Зашифрованные файлы. Расширение AES256 у .doc .xls .jpg .mdf на всех локальных дисках кроме .exe .ISO файлов. [not-a-virus:RemoteAdmin.Win32.Ammyy.hq ]

Printable View

09.10.2014, 06:43
Realbe

Вложений: 4

Зашифрованные файлы. Расширение AES256 у .doc .xls .jpg .mdf на всех локальных дисках кроме .exe .ISO файлов. [not-a-virus:RemoteAdmin.Win32.Ammyy.hq ]

Доброго времени, профи!

Зашифрованные файлы. Расширение AES256 у .doc .xls .jpg .mdf на всех локальных дисках кроме .exe .ISO файлов.
В каждой зараженной папке присутствует текстовый документ "Внимание_ откройте-меня" с след. содержимым:

"Здравствуйте, все ваши файлы повреждены, свяжитесь с нами для их восстановления.
Для этого откройте ярлык 'Ваш консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл.

[spoiler]
Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты.
TOR: [url]https://www.torproject.org/[/url] | Видео инструкция: [url]http://youtu.be/43feBLwHzn0[/url]
url_1: [url]http://y6kpyefykdvswxps.onion:4567/pay.html[/url]
url_2: [url]http://gi3ruskskqzff2rw.onion:4567/pay.html[/url]
[B]HashKey: 7d6ea713c17690236683d80dda7c8120[/B]
[B]ID: 6667[/B]

Согласно инструкции сделал логи без подключенного интернета из этой темы [url]http://virusinfo.info/showthread.php?t=167795[/url]

[COLOR=#ff8c00][B]Перед этим[/B][/COLOR] порывшись по темам удалось убить следующее:
[COLOR=#008000][U][B] через cureit[/B][/U][/COLOR]

\device\harddiskvolume2\users\mama\appdata\roaming\microsoft\windows\start menu\programs\startup\runwin.exe - Ok

\device\harddiskvolume2\users\ded\appdata\local\microsoft\windows\system.vbs - infected with Trojan.Ormes.9
\device\harddiskvolume2\users\ded\appdata\local\microsoft\windows\system.vbs - infected

C:\Users\DED\AppData\Local\Temp\RarSFX0\install.vbs - infected with Trojan.Ormes.9

C:\Users\Mama\AppData\Roaming\Opera Software\Opera Stable\Extensions\efinmbicabejjhjafeidhfbojhnfiepj\1.0.3\manifest.json - infected with Trojan.Ormes.8

C:\Users\Mama\Downloads\jovesmodpack_0_9_3_v12.7.exe - is adware program Adware.Downware.5907
C:\Users\Mama\Downloads\jovesmodpack_0_9_3_v12.7.exe - infected

C:\Users\Timafey\AppData\Roaming\newSI_23\s_inst.exe - infected with Trojan.Fakealert.47029
C:\Users\Timafey\AppData\Roaming\newSI_23\s_inst.exe - infected

C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\LIXMVQOA\desktop.ini - Ok
C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\0PS72R2M\MySafeProxy32[1].dll - is adware program Adware.Siggen.31165
C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\FZG8CKJ5\MySafeProxyBroker[1].exe - is adware program Adware.Siggen.31165
C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\0PS72R2M\MySafeProxy32[1].dll - infected

...и [COLOR=#ee82ee][B]вручную удалены папки у пользователей : [/B][/COLOR][COLOR=#000000][B]artem/mama/ded/timafey[/B][/COLOR][COLOR=#ee82ee][/COLOR]

\AppData\Roaming\Mail.RU NewGamesT
Microsoft DB
tor
Tor Project
GemWare
Browsers
ICL
newSI_23
[/spoiler]

Надеюсь на вашу помощь!
09.10.2014, 06:44
Info_bot

Зашифрованные файлы. Расширение AES256 у .doc .xls .jpg .mdf на всех локальных дисках кроме .exe .ISO файлов. [not-a-virus:RemoteAdmin.Win32.Ammyy.hq ]

Уважаемый(ая) [B]Realbe[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.10.2014, 13:06
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Timafey\AppData\Roaming\newSI_23\s_inst.exe','');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\nsi.exe','');
DeleteFile('C:\Program Files (x86)\Microsoft Data\nsi.exe','32');
DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
DeleteFile('C:\Windows\Tasks\newSI_23.job','64');
DeleteFile('C:\Users\Timafey\AppData\Roaming\newSI_23\s_inst.exe','32');
DeleteFile('C:\Windows\system32\Tasks\newSI_23','64');
DeleteFileMask('C:\Users\Timafey\AppData\Roaming\newSI_23', '*', true, ' ');
DeleteDirectory('C:\Users\Timafey\AppData\Roaming\newSI_23');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserlnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы на рабочем столе будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]
10.10.2014, 21:00
Realbe

Вложений: 3

ПРикрепил по красной ссылке пасс вы знаете Файл сохранён как 141010_165505_virus_54380f6941c7f.zip (там был найден ammyy admin)

Создавая логи пользователь Timafey в системе уже был удален, а вход был осущ. через artem.
10.10.2014, 22:29
mike 1

Перетащите [B]CheckBrowserLnk.log[/B] на эту [url]http://virusinfo.info/soft/tool.php?tool=ClearLNK[/url] утилиту.
10.10.2014, 23:39
Realbe

[QUOTE=mike 1;1170756]Перетащите [B]CheckBrowserLnk.log[/B] на эту [url]http://virusinfo.info/soft/tool.php?tool=ClearLNK[/url] утилиту.[/QUOTE]

ClearLNK by Alex Dragokas ver. 2.3.0.1

OS: x64 Windows 7 Ultimate. Service Pack: 1
IsAdmin: True
User: Artem
_____________________________ Begin of Log ______________________________

[ OK ] "C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\Opera.lnk" [ "C:\Program Files (x86)\Opera\launcher.exe" ] (ОК). Метод AN-RN
[WARN !] "C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Opera.lnk" [ "C:\Program Files (x86)\Opera\launcher.exe" ] (ОШИБКА: новые цель и аргументы дублируют старые). Метод AN-RN
[WARN !] "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk" [ "C:\Program Files (x86)\Opera\launcher.exe" ] (ОШИБКА: новые цель и аргументы дублируют старые). Метод AN-RN

______________________________ Статистика ______________________________
Исправлено: 1
Удалено: 0
Пропущено: 0
Блокировок: 0
Предупреждений: 2
Ошибок: 0
______________________________ End of Log ______________________________
11.10.2014, 00:47
mike 1

Эти ярлыки пересоздайте вручную:

[QUOTE]
C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Opera.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk
[/QUOTE]

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=SITLog]SITLog[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]sitlog.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [b]LOG[/b] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
11.10.2014, 01:44
Realbe

Вложений: 2

[QUOTE=mike 1;1170815]Эти ярлыки пересоздайте вручную:

[LIST=1][*]Скачайте [URL="http://virusinfo.info/soft/tool.php?tool=SITLog"]SITLog[/URL] и сохраните архив с утилитой на [B]Рабочем столе[/B][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [B]sitlog.exe[/B][INDENT][SIZE=1][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]Да[/B][/SIZE][/INDENT]
[*]В главном окне программы выберите проверку за последние три месяца и нажмите [B]"Старт"[/B][*]По окончанию работы программы в папке [B]LOG[/B] должны появиться два отчета [B]SITLog.txt[/B] и [B]SITLog_Info.txt[/B][*]Прикрепите эти отчеты в вашей теме.[/LIST]
[/QUOTE]
Opera вообще снёс
11.10.2014, 02:09
mike 1

Этот файл удалите:

[QUOTE]20.08.2014 22:52:42 ----A---- C:\Windows\SysWOW64\drivers\bd0002(3).sys[/QUOTE]

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]
11.10.2014, 04:56
Realbe

Файл bd0002(3).sys удалил, но утилита не подобрала пароль на xls doc и jpg. Вчера и эта rannohdecryptor не помогла :(

Дальнейшие мои действия?...надеится и ждать!
11.10.2014, 11:43
mike 1

[QUOTE]Вчера и эта rannohdecryptor не помогла [/QUOTE]
Она для этого шифратора не предназначена.

[QUOTE]но утилита не подобрала пароль[/QUOTE]
Значит с расшифровкой не поможем.
17.10.2014, 20:12
thyrex

[url]http://support.kaspersky.ru/viruses/disinfection/10556[/url] опять пробуйте
18.10.2014, 05:07
Realbe

[B]Спасибо камрады![/B] :094: Всё восстановилось в свои форматы с aes256.
Запускать со всех сущ. пользователей - это если не все файлы сразу расшифровались.

Видео прилагается [video=youtube_share;Vuk0hl1IJvk]http://youtu.be/Vuk0hl1IJvk[/video]

Какая инфа или файлы еще от меня требуются? И в чем выразить благодарность :beer:
18.10.2014, 11:54
mike 1

Больше никакая. Повезло вам

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
18.10.2014, 12:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\artem\downloads\aa_v3 (1).exe - [B]not-a-virus:RemoteAdmin.Win32.Ammyy.hq[/B] ( DrWEB: Program.RemoteAdmin.745 )[/LIST][/LIST]