шыфровальщик файло [HEUR:Trojan.Win32.Generic ]

Printable View

03.09.2013, 14:10
Phoenix007

Вложений: 4

шыфровальщик файло [HEUR:Trojan.Win32.Generic ]

смотрел Ваш форум и понял, что не у меня единственного...
но вроде как написано, каждый случай уникален..
так что не стал рисковать и решил изложить суть проблемы:
маленькое предприятие, на почту главбуху сваливаеться письмо следующего содержания:
[CENTER]"ИСПОНИТЕЛЬНОE ПРОИЗВОДСТВO
[/CENTER]
Увeдомляем вaс о тoм ,чтo в отнoшeнии вaс на сентябрь 2013 г. зaпланировано провeдение мeр принудительного исполнения согласно ст.64 ФЗ " Об исполнительном производстве" судебный пристав - исполнитель с разрешения в письменной форме старшего судебного пристава исполнителя имеет право входить в жилое помещение,занимаемое должником без согласия должника.В настоящее время решается вопрос о получении указанного разрешения и привлечении сил и средств судебных приставов по ОУПДС для совершения исполнительных действий.В случае воспрепятствования исполнению решению суда ваше помещение может быть вскрыто в установленным законом порядке.За невыполнение требований судебнеого пристава-исполнителя предупреждаем Вас об ответственности ст 17.14.17.15 КОАП РФ. Рассмотрение жалоб на постановление ,действие (бездействие) должностных лиц службы судебных приставов поданных в порядке подчиннености в соответствии с главой 18 ФЗ от 02.10.2007 № 229-ФЗ " Об исполнительном производстве" будет рассмотрено согласно прилагаемому образцу в прикреплённом документе. Судебный пристав-исполнитель Лебедев А.Н."
к письму вложения...
ну человек не сильно заморачиваясь открыл файлы во вложениях...
ладно комп, но у человека подключена сетевая папка, как диск, с доками всего предприятия...
в общем файлы зашифрованы и изменено расширение к примеру "Приказ 30.12 о создании комиссии[email protected]_XQ104"
зашифрованны все файлы с расширением: *.doc, .docx, .xls, .pdf, .jpeg
[URL]http://yadi.sk/d/przlVGmP8dKSf[/URL] - virusinfo_autoquarantine.zip
03.09.2013, 14:12
Info_bot

Уважаемый(ая) [B]Phoenix007[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.09.2013, 16:58
mike 1

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\B837~1.TYR\AppData\Local\Temp\3398356aq','');
QuarantineFile('C:\Users\B837~1.TYR\AppData\Local\Temp\2904551aq','');
QuarantineFile('C:\Users\Давыдова.TYRES\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Обращаем ваше внимание на четкое формулирование сущности жалобы.exe','');
QuarantineFile('C:\Users\Давыдова.TYRES\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\africa.bmp','');
DeleteFile('C:\Users\Давыдова.TYRES\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\africa.bmp','32');
DeleteFile('C:\Users\Давыдова.TYRES\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Обращаем ваше внимание на четкое формулирование сущности жалобы.exe','32');
DeleteFile('C:\Windows\system32\Tasks\At1.job','64');
DeleteFile('C:\Windows\Tasks\At1.job','64');
DeleteFile('C:\Users\B837~1.TYR\AppData\Local\Temp\2904551aq','32');
DeleteFile('C:\Windows\system32\Tasks\At2.job','64');
DeleteFile('C:\Windows\Tasks\At2.job','64');
DeleteFile('C:\Windows\system32\Tasks\At1','64');
DeleteFile('C:\Windows\Tasks\At1','64');
DeleteFile('C:\Users\B837~1.TYR\AppData\Local\Temp\3398356aq','32');
DeleteFile('C:\Windows\system32\Tasks\At2','64');
DeleteFile('C:\Windows\Tasks\At2','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O1 - Hosts: 37.10.117.103 m.vk.com odnoklassniki.ru m.odnoklassniki.ru wap.odnoklassniki.ru vk.com my.mail.ru www.odnoklassniki.ru
O4 - Startup: africa.bmp
O4 - Startup: Обращаем ваше внимание на четкое формулирование сущности жалобы.exe
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
[/CODE]

Ваш компьютер находится в домене Domain = tyres.pvt?

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
04.09.2013, 11:11
Phoenix007

Вложений: 2

выполнено

скрипты выполнил. карантин загрузил.
и да компьютер в домене в том что вы указали
04.09.2013, 12:40
mike 1

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Давыдова.TYRES\Downloads\Обращаем ваше внимание на четкое формулирование сущности жалобы (1).exe','');
DeleteFile('C:\Users\Давыдова.TYRES\Downloads\Обращаем ваше внимание на четкое формулирование сущности жалобы (1).exe','32');
DeleteFile('C:\Windows\system32\Tasks\{C874D9BD-55D0-43C3-8C2A-59E2BF1043B5}','64');
DeleteFile('C:\Windows\Tasks\{C874D9BD-55D0-43C3-8C2A-59E2BF1043B5}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Сделайте новые логи АВЗ.
04.09.2013, 13:07
Phoenix007

Вложений: 1

выполнил
04.09.2013, 23:54
thyrex

Плохого не видно

Дешифратором пока никто не поделился
05.09.2013, 10:16
Phoenix007

к сожалению нет...
05.09.2013, 10:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\давыдова.tyres\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\обращаем ваше внимание на четкое формулирование сущности жалобы.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Packed.22393 )[*] c:\\users\\давыдова.tyres\\downloads\\обращаем ваше внимание на четкое формулирование сущности жалобы (1).exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Packed.22393 )[/LIST][/LIST]