Файлы DBF и XLS в базе 1С зашифровались [not-a-virus:RemoteAdmin.Win32.Ammyy.bc, not-a-virus:Monitor.Win32.KeyLogger.heur ]

Printable View

12.07.2014, 06:57
Sagdas

Вложений: 2

Файлы DBF и XLS в базе 1С зашифровались [not-a-virus:RemoteAdmin.Win32.Ammyy.bc, not-a-virus:Monitor.Win32.KeyLogger.heur ]

[B]Помогите! файлы сменили расширение[/B]

[INDENT] .id-{FGGIJKKKLMNOOOPQRSSSTUVWXXXYZABBBCDE-11.07.2014 [email]4@09@547966421}[email protected][/email][/email]

[TABLE="width: 100%"]
[TR]
[TD="class: BlackDate"]11.07.2014 4:19:28[/TD]
[/TR]
[TR]
[TD="class: BlueDate, width: 25%"][B] Программа:[/B][/TD]
[TD="class: BlueDate"]TSTheme Server Module - C:\Windows\System32\TSTheme.exe[/TD]
[/TR]
[TR]
[TD="class: RedData, width: 25%"][B]Активность Программ:[/B][/TD]
[TD="class: BlackBold"]Выход[/TD]
[/TR]
[/TABLE]
[HR][/HR][TABLE="width: 100%"]
[TR]
[TD="class: my5, width: 30"]42.[/TD]
[TD="class: BlackDate, width: 25%"][B] Дата:[/B][/TD]
[TD="class: BlackDate"]11.07.2014 4:19:20[/TD]
[/TR]
[TR]
[TD="class: BlueDate, width: 25%"][B] Программа:[/B][/TD]
[TD="class: BlueDate"]TSTheme Server Module - C:\Windows\System32\TSTheme.exe[/TD]
[/TR]
[TR]
[TD="class: RedData, width: 25%"][B]Активность Программ:[/B][/TD]
[TD="class: BlackBold"]Запуск с параметрами: -Embedding[/TD]
[/TR]
[/TABLE]
[HR][/HR][/INDENT]

[TABLE]
[TR]
[TD="class: BlackDate"][B] Дата:[/B] [/TD]
[TD="class: BlackDate"]11.07.2014 4:12:19[/TD]
[/TR]
[TR]
[TD="class: BlueDate, width: 25%"][B] Программа:[/B][/TD]
[TD="class: BlueDate"]Проводник - C:\Windows\explorer.exe[/TD]
[/TR]
[TR]
[TD="class: GreenDate, width: 25%"][B]Заголовок окна:[/B][/TD]
[TD="class: GreenDate"]1С_Разное
[TABLE]
[TR]
[TD="class: my5"][/TD]
[TD="class: BlackDate, width: 25%"][B] Дата:[/B][/TD]
[TD="class: BlackDate"]11.07.2014 4:10:18[/TD]
[/TR]
[TR]
[TD="class: BlueDate, width: 25%"][B] Программа:[/B][/TD]
[TD="class: BlueDate"]Проводник - C:\Windows\explorer.exe[/TD]
[/TR]
[TR]
[TD="class: RedData, width: 25%"][B]Операции с файлами:[/B][/TD]
[TD="class: BlackBold"][B]Удаление[/B]
[B]Файлы: [/B]C:\Users\гостиница\Desktop\build.exe[/TD]
[/TR]
[/TABLE]
[HR][/HR][TABLE]
[TR]
[TD="class: my5"]57.[/TD]
[TD="class: BlackDate, width: 25%"][B] Дата:[/B][/TD]
[TD="class: BlackDate"]11.07.2014 4:09:54[/TD]
[/TR]
[TR]
[TD="class: BlueDate, width: 25%"][B] Программа:[/B][/TD]
[TD="class: BlueDate"]Build - C:\Users\гостиница\AppData\Local\Temp\4\RarLab\build.exe[/TD]
[/TR]
[TR]
[TD="class: RedData, width: 25%"][B]Активность Программ:[/B][/TD]
[TD="class: BlackBold"]Запуск[/TD]
[/TR]
[/TABLE]
[HR][/HR] [TABLE]
[TR]
[TD="class: my5"]58.[/TD]
[TD="class: BlackDate, width: 25%"][B] Дата:[/B][/TD]
[TD="class: BlackDate"]11.07.2014 4:09:42[/TD]
[/TR]
[TR]
[TD="class: BlueDate, width: 25%"][B] Программа:[/B][/TD]
[TD="class: BlueDate"]Build - C:\Users\гостиница\Desktop\build.exe[/TD]
[/TR]
[TR]
[TD="class: RedData, width: 25%"][B]Активность Программ:[/B][/TD]
[TD="class: BlackBold"]Запуск[/TD]
[/TR]
[/TABLE]
[/TD]
[/TR]
[TR]
[TD="class: RedData"][/TD]
[TD="class: BlackBold"]79.134.2.90[/TD]
[/TR]
[/TABLE]
[HR][/HR]
12.07.2014, 07:00
Info_bot

Уважаемый(ая) [B]Sagdas[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
12.07.2014, 10:52
thyrex

MPK-кейлоггер сами устанавливали?
12.07.2014, 11:12
Sagdas

[QUOTE=thyrex;1136259]MPK-кейлоггер сами устанавливали?[/QUOTE]

Да !!! Думаете это он ???
12.07.2014, 11:15
thyrex

Нет.

Я думаю, что этот компьютер мог и не быть источником заражения
C:\Users\гостиница - это папка на данном компьютере? Если это так, то зашли по RDP
12.07.2014, 11:19
Sagdas

[QUOTE=thyrex;1136267]Нет.

Я думаю, что этот компьютер мог и не быть источником заражения[/QUOTE]

Год точно кейлогер работает,и всё нормально было. В кейлогере странные вещи происходили.

вот например....
Дата: 11.07.2014 4:19:16
Программа: Диспетчер задач Windows - C:\Windows\System32\taskmgr.exe
Активность Программ: Выход
44. Дата: 11.07.2014 4:18:03
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 178.236.141.237@Дмитрий;123 ?
45. Дата: 11.07.2014 4:18:01
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Тип события: По срабатыванию таймера
Снимки Экрана:
46. Дата: 11.07.2014 4:14:49
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: direktor
47. Дата: 11.07.2014 4:14:37
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 212.19.23.147
48. Дата: 11.07.2014 4:14:28
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 80.242.49.253@бухгалтер;321
49. Дата: 11.07.2014 4:13:14
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 80.242.49.253
50. Дата: 11.07.2014 4:13:02
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 79.134.2.90@buhgalter;1
51. Дата: 11.07.2014 4:13:01
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Тип события: По срабатыванию таймера
12.07.2014, 11:25
thyrex

Стало быть это предположение верно
[quote="thyrex;1136267"]C:\Users\гостиница - это папка на данном компьютере? Если это так, то зашли по RDP[/quote]Шел перебор паролей :)
12.07.2014, 11:29
Sagdas

Есть ли возможность расшифровать эти файлы????
52. Дата: 11.07.2014 4:12:27
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: buhgalter
53. Дата: 11.07.2014 4:12:19
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 79.134.2.90
54. Дата: 11.07.2014 4:11:54
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: user
55. Дата: 11.07.2014 4:11:46
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: 1С_Разное
Буфер Обмена: 62.165.54.190
56. Дата: 11.07.2014 4:10:18
Программа: Проводник - C:\Windows\explorer.exe
Операции с файлами: Удаление
Файлы: C:\Users\гостиница\Desktop\build.exe
57. Дата: 11.07.2014 4:09:54
Программа: Build - C:\Users\гостиница\AppData\Local\Temp\4\RarLab\build.exe
Активность Программ: Запуск
58. Дата: 11.07.2014 4:09:42
Программа: Build - C:\Users\гостиница\Desktop\build.exe
Активность Программ: Запуск
59. Дата: 11.07.2014 4:09:39
Программа: Проводник - C:\Windows\explorer.exe
Операции с файлами: Копирование
Из: \\tsclient\C\1\build.exe
В: C:\Users\гостиница\Desktop
60. Дата: 11.07.2014 4:08:24
Программа: 1C:V7 starter program (for SQL) - C:\Program Files (x86)\1Cv77\BIN\1cv7s.exe
Активность Программ: Выход
61. Дата: 11.07.2014 4:04:25
Программа: TSTheme Server Module - C:\Windows\System32\TSTheme.exe
Активность Программ: Выход

Есть ли какой нибудь дешифратор.
Думаю с тем что вломились по RDP более менее понятно.
12.07.2014, 11:31
thyrex

C:\Users\гостиница\Desktop\build.exe это был сам шифровальщик. Но для дешифровки он ничем не поможет

Увы, без оригинального дешифратора никак
12.07.2014, 11:48
Sagdas

Так ещё одна тема есть...на этом же форуме...(заявка № 162736)

Тоже самое...
12.07.2014, 12:01
thyrex

И что из этого должно следовать?
12.07.2014, 12:09
Sagdas

Хороший вопрос!!! у меня и у заявки (заявка № 162736) в один день это случилось.
и тот же самый майл [email][email protected][/email] только и всего.
Смею предположить что это всё таки шифровальщик. Не ?
12.07.2014, 12:14
thyrex

Читали?
[quote="thyrex;1136273"]C:\Users\гостиница\Desktop\build.exe это был сам шифровальщик. Но для дешифровки он ничем не поможет[/quote]

Если дальнейшие разъяснения требуются, продолжаю: ключ шифрования уникален для каждого компьютера. Универсального дешифратора нет и не предвидится
12.07.2014, 12:19
Sagdas

Ясно!! В любом случае спасибо !!!
14.07.2014, 11:35
Sagdas

Внимание!
Если Вы читаете это сообщение, значит Ваш компьютер был атакован опаснейшим вирусом.
Вся ваша информация (документы, базы данных, бэкапы и другие файлы) на этом компьютере была зашифрована с помощью самых криптостойких алгоритмов.
Все зашифрованые файлы имеют формат .EBF
Восстановить файлы можно только зная уникальный для вашего пк пароль.
Подобрать его невозможно. Смена ОС ничего не изменит. Ни один системный администратор в мире не решит эту проблему не зная кода.
Ни в коем случае не изменяйте файлы! А если решились, то сделайте резервные копии.
Напишите нам письмо на адрес [email][email protected][/email] (если в течение суток вам не ответят то на [email][email protected][/email]) чтобы узнать как получить дешифратор и пароль.
Папка C:\Program Files\Internet Explorer не зашифрована, там вы сможете запустить браузер.
Среднее время ответа специалиста 1-12 часов.
К письму прикрепите файл "ЧТО_НУЖНО_СДЕЛАТЬ.txt".
Письма с угрозами будут угрожать только Вам и Вашим файлам!
НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!

====================================================================
eCwwhhqNbUrYnhulwL0Fr41OUxiU3vOi
====================================================================

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Вот что пришло в этот день.
14.07.2014, 12:01
thyrex

Без шансов
14.07.2014, 12:11
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\mpk\mpk.exe - [B]not-a-virus:Monitor.Win32.KeyLogger.heur[/B][*] c:\users\администратор\downloads\aa_v3.exe - [B]not-a-virus:RemoteAdmin.Win32.Ammyy.bc[/B] ( DrWEB: Program.RemoteAdmin.701 )[/LIST][/LIST]