Шифрование (Пароль на архив) - [email protected] [Trojan-Ransom.Win32.Cryakl.u ]

Доброго времени суток! В одно прекрасное рабочее утро обнаружилось, что была запаролена вся папка баз 1С на рабочем компьютере. На рабочем столе и в "теле" архива при открытии написан следующий текст:

[B]"Пароль на архив можно получить по адресу [email][email protected][/email] сообщив в теме код 32025, если не отвечают пришлите запрос на [email][email protected][/email]"[/B]

p.s. Хоть на компьютере установлена [COLOR=red]64-разрядная [COLOR=red]операционная система [/COLOR][/COLOR]файл virusinfo_syscure.zip всё равно был сделан.

Уважаемый(ая) [B][email protected][/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\users\buh1\appdata\local\microsoft1\wasppacer.exe');
TerminateProcessByName('c:\users\buh1\appdata\local\microsoft1\smss.exe');
QuarantineFileF('c:\users\buh1\appdata\local\microsoft1', '*', true, ' ', 0, 0);
QuarantineFile('C:\Program Files (x86)\RarLab\build.exe','');
QuarantineFile('c:\users\buh1\appdata\local\microsoft1\wasppacer.exe','');
QuarantineFile('c:\users\buh1\appdata\local\microsoft1\smss.exe','');
DeleteFile('c:\users\buh1\appdata\local\microsoft1\wasppacer.exe','32');
DeleteFile('C:\Program Files (x86)\RarLab\build.exe','32');
DeleteFile('C:\Users\buh1\AppData\Local\Microsoft1\smss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','progrmma');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3135496768-3207342335-2520814534-1003\Software\Microsoft\Windows\CurrentVersion\Run','Adobe Acrobat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Google update','command');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]

Выполнил всё!

Запрошенный карантин также прислал по "Прислать запрошенный карантин вверху темы"!

Самое интересное в карантин не захотело идти. Попробуйте восстановить этот [B]C:\Program Files (x86)\RarLab\build.exe[/B] файл. Папку c:\users\buh1\appdata\local\microsoft1 удалите. Программу Multi Password Recovery сами себе устанавливали?

[QUOTE=mike 1;1139732]Самое интересное в карантин не захотело идти. Попробуйте восстановить этот [B]C:\Program Files (x86)\RarLab\build.exe[/B] файл. Папку c:\users\buh1\appdata\local\microsoft1 удалите. Программу Multi Password Recovery сами себе устанавливали?[/QUOTE]

Восстановил "build.exe"

Папку c:\users\buh1\appdata\local\microsoft1 удалил

Программу Multi Password Recovery да, сам себе устанавливал, думал она пригодится в подборе пароля.

[QUOTE]Восстановил "build.exe"[/QUOTE]
Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[QUOTE=mike 1;1139792]Пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы[/QUOTE]

Загрузил и как в качестве карантина и в обычном виде.

"140721_182240_virus_53cd5a70b415e.zip" (стандартный пароль - virus)
"140721_182341_RarLab_53cd5aad82955.zip"

[[email protected];1139909]Загрузил и как в качестве карантина и в обычном виде.

"140721_182240_virus_53cd5a70b415e.zip" (стандартный пароль - virus)
"140721_182341_RarLab_53cd5aad82955.zip"[/QUOTE]
К сожалению присланный файл относится к совершенно другому шифратору. К архивации и шифровании файлов он точно отношения не имеет.

[LIST=1][*]Скачайте [B][URL="http://dsrt.dyndns.org/uvsfiles.htm"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
Подробнее читайте в руководстве [URL="http://virusinfo.info/showthread.php?t=121767"]как подготовить лог UVS[/URL]

[QUOTE=mike 1;1139931]К сожалению присланный файл относится к совершенно другому шифратору. К архивации и шифровании файлов он точно отношения не имеет.

Скачайте Universal Virus Sniffer (uVS)
Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
!!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
Дождитесь окончания работы программы и прикрепите лог к посту в теме.
!!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробнее читайте в руководстве как подготовить лог UVS[/QUOTE]

Кстати, еще проверял данный файл Dr.Web Cureit и он мне сказал, что файл заражен trojan.encoder.567.

Лог из Universal Virus Sniffer (uVS) прикрепил!

[QUOTE]Кстати, еще проверял данный файл Dr.Web Cureit и он мне сказал, что файл заражен trojan.encoder.567.[/QUOTE]
Видимо ранее уже шифровались файлы на этом компьютере этим шифратором. Папку C:\Program Files (x86)\RarLab можно удалить. Лог uVS в порядке. Самого шифратора, который создал запароленные архивы на компьютере не удалось найти.

[QUOTE=mike 1;1140053]Видимо ранее уже шифровались файлы на этом компьютере этим шифратором. Папку C:\Program Files (x86)\RarLab можно удалить. Лог uVS в порядке. Самого шифратора, который создал запароленные архивы на компьютере не удалось найти.[/QUOTE]

Судя по исправленному названию у меня вот эта зараза "Trojan-Ransom.Win32.Cryakl.u"? И пока остается только ждать?

[QUOTE]Судя по исправленному названию у меня вот эта зараза "Trojan-Ransom.Win32.Cryakl.u"?[/QUOTE]
Нет у вас что-то другое. Этот шифратор добавляет совершенно другое расширение к зашифрованным файлам и файлы не архивирует в архив с паролем.

[QUOTE=mike 1;1140171]Нет у вас что-то другое. Этот шифратор добавляет совершенно другое расширение к зашифрованным файлам и файлы не архивирует в архив с паролем.[/QUOTE]

Ок, понял. А можете еще посмотреть загруженный "140722_133934_virus_53ce6996e8b24.zip" (прислал сегодня согласно Приложению 2). Вот он как раз и зашифрован.

[[email protected];1140234]Ок, понял. А можете еще посмотреть загруженный "140722_133934_virus_53ce6996e8b24.zip" (прислал сегодня согласно Приложению 2). Вот он как раз и зашифрован.[/QUOTE]
А пароль я так понял к архиву вы не знаете? Если это так, то остается только полный перебор, который может и не принести результатов если пароль длинный и стойкий к взлому.

[quote="mike 1;1140244"]Если это так, то остается только полный перебор, который может и не принести результатов если пароль длинный и стойкий к взлому.[/quote]
скорее всего перебирать пароль бесполезно. Например в [URL="http://virusinfo.info/showthread.php?t=162440&"]этой теме[/URL] пароль на архив был [I]%F5df*$#@FE0s2rdsf@F861@FD[/I].

Так что лучше попробуйте поискать (восстановить) файл вируса который это сделал. Тогда может удастся получить пароль.

Нет, не подходит. Даже и не знаю что делать...

Пароль я привёл просто как пример бесполезности его тупого перебора.
Лучше ищите зловред, может антивирус его удалил или прогами для восстановления удалённых файлов сможете найти и восстановить его.

[QUOTE=regist;1140263]скорее всего перебирать пароль бесполезно. Например в [URL="http://virusinfo.info/showthread.php?t=162440&"]этой теме[/URL] пароль на архив был [I]%F5df*$#@FE0s2rdsf@F861@FD[/I].

Так что лучше попробуйте поискать (восстановить) файл вируса который это сделал. Тогда может удастся получить пароль.[/QUOTE]
Там он был спрятан в теле вредоноса. Поэтому удалось так быстро найти пароль. Здесь самого вируса, который наломал дров найти не удалось.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]311[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\rarlab\build.exe - [B]Trojan-Ransom.Win32.Cryakl.u[/B] ( BitDefender: Gen:Variant.Zusy.12582, AVAST4: Win32:Malware-gen )[*] c:\users\buh1\appdata\local\microsoft1\waagent.exe - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B][*] c:\users\buh1\appdata\local\microsoft1\wasppacer.exe - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( BitDefender: Gen:Variant.Strictor.53196 )[*] c:\users\buh1\appdata\local\microsoft1\wasub.exe - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B][*] c:\users\buh1\appdata\local\microsoft1\watasktester.exe - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B][*] \rarlab\build.exe - [B]Trojan-Ransom.Win32.Cryakl.u[/B] ( BitDefender: Gen:Variant.Zusy.12582, AVAST4: Win32:Malware-gen )[/LIST][/LIST]