Printable View
Добрый вечер, файлы в расшаренной папке с расширением .jpg .pdf .doc .xls стали зашифрованы и переименованы с добавлением [email][email protected][/email]_h19.
Зараженный компьютер был обнаружен. В автозапуске сидел файл 312.exe
Процесс убит, а файл за архивирован и удален. Архив с 312.exe оставил на всякий.
Помогите расшифровать файлы.
Уважаемый(ая) [B]Denes[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[URL="http://virusinfo.info/content.php?r=136-pravila"][B]Правила[/B][/URL]
[URL="http://virusinfo.info/showthread.php?t=121951"][B]Как оформить заявку в разделе "Помогите!"[/B][/URL]
Вложил логи с зараженного копмпьютера.
AVZ нужно запускать через контекстное меню проводника от имени Администратора
Закройте все программы
Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
1. [B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\Юдина\appdata\local\temp\ztrbs.exe');
QuarantineFile('C:\Users\Юдина\AppData\Local\Microsoft\Windows Live Mail\Vlg.saturn aae\Sent Items\00294823-00000801.eml','');
QuarantineFile('C:\Users\Юдина\AppData\Local\Microsoft\Windows Live Mail\Vlg.saturn aae\Sent Items\00294823-000004A8.eml','');
QuarantineFile('C:\Users\Юдина\AppData\Local\Microsoft\Windows Live Mail\Vlg.saturn aae\Inbox\00294823-00000320.eml','');
QuarantineFile('C:\Users\Юдина\AppData\Roaming\Idvaeh\ovhya.exe','');
QuarantineFile('c:\users\Юдина\appdata\local\temp\ztrbs.exe','');
QuarantineFileF('C:\Users\Юдина\AppData\Roaming\Idvaeh', '*', true, ' ', 0, 0);
DeleteFile('c:\users\Юдина\appdata\local\temp\ztrbs.exe','32');
DeleteFile('C:\Users\Юдина\AppData\Roaming\Idvaeh\ovhya.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{106B43EF-A1C4-5F8A-29C4-D849F7E55D23}');
RegKeyParamDel('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
DeleteFileMask('C:\Users\Юдина\AppData\Roaming\Idvaeh', '*', true, ' ');
DeleteDirectory('C:\Users\Юдина\AppData\Roaming\Idvaeh');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
2. Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
3. [B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = https://qufontana.com/themes/fde.exg
O4 - HKCU\..\Run: [{106B43EF-A1C4-5F8A-29C4-D849F7E55D23}] C:\Users\Юдина\AppData\Roaming\Idvaeh\ovhya.exe
[/CODE]
4. Это сами блокировали?
[QUOTE]Заблокированы настройки системы System Restore[/QUOTE]
5. Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Карантин отправил, Возможно Заблокированы настройки системы System Restore из за ограниченности учетной записи?
Повторные логи.
Закройте все программы
Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Юдина\AppData\Local\Temp\ztrbs.exe','');
DeleteFile('C:\Users\Юдина\AppData\Local\Temp\ztrbs.exe','32');
DeleteFile('C:\Windows\Tasks\nd6fosyt.job','32');
DeleteFile('C:\Windows\system32\Tasks\nd6fosyt','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Если сами настройки восстановления системы не блокировали, тогда откройте AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Исправьте:
[CODE]Заблокированы настройки системы System Restore[/CODE]
Сделайте новые логи AVZ
Карантин залил, новые логи.
Логи в порядке. Дешифратором пока никто не поделился для этой версии.
Спасибо большое, а как скоро по вашему появится дешифратор? Или возможно не появится?
[QUOTE=Denes;1057307]Спасибо большое, а как скоро по вашему появится дешифратор? Или возможно не появится?[/QUOTE]
Пока кто нибудь не поделится дешифратором для оказания помощи другим пользователям. Может и вообще не появится.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\юдина\\appdata\\local\\temp\\ztrbs.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Kazy.276674, AVAST4: Win32:Malware-gen )[/LIST][/LIST]