Шифровальшик. [email protected] [not-a-virus:NetTool.Win32.Wasppace.l ]

Printable View

25.09.2014, 18:03
host33

Вложений: 3

Шифровальшик. [email protected] [not-a-virus:NetTool.Win32.Wasppace.l ]

[COLOR=#333333]Здравствуйте! Юзер в терминале что-то скачал и запустил. Если даже оповещения NODа и UAC были, то он мог понажимать везде разрешения запуска. Теперь все базы 1с и документы/картинки зашифрованы, имеют расширение ".FUCKED" и текстовик с таким содержимым в каждой папке:

[QUOTE]ВНИМАНИЕ!!![/QUOTE][/COLOR][QUOTE]
[COLOR=#333333]ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ. КОЛ-ВО ПОПЫТОК ВВОДА ПАРОЛЯ - 10.[/COLOR]
[COLOR=#333333]НЕ РЕКОМЕНДУЕТСЯ:[/COLOR]
[COLOR=#333333]- ЗАКРЫВАТЬ ОКОШКО ДЛЯ ВВОДА ПАРОЛЯ, КОТОРОЕ ВЫСКАКИВАЕТ ПОСЛЕ ПРИВЕТСТВИЯ;[/COLOR]
[COLOR=#333333]- ПРОВЕРЯТЬ КОМП АНТИВИРУСОМ;[/COLOR]
[COLOR=#333333]- ПЕРЕУСТАНАВЛИВАТЬ ВИНДОВС.[/COLOR]

[COLOR=#333333]ВСЕ ЭТИ ДЕЙСТВИЯ ТОЛЬКО УСЛОЖНЯТ ВАМ ЖИЗНЬ, ХОТЯ ФАЙЛЫ СКОРЕЕ ВСЕГО ЕЩЕ МОЖНО БУДЕТ ВОССТАНОВИТЬ, НАПИСАВ НАМ. НЕ УСЛОЖНЯЙТЕ СВОЕ ПОЛОЖЕНИЕ, ЛУЧШЕ ПИШИТЕ НА:[/COLOR]
[COLOR=#333333][email protected][/COLOR]

[COLOR=#333333]И ВСЕ БУДЕТ ХОРОШО. ДО СКОРОГО.[/COLOR][/QUOTE][COLOR=#333333]

Попробовал решения из соседних топиков (утилиты от касперского и др. веба), но не помогло.
Благодарю за помощь.[/COLOR]
25.09.2014, 18:04
Info_bot

Уважаемый(ая) [B]host33[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
25.09.2014, 18:12
host33

Сразу уточню, что имя у подозрительного исполняемого файла такое же, как в этой теме: [url]http://virusinfo.info/showthread.php?t=167218[/url]
26.09.2014, 00:23
mike 1

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.83 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
zoo %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\DESKTOP.INI~\WASPPACER.EXE
addsgn 925277AA3C6AC1CC0B34784EA34F0A99088A02A79FCF48FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 8 Tool.Wasppacer.2 [DrWeb]

delall %SystemDrive%\USERS\73B5~1\APPDATA\ROAMING\DEALPLY\UPDATE~1\UPDATE~1.EXE
delall %SystemDrive%\USERS\73B5~1\APPDATA\ROAMING\DSITE\UPDATE~1\UPDATE~1.EXE
dirzooex %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\DESKTOP.INI~
delall %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\DESKTOP.INI~\STARTER.EXE
delall %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\DESKTOP.INI~\WAAGENT.EXE
delall %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\DESKTOP.INI~\WASPPACER.EXE
delall %SystemDrive%\USERS\PUBLIC\VIDEOS\SAMPLE VIDEOS\DESKTOP.INI~\WASUB.EXE
chklst
delvir

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Компьютер перезагрузите вручную.[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.
26.09.2014, 11:28
host33

Файл сохранён как 140926_072325_ZOO_2014-09-26_10-49-52_5425146d14dac.zip
Размер файла 29992959
MD5 0554f42ba5c42d494baa5dd90969037e

Сделал новый лог, только прикрепить не могу. Предыдущие три вложения упёрлись в лимит, а как удалить я не разобрался.

Поэтому положил его на ядиск: [url]https://yadi.sk/d/LCLRLlFNbftAN[/url]
26.09.2014, 12:51
mike 1

[QUOTE]Юзер в терминале что-то скачал и запустил[/QUOTE]
Постарайтесь найти это вложение.

+ Пришлите зашифрованную картинку.
26.09.2014, 13:19
host33

Ничего не нашел пока что. Есть проблемы с коммуникацией с этим пользователем после того, что случилось. Когда получиться выяснить, то отпишусь сюда.

[url]https://yadi.sk/d/Lj46r00Dbfztu[/url] - картинка.
26.09.2014, 16:01
mike 1

Уже не ищите. Расшифровку сделали. Спасибо Владимиру Мартьянову

[INFORMATION]

Скачайте [URL="http://download.geo.drweb.com/pub/drweb/tools/te94decrypt.exe"]te94decrypt.exe[/URL] и сохраните [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B].

В командной строке введите:
[code]C:\te94decrypt.exe -k 476[/code]

[B][COLOR="#FF0000"]Внимание!!![/COLOR][/B]
1. Для полной расшифровки потребуется суммарное место на дисках, приблизительно равное месту, занимаемому зашифрованными файлами, т.к. утилита их не удаляет

2. Удаляйте зашифрованные копии только после того, как убедитесь, что файлы успешно дешифровались[/INFORMATION]
29.09.2014, 16:36
host33

Большая человеческая благодарность вам и Владимиру Мартьянову! Помогло!
29.09.2014, 16:42
mike 1

Пароли от RDP и всех учетных записей поменяйте на более стойкие.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
29.09.2014, 16:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \waagent.exe._8aad183d17e18952accf0167b80f3420a124bbdf - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( BitDefender: Trojan.Generic.11759656 )[*] \wasppacer.exe._7610d64a21ef562b998f4298fd7219ef11eafcdd - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B][*] \wasub.exe._616f9dc26d5023b128b420996523574f25aee2b7 - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( DrWEB: Tool.Click.22, BitDefender: Trojan.Generic.11692138 )[*] \watasktester.exe._ac9885be892aa15897b109e98ea097cf603a6316 - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B][/LIST][/LIST]