[email protected] 1.2.0.0.id

**vganin** · 28.12.2015, 20:10

Зашифровал файлы в расшаренной папке на сервере. Логи прилагаю.
https://yadi.sk/d/g1JWGYKRmZ2GJ - примеры зашифрованных файлов

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 28.12.2015, 20:12

Уважаемый(ая) vganin, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**vganin** · 28.12.2015, 22:31

добавил логи Farbar

**thyrex** · 29.12.2015, 19:38

Логи нужны с компьютера, ставшего источником шифрования

**vganin** · 29.12.2015, 22:29

Нашёл источник заражения. Прилагаю логи

**thyrex** · 30.12.2015, 18:17

И этот компьютер никак не похож на первоисточник

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-639111-601984244-2035103677-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.search.ask.com/?tpid=ORJ-SPE&o=APN11406&pf=V7&trgb=IE&p2=%5EBBE%5EOSJ000%5EYY%5ERU&gct=hp&apn_ptnrs=BBE&apn_dtid=%5EOSJ000%5EYY%5ERU&apn_dbr=Opera.exe_0_12.17.1863.0&apn_uid=92FAA88A-2CCC-4BC9-82E1-3C7F80010FEA&itbv=12.18.0.82&doi=2014-10-24&psv=&pt=tb
SearchScopes: HKU\S-1-5-21-2158918041-901366300-1387024654-1113 -> {4F931B7D-E797-4C72-A95C-BFAB8DE0D219} URL = hxxp://www.search.ask.com/web?tpid=ORJ-SPE&o=APN11406&pf=V7&p2=^BBE^OSJ000^YY^RU&gct=&itbv=12.18.0.82&apn_uid=92FAA88A-2CCC-4BC9-82E1-3C7F80010FEA&apn_ptnrs=BBE&apn_dtid=^OSJ000^YY^RU&apn_dbr=Opera.exe_0_12.17.1863.0&doi=2014-10-24&trgb=IE&q={searchTerms}&psv=&pt=tb
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

**vganin** · 30.12.2015, 18:42

Прилагаю fixlog. Все ПК проверили, энкодер только на этом обнаружен

**thyrex** · 30.12.2015, 19:08

И никаких признаков этого в логах

Если, конечно, нашкодивший из Вашей организации (тот, кто его запустил) не постарался в зачистке следов.

С расшифровкой не поможем

**vganin** · 30.12.2015, 22:27

web.jpg картинка с этого ПК.
А как их можно зачистить?

**thyrex** · 01.01.2016, 12:30

Все детекты на скриншоте никак не связаны с шифровальщиком

**vganin** · 01.01.2016, 14:48

Trojan.encoder.567 разве не оно?
А как тогда должно определяться?

**thyrex** · 01.01.2016, 15:31

Хм, действительно оно. Не заметил

Мусор Вам зачистили. Про невозможность расшифровки написано выше

[email protected] 1.2.0.0.id (заявка № 195148)

Опции темы