Зашифрованны файлы kuzya@qq_com [Trojan-Spy.Win32.VB.qft, ]

Printable View

27.05.2014, 10:56
dayver

Вложений: 3

Зашифрованны файлы kuzya@qq_com [Trojan-Spy.Win32.VB.qft, ]

Добрый день! буквально сегодня ночью через rdp проникли и зашифровали файлы - базы 1с, doc, rar.
Помогите пожалуйста!
ссылки на некоторые зашифрованные файлы:
[COLOR=#000000][FONT=Tahoma]rar: [URL]http://webfile.ru/e7be198f595d197762960577f045c0a5[/URL]
[/FONT][/COLOR][COLOR=#000000][FONT=Tahoma]txt: [URL]http://webfile.ru/8a1c62cc6c8d36dfe410cc8c021a87cf[/URL]
doc: [/FONT][/COLOR][COLOR=#000000][FONT=Tahoma]http://webfile.ru/614bc9a94f6109c3c45d10e2e8d56369
[/FONT][/COLOR]
27.05.2014, 10:57
Info_bot

Уважаемый(ая) [B]dayver[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.05.2014, 12:05
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\windows\systеm32\svсhost.exe');
QuarantineFileF('c:\windows\systеm32', '*', true, ' ', 0, 0);
QuarantineFileF('c:\program files\ss', '*', true, ' ', 0, 0);
QuarantineFile('C:\WINDOWS\apppatch\svchost.exe','');
QuarantineFile('c:\program files\ss\safesurf.exe','');
QuarantineFile('c:\program files\ss\wasppacer.exe','');
QuarantineFile('c:\windows\systеm32\svсhost.exe','');
DeleteFile('C:\WINDOWS\Systеm32\svсhost.exe','32');
DeleteFile('c:\program files\ss\wasppacer.exe','32');
DeleteFile('c:\program files\ss\safesurf.exe','32');
DeleteFile('C:\WINDOWS\apppatch\svchost.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

[/CODE]

[B]Внимание![/B] Перезагрузите сервер вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\Systеm32\svсhost.exe

[/CODE]

[QUOTE]
MSIE: Internet Explorer v6.00 SP2 (6.00.3790.3959)
[/QUOTE]
А сервер-то дырявый как решето. Установите обновления.

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]
27.05.2014, 16:58
dayver

Вложений: 3

дополнение

файлы во вложении
27.05.2014, 17:47
mike 1

Я вроде давал ссылку на MBAM 1.75. Деинсталлируйте новую версию MBAM и сделайте лог версией 1.75
27.05.2014, 19:02
dayver

Вложений: 1

дополнение

прошу прощения, вот лог
27.05.2014, 19:38
mike 1

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
QuarantineFile('C:\WINDOWS\svchost.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 2
HKLM\SYSTEM\CurrentControlSet\Services\Microsoft .NET Framework v4 (Trojan.Agent) -> Действие не было предпринято.
HKLM\SOFTWARE\JetSwap (Adware.JetSwap) -> Действие не было предпринято.

Обнаруженные файлы: 3
c:\1\новая папка\iexplore\services\myac\1\window5\system321\safesurf.exe (Trojan.Downloader) -> Действие не было предпринято.
c:\program files\ss\f\cg.exe (PUP.BitCoinMiner) -> Действие не было предпринято.
C:\WINDOWS\svchost.exe (Trojan.Agent) -> Действие не было предпринято.
[/CODE]

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
27.05.2014, 22:58
dayver

Вложений: 2

продолжение

авз выдает такую гадость при запуске скрипта и создает пустой файл с карантином
------------------
Ошибка [2, QUARANTINEFILE]
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено
------------------
логи sitlog прилагаю
28.05.2014, 00:44
mike 1

[CODE]
21.03.2014 05:07:25 ----A---- C:\WINDOWS\System32\zul.exe
21.03.2014 05:07:25 ----A---- C:\WINDOWS\System32\fspstart.dll
21.03.2014 05:07:25 ----A---- C:\WINDOWS\System32\fspflt.dll
21.03.2014 05:04:57 ----A---- C:\WINDOWS\System32\drivers\FSPFltd.sys
21.03.2014 05:04:51 ----A---- C:\WINDOWS\svchost.exe
21.03.2014 05:04:51 ----A---- C:\WINDOWS\System32\instsrv.exe
21.03.2014 04:55:16 ----D---- C:\WINDOWS\System32\drivers\h
[/CODE]

Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
28.05.2014, 09:48
dayver

запрошенные файлы прилагаю, но не все, авз опять выдает сообщение о том, что не все может закарантинить
Ошибка [2, QUARANTINEFILE]
Карантин с использованием прямого чтения - ошибка
28.05.2014, 09:58
mike 1

Запакуйте тогда оставшиеся файлы вручную в zip архив с паролем [B]virus[/B] и пришлите по красной ссылке.
28.05.2014, 11:36
dayver

сделал, приложил, все получилось
28.05.2014, 12:17
mike 1

[QUOTE]21.03.2014 05:04:51 ----A---- C:\WINDOWS\svchost.exe[/QUOTE]
Это от активатора какого-то. Возможно от офиса.

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ExecuteAVUpdate;
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\WINDOWS\Tasks\At1.job','');
DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
DeleteFileMask('C:\WINDOWS\System32\drivers\h', '*', true, ' ');
DeleteDirectory('C:\WINDOWS\System32\drivers\h');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.
[/CODE]

После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Перезагрузите сервер вручную.

Сделайте новые логи Sitlog.
28.05.2014, 12:40
dayver

Вложений: 2

добавление

ситлог сделал, прилагаю. карантин отправил красной кнопкой
28.05.2014, 22:03
mike 1

Папку эту [B]C:\Program Files\ss[/B] удалите в остальном логи в порядке. Сам шифратор к сожалению не удалось найти.
28.05.2014, 22:13
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\apppatch\svchost.exe - [B]Trojan-Spy.Win32.VB.qft[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]