Показано с 1 по 20 из 20.

Расшифровка файлов [Trojan-Ransom.Win32.Xorist.er, Trojan.Win32.Agent.ahbld ] (заявка № 167412)

  1. #1
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9

    Расшифровка файлов [Trojan-Ransom.Win32.Xorist.er, Trojan.Win32.Agent.ahbld ]

    Win 2008 R1 64 файлы зашифрованы 27.09.2014 9:22 указан адрес helpfiles@ya.ru
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,267
    Вес репутации
    326
    Уважаемый(ая) vpup, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,240
    Вес репутации
    1022
    Версия Windows: 6.1.7601, Service Pack 1 "Windows Server 2008 R2 Standard" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#0)
    Логи не через терминальную сессию сделайте.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  5. #4
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9

    снял логи напрямую

    Цитата Сообщение от mike 1 Посмотреть сообщение
    Логи не через терминальную сессию сделайте.
    снял логи напрямую
    Вложения Вложения

  6. #5
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Файл поврежден (забит нулями).

    Переделывайте

    + пришлите зашифрованный файл небольшого размера
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  7. #6
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9
    Цитата Сообщение от thyrex Посмотреть сообщение
    Файл поврежден (забит нулями).

    Переделывайте

    + пришлите зашифрованный файл небольшого размера
    сделал

    - - - - -Добавлено - - - - -

    зашифрованный файл

    - - - - -Добавлено - - - - -

    теперь должно читаться

    - - - - -Добавлено - - - - -

    теперь должно читаться
    Вложения Вложения

  8. #7
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Цитата Сообщение от vpup Посмотреть сообщение
    теперь должно читаться
    А базы обновлять кто будет?

    Архив с зашифрованным файлом забит нулями
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  9. #8
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9
    обновил базы
    Вложения Вложения

  10. #9
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Похоже нужно искать тело шифровальщика.


    Зашли удаленно по RDP. Меняйте пароли. Смотрите логи сервера на предмет того, что запускалось после входа постороннего
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,240
    Вес репутации
    1022
    C:\Users\admin\AppData\Local\Temp\5\0OBBDSsH5F8mq7 J.exe
    Этот файл нужно восстановить чтобы мы могли помочь.

    +
    1. Скачайте Universal Virus Sniffer (uVS)
    2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
    3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
      !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
    4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
      !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  12. #11
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Его нужно восстанавливать программами восстановления данных типа R-Studio
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  13. #12
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9
    сделал.
    Вложения Вложения

  14. #13
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,240
    Вес репутации
    1022
    C:\USERS\ADMIN\DESKTOP\HELPFILES.EXE
    Пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  15. #14
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9
    прислал

  16. #15
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,240
    Вес репутации
    1022
    Так хорошо.

    1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
    2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
    3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
      Код:
      ;uVS v3.83 [http://dsrt.dyndns.org]
      ;Target OS: NTv6.1
      v383c
      breg
      
      delall %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\5\0OBBDSSH5F8MQ7J.EXE
      addsgn 9252620A156AC1CCE0AB514E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 48 Trojan.Encoder.94 [DrWeb]
      
      zoo %SystemDrive%\USERS\ADMIN\DESKTOP\HELPFILES.EXE
      bl CFBC736D5A16198F13E7BF360E5004BE 7168
      delall %SystemDrive%\USERS\ADMIN\DESKTOP\HELPFILES.EXE
      addsgn 925277DA136AC1CC0B04574E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 8 Trojan.Win32.Agent.ahbld [Kaspersky]
      
      zoo %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\LOGS\SMSS.EXE
      bl EC22836DB480876BB8A3C1DBA251E8FA 270361
      delall %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\LOGS\SMSS.EXE
      zoo %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\LOGS\WINLOGON.EXE
      delall %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\LOGS\WINLOGON.EXE
      del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\001\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\002\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\003\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\004\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\005\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\006\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\007\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\008\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\009\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\010\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\011\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\012\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\013\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\014\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\015\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\NIKOO\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER01\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER02\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER03\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER04\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER05\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER06\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER07\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER08\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER09\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER10\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER11\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER12\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\USER19\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      del %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
      chklst
      delvir
      
      czoo
    4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
    5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Сервер перезагрузите вручную.
    6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.


    Сделайте новый лог uVS.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  17. #16
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9
    сделал

  18. #17
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,240
    Вес репутации
    1022
    Где новый лог uVS?
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  19. #18
    Junior Member Репутация
    Регистрация
    28.09.2014
    Сообщений
    8
    Вес репутации
    9
    не могу добавить файл лога превысил предел на форуме

    - - - - -Добавлено - - - - -

    https://cloud.mail.ru/public/348214a5563f%2FSERVER1C_2014-09-28_20-51-08.7z

  20. #19
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,240
    Вес репутации
    1022
    Выполните скрипт в uVS:

    Код:
    ;uVS v3.83 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v383c
    breg
    
    del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MMCEX\20D6B24D26DB1B59396BCABDDDD229C0\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
    del %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_64\MMCEX\97FE9F12623A9CD6BB058E30F08F20D5\КАК РАСШИФРОВАТЬ ФАЙЛЫ.TXT
    delall %Sys32%\LOCALHOST\LOCALCHOST.EXE
    Компьютер перезагрузите вручную.


    information

    Информация



    Скачайте te94decrypt.exe и сохраните в корень диска С.

    В командной строке введите:
    Код:
    C:\te94decrypt.exe -k 475
    Внимание!!!
    1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

    2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались



    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  21. #20
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,534
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 7
    • В ходе лечения обнаружены вредоносные программы:
      1. \helpfiles.exe - Trojan-Ransom.Win32.Xorist.er ( BitDefender: Generic.Malware.Sprn.EA2F069C )
      2. \helpfiles.exe._4aea5ace463590c5c2bd1cc571851e5e63 0d9331 - Trojan-Ransom.Win32.Xorist.er ( BitDefender: Generic.Malware.Sprn.EA2F069C )
      3. \smss.exe._650cf7461433277b0e4c1f62d1eb90b4799951d c - Trojan.Win32.Agent.ahbld ( BitDefender: Trojan.GenericKD.1779700 )


  • Уважаемый(ая) vpup, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. расшифровка файлов
      От ruslanleo в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 24.09.2014, 15:47
    2. Расшифровка файлов
      От Алеша Чехонте в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 05.08.2014, 13:18
    3. Расшифровка файлов
      От Dimano88 в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 21.07.2014, 15:44
    4. Расшифровка файлов.
      От ekv в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 29.09.2012, 16:30
    5. Расшифровка файлов
      От kolchind в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 09.07.2012, 11:28

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01434 seconds with 23 queries