Lockdir.exe - &am p;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a m

Тема поднималась, решения пролемы не нашел. Перебирал пароли которые были в теме : [URL]http://virusinfo.info/showthread.php?t=120806&p=892546&viewfull=1#post892546[/URL].
[B]Итак:[/B]
После праздников файлы на пк были зашифрованы. Также все время работает процесс wasppacer (причем когда только воткнул интернет - заработала программа wasppacer - я не знаю что это, отключил интернет на всякий)
Ситуация выглядит так, как будто кто то подключился - поставил по и спокойно отключился... Зайдя через far manager - увидел скрытые папки - в них висят все данные но с расширением .rn, В свойтвах они как системные, если снять - то становятся видимы в системе.
Можете помочь расшифровать данные? (или преобразовать из расширения .rn) и избавить от процесса wasppacer?
логи avz и hijackThis прилагаются.
Могу приложить зашифрованный фаил (просто он не копируется на флешку, не хочет. Можно его скопировать через фар и то он на пол пути ошибку дает, но что-то все таки скопирует)

Уважаемый(ая) [B]Sheykom[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

TeamViewer ваш?

По Lockdir подробности нужны, сообщение вымогателя хотя бы.

TeamViewer наш был. сообщения вымогателя могу скинуть - фото приложил


[QUOTE=Vvvyg;1115726]
По Lockdir подробности нужны.[/QUOTE]

простите, что нужно?

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
TerminateProcessByName('c:\recycle.bin\winlogon.exe');
TerminateProcessByName('c:\recycle.bin\wasppacer.exe');
TerminateProcessByName('c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe');
TerminateProcessByName('C:\Program Files\Intel\DMIX\Hlp\MPK.exe');
QuarantineFile('C:\Program Files\Intel\DMIX\Hlp\MPK.dll','');
QuarantineFile('c:\recycle.bin\winlogon.exe','');
QuarantineFile('c:\recycle.bin\wasppacer.exe','');
QuarantineFile('c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe','');
QuarantineFile('C:\Program Files\Intel\DMIX\Hlp\MPK.exe','');
DeleteFile('C:\Program Files\Intel\DMIX\Hlp\MPK.exe','32');
DeleteFile('c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe','32');
DeleteFile('c:\recycle.bin\wasppacer.exe','32');
DeleteFile('c:\recycle.bin\winlogon.exe','32');
DeleteFile('C:\Program Files\Intel\DMIX\Hlp\MPK.dll','32');
DeleteFileMask('c:\recycle.bin','*',true);
DeleteFileMask('C:\Program Files\Intel\DMIX','*',true);
DeleteDirectory('c:\recycle.bin');
DeleteDirectory('C:\Program Files\Intel\DMIX');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('TSW',3,3,true);
BC_Activate;
end.[/code]Перезагрузите сервер вручную.

Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Смените пароли администраторских учётных записей, от баз данных.

Доброе утро, простите что вчера не сделал, рабочий день закончился, а из дома забыл..

Сделал как написали: 1 скрипт - перезагрузился - 2скрипт. quarantine.zip - отправил.

2 стандартный срипт вложил

Выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
TerminateProcessByName('c:\users\terminal\appdata\local\temp\5\jp\rutserv.exe');
DeleteFile('c:\users\terminal\appdata\local\temp\5\jp\rutserv.exe','32');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
BC_Activate;
end.[/CODE]Перезагрузите сервер вручную.

Ещё раз смените пароли, сервер был под удалённым управлением злоумышленника.

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url], только программу скачайте [URL="http://yadi.sk/d/nRJyhDgrJNAGr"]отсюда[/URL].

Чтобы не повторяться - выполните рекомендации [URL="http://virusinfo.info/showthread.php?t=155834&p=1094286&viewfull=1#post1094286"]отсюда[/URL]. Особое внимание -файрволу и антивирусу, при правильных настройках этих компонентов защиты взлом снаружи, так скажем, будет весьма затруднён.

Не успел сохранить картинку по Lockdir, а из вложений она пропала - по адресу e-mail вымогателя можно попробовать поискать варианты дешифровки (хотя вряд ли, сразу предупреждаю).

Скрипт выполнил. Пароль снова поменял. Образ сделал.


Прошел по рекомендациям:
[I] Включить в антивирусе противодействие потенциально нежелательным программам[/I] - не нашел((

Брандмауэр был выключен, почему-то, когда все произошло. Сейчас включил, доступ разрешн только по 2м портам. Может подкинете статейки, как правильно настраивать, я в этом не особый специалист((

Возможность восстановить информацию мало, я так понимаю?

Пробуйте код [CODE]zFM485*$ng4884n5a*%Gnenrenere8ne[/CODE]но надежды мало. Сохраните один из экземпляров lockdir.exe для дальнейших экспериментов где-нибудь, упаковав в архив, дальше вычистим его.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.0

; C:\USERS\АДМИНИСТРАТОР\НОВАЯ ПАПКА\WASPPACER.EXE
addsgn 9252778A366AC1CC0BD4734EA34F0E79028AEA4128B348FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 24 Win32/Wasppacer.A [ESET-NOD32]

zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\НОВАЯ ПАПКА\WASPPACER.EXE
; C:\USERS\АДМИНИСТРАТОР\DOWNLOADS\777\2.EXE
addsgn 9252770A036AC1CC0B54474EA34FB6953F8AD39745A648F1604E5998D0178EB312D7936EE220660F6DD3ECD46D3649ADFE1CEC213D700F252D2127ECC35572B4 24 Tool.ClearLogs.1 [DrWeb]

zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\DOWNLOADS\777\2.EXE
; D:\KAV6_UPDATE\LOCKDIR.EXE
addsgn 9252776A0A6AC1CC0BF44E4EA34FEAEC3A8A97F81BDA48F1604E5998D0178EB312D7936EE220660F6DD3ECFC513A49ADFE1CEC213D10FD202D2127ECC35572B4 24 Trojan.FolderLock.3 [DrWeb]

zoo D:\KAV6_UPDATE\LOCKDIR.EXE
; D:\BACKUP_OPACGLOBAL\LOCKDIR.EXE
; D:\BCKUP МОДЕМА ASUS\LOCKDIR.EXE
; D:\FULLTEXT\LOCKDIR.EXE
; D:\SUPPORT\LOCKDIR.EXE
; D:\КАСПЕРСК\LOCKDIR.EXE
; C:\ОБМЕН\LOCKDIR.EXE
; C:\BACKUP\LOCKDIR.EXE
; C:\USERS\АДМИНИСТРАТОР\DESKTOP\АРХИВ БАЗ ОПАК 271113\LOCKDIR.EXE
chklst
delvir
delref %SystemDrive%\PROGRAM FILES\UVNC BVBA\ULTRAVNC\WINVNC.EXE
czoo
quit[/code]Программа закроется, перезагрузка не требуется.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В терминологии Антивируса Касперского скрыто установленные на сервере программы относятся к "потенциально опасному ПО (riskware)", как включить борьбу с ним, смотрите [URL="http://support.kaspersky.ru/1526"]в этой статье/1526[/URL]. Кстати, и проактивная защита может помочь в таих ситуациях.
Программу удалённого управления и кейлоггер, которые у вас удалили, продукты Касперского определяют как
not-a-virus:RemoteAdmin.Win32.Agent.lr и not-a-virus:Monitor.Win32.KGBSpy.cg соответственно. Wasppacer попробую отослать им отдельно, чтобы добавили в базы.

Что касается статей, как настраивать брандмауэр и систему безопасности вообще - навскидку не дам ссылок, читайте книги по компьютерной безопасности и системному администрированию, а главное - постарайтесь осознать угрозы и то, откуда они могут исходить. Ну, и про бэкапы не забывайте.

Код не подошел( Скрипт выполнил - загрузил

Ещё один детект от касперского: not-a-virus:RiskTool.Win32.LockDir.c

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Выполнил - Найденных уязвимостей не обнаружено.

Заметил, что удалилась программа запроса кода для расшифровки. и ушел процесс WASPPACER - за что благодарен, а то меня уже дергают мол хрен с ним сноси систему и ставь заново.

Могу только отослать к [url="http://virusinfo.info/showthread.php?t=121902"]рекомендациям после лечения[/url].

т.е. смысла восстанавливать (расшифровывать файлы) нет? можно просто удалять и возобновлять работу?

На всякий случай сохраните где-то.
А утерянные файлы хороший админ восстанавливает из вчерашнего бэкапа ;)
Кстати, если восстановление системы включено, можно попробовать вернуть файлы через него.

Я видимо плохой админ=(, бэкапов нет, а те что есть, кто их делал не знаю, - они зашифрованы. Сейчас смотрел логи пк, там тип этот, конечно ломился в систему нещадно, столько раз пробывал подрубиться.... скажите есть версии как он мог подключиться?

Бэкапы должны делаться на другое устройство, желательно сетевой ресурс, который в явном виде, как сетевой диск, недоступен под учёткой, в которой работаете на сервере. Например, сетевое хранилище, на нём отдельная учётка для бэкапов и раздел, доступный на запись, только под ней. А на сервере под этим пользователем работает программа, делающая резервные копии, например, [URL="http://www.cobiansoft.com/cobianbackup.htm"]Cobian Backup 11[/URL] хорошо для такой задачи подходит. Работает с теневыми копиями, как сервис, жмёт крепко в .7Z.

По поводу проникновения - смотрите логи, Вам лучше знать, каким образом открыт снаружи доступ к серверу. Самые распространённые варианты - по RDP, через уязвимости или подбор пароля WEB-сервера, SQL-серверов, через подсаженый бэкдор. Последний вариант - вполне вероятен, удалённое администрирование было.

Спасибо большое за помощь, за потраченное время! и за разъяснения!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\intel\dmix\hlp\mpk.dll - [B]not-a-virus:Monitor.Win32.KGBSpy.cg[/B] ( DrWEB: Program.KgbSpy.38 )[*] c:\program files\intel\dmix\hlp\mpk.exe - [B]not-a-virus:Monitor.Win32.KGBSpy.do[/B] ( DrWEB: Win32.HLLW.MyBot.8386, BitDefender: GenPack:Backdoor.Rbot.YEF )[*] c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe - [B]not-a-virus:RemoteAdmin.Win32.Agent.lr[/B][/LIST][/LIST]