR HKU\S-1-5-21-844884140-4176702358-3930692641-1000\SOFTWARE\Google\Chrome\Extensions\. \Chrome\Extension: [ddadgcdmddljmpkpinkalnepdepplpkj] - hxxp://clients2.google.com/service/update2/crx CHR HKU\S-1-5-21-844884140-4176702358-3930692641-1000\SOFTWARE\Google\Chrome\Extensions\. \Chrome\Extension: [gkcfopbmpihfnphgamgibhkdhdgnplfp] - hxxp://clients2.google.com/service/update2/crx CHR HKU\S-1-5-21-844884140-4176702358-3930692641-1000\SOFTWARE\Google\Chrome\Extensions\. \Chrome\Extension: [ledkfmfckejkemlmpckiaoaldhldfmbe] - hxxp://clients2.google.com/service/update2/crx CHR HKU\S-1-5-21-844884140-4176702358-3930692641-1000\SOFTWARE\Google\Chrome\Extensions\. \Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx CHR HKU\S-1-5-21-844884140-4176702358-3930692641-1000\SOFTWARE\Google\Chrome\Extensions\. \Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx CHR HKLM-x32\. \Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx 2017-12-05 07:36 - 2017-12-05 16:46 - 000013312 _____ D:\Windows\SysWOW64\Drivers\vde2odqx.sys 2017-12-03 17:03 - 2017-12-04 19:48 - 000000000 __SHD D:\$360Section 2017-12-03 16:58 - 2017-12-03 16:58 - 000000000 ____D D:\Windows\Tasks\360Disabled 2017-12-03 16:55 - 2017-10-25 15:46 - 000086248 _____ (360.cn) D:\Windows\SysWOW64\Drivers\360AvFlt.sys 2017-12-03 16:54 - 2017-12-04 19:50 - 000000000 ____D D:\Program Files (x86)\360 Task: - \ -> No File - System32\Tasks\Games\UpdateCheck_S-1-5-21-844884140-4176702358-3930692641-1000 MSCONFIG\startupreg: => d:\users\зерде\appdata\roaming\\033046d9.exe MSCONFIG\startupreg: => d:\users\зерде\appdata\roaming\\61f19d51.exe Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!

В FRST нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению после перезагрузки.

Прошу помощи с выявлением вируса

Posters

7 Сообщений:

Отправлено 09 Июнь 2020 — 11:17

Здравствуйте, сперва были проблемы с открытием сайтов, писал, что не может установить IP, в файле HOSTS оказалось много редиректов на 127.0.01, удалил их, но нестабильная работа в браузере осталась, начали виснуть онлайн-доски, критично для работы.
Также перестал быть доступен интерфейс wi-fi роутера по адресу http://m.home/, при переходе ошибка DNS_PROBE_FINISHED_NXDOMAIN, работает через http://192.168.0.1/

Перед возникновением проблемы обновлял программы от Iobit: SystemCare и Driver Booster, затем обновил драйвера на видеокарту NVIDIA и Realtek. Был антивирус 360 total security.
Далее попытался установить другой антивирус, но при установке dr web дальше создания точки восстановления пройти не удавалось, был 16 код ошибки, другие антивирусы тоже не ставились, нашел в реестре и удали всё по пути: Компьютер\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun. Там были прописаны названия ексешников антивирусов, получилось установить dr web. Более ручных изменений не вносил.
Антивирус выявил проблемы:
инфицированный контейнер rdpwrap, ругался на rdpwrap.dll, файлы install.bat, reg1.reg (похоже на https://vms.drweb.ru/virus/?i=18520696&lng=ru), файл realtek, файлы от iobit, все вылечил, удалил эти программы.

Сделал тесты по инструкции, но и с ними были проблемы (error.JPG)
HiJackThis.log
dwsysinfo: https://yadi.sk/d/p0xTMLOiymVAGA
Часть файлов и программ удалил или переместил до всех тестов, есть 2 файла результатов CureIT (не знаю, нужен ли cureit_before_moveFiles.log):
cureit.log: https://yadi.sk/d/0VG9RMOfZ8jb3w
cureit_before_moveFiles.log: https://yadi.sk/d/On_iTbIGTADvsQ
сделал ещё ipconfig (ipc.log), в конце sfc /scannow (CBS.log).
Что следует сделать дальше? Может быть установить и запустить Farbar Recovery Scan Tool? Желательно без переустановки винды, так как есть активированная цифровая подпись.

Прикрепленные файлы:

#2 Dr.Robot

Helpers

3 049 Сообщений:

Отправлено 09 Июнь 2020 — 11:17

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ — сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

— попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
— детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
— дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена коммерческая лицензия Dr.Web Security Space не ниже версии 9.0, Антивирус Dr.Web для Windows не ниже версии 9.0 или Dr.Web Enterprise Security Suite не ниже версии 6.0. подробнее.

Что НЕ нужно делать:
— лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
— переустанавливать операционную систему;
— менять расширение у зашифрованных файлов;
— очищать папки с временными файлами, а также историю браузера;
— использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из «Аптечки сисадмина» Dr. Web;
— использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
— прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба — это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];

4. При возникновении проблем с интернетом, таких как «не открываются сайты», в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа «Содержание сайта заблокировано» и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig

Для этого проделайте следующее:

• Зайдите в меню Пуск на Рабочем столе, вызовите в нем окно команды Выполнить.
• В появившемся окне наберите cmdи нажмите клавишу . Появится черное окно консоли (интерпретатора команд).
• Напишите в этом черном окне команду ipconfig /all>»%userprofile%\ipc.log» и нажмите клавишу , затем наберите там же команду explorer.exe /select,»%userprofile%\ipc.log» и нажмите клавишу , нужный файл будет показан в Проводнике Windows.
• Приложите этот файл к своему сообщению на форуме.

Что за папка System Volume Information и можно ли её удалить

На дисках, флешках и других накопителях Windows 10, 8 и Windows 7 вы можете обнаружить папку System Volume Information в корне диска. Частый вопрос начинающих пользователей — что это за папка и как ее удалить или очистить, о чем и пойдет речь в этом материале. См. также: Как удалить папку System Volume Information с флешки, Папка ProgramData в Windows.

System Volume Information — что это за папка

Начнем с того, что представляет собой эта папка в Windows и для чего она нужна.

Папка System Volume Information содержит необходимые системные данные, в частности

Иначе говоря, в папке System Volume Information хранятся данные, необходимые для работы служб с этим накопителем, а также данные для восстановления системы или файлов с помощью средств восстановления Windows.

Можно ли удалить папку System Volume Information в Windows

На дисках NTFS (т.е. как минимум на вашем жестком диске или SSD) пользователь не имеет доступа к папке System Volume Information — она не только имеет атрибут «только для чтения», но и права доступа, ограничивающие действия с нею: при попытке удаления вы увидите сообщение о том, что нет доступа к папке и «Запросите разрешение от Администраторы на изменение этой папки».

Если эта папка находится на флешке или другом накопителе FAT32 или exFAT, то обычно удалить папку System Volume Information можно без каких-либо манипуляций с правами доступа, специфичными для файловой системы NTFS.

Но: как правило, эта папка моментально создается снова (если вы производите действия в Windows) и, более того, удаление нецелесообразно, так как информация в папке нужна для нормальной работы операционной системы.

Как очистить папку System Volume Information

Несмотря на то, что удаление папки обычными методами не получится, вы можете очистить System Volume Information, если она занимает много места на диске.

Причинами большого размера этой папки могут быть: множественные сохраненные точки восстановления Windows 10, 8 или Windows 7, а также сохраненная история файлов.

Соответственно, чтобы выполнить очистку папки вы можете:

• Отключить защиту системы (и автоматическое создание точек восстановление).
• Удалить отдельные ненужные точки восстановления. Подробнее по этому и предыдущему пункту здесь: Точки восстановления Windows 10 (подойдет и для предыдущих версий ОС).
• Отключить историю файлов Windows (см. История файлов Windows 10).

Ну а чтобы рассматриваемая System Volume Information и многие другие системные папки и файлы Windows реже вам попадались на глаза, рекомендую включить опцию «Скрывать защищенные системные файлы» на вкладке «Вид» в параметрах проводника в панели управления.

Это не только эстетично, но и более безопасно: многие проблемы с работой системы бывают вызваны удалением неизвестных начинающему пользователю папок и файлов, которых «раньше не было» и «неизвестно, что это за папка» (хотя часто оказывается, что раньше просто было выключено их отображение, как это сделано по умолчанию в ОС).

А вдруг и это будет интересно:

• Лучшие бесплатные программы для Windows
• Как открыть Свойства системы Windows 11 и 10
• Как отключить или удалить Связь с телефоном в Windows 11 и 10
• Ошибка 0xc000001d при запуске игры или программы — как исправить?
• Ключ восстановления BitLocker в Windows — способы посмотреть
• User OOBE Broker — что это за процесс в Windows 11 и 10

• Windows 11
• Windows 10
• Android
• Загрузочная флешка
• Лечение вирусов
• Восстановление данных
• Установка с флешки
• Настройка роутера
• Всё про Windows
• В контакте
• Одноклассники

Сергей 09.12.2016 в 08:15

• Dmitry 09.12.2016 в 09:14

• Dmitry 28.12.2016 в 10:36

Здравствуйте. Проверьте, не включены ли у вас точки восстановления для диска D. Если включены, можете их удалить средствами системы. Подробнее: https://remontka.pro/system-restore-points-windows-10/
А можно попробовать и простую очистку диска запустить: Win+R, ввести cleanmgr а потом в окне очистки нажать «очистить системные файлы» и посмотреть, а можно ли что-то с диска D удалить. Ответить

• Dmitry 21.03.2017 в 09:25

• Dmitry 12.08.2018 в 08:25