Printable View
[COLOR=#333333]Здравствуйте. Сегодня утром обнаружил, что все файлы на сервере зашифрованы.
[/COLOR]Ситуация схожа с этой [URL]http://virusinfo.info/showthread.php?t=166787[/URL]
По логам понял что подключились по RDP, удалили касперского и дальше понеслось...
Оригинальный и зашифрованный файлы тут: [URL]http://rghost.ru/58498387[/URL]
Во вложении архив папки с вирусом и логи AVZ.
Уважаемый(ая) [B]uzer123[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[ATTENTION]Удалите вирус из вложений[/ATTENTION]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','explorer.exe');
ExecuteSysClean;
end.[/code]
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
[QUOTE=Vvvyg;1172158][ATTENTION]Удалите вирус из вложений[/ATTENTION]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','explorer.exe');
ExecuteSysClean;
end.[/code]
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].[/QUOTE]
скрипт выполнил.
полный образ автозапуска во вложении.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v383c
zoo %SystemDrive%\INTEL\LOGS\S.BAT
del %SystemDrive%\INTEL\LOGS\S.BAT
zoo %SystemDrive%\INTEL\LOGS\UPDATER.EXE
del %SystemDrive%\INTEL\LOGS\UPDATER.EXE
zoo %SystemDrive%\INTEL\LOGS\WASPPACER.EXE
del %SystemDrive%\INTEL\LOGS\WASPPACER.EXE
zoo %SystemDrive%\INTEL\LOGS\WINLOGON.EXE
del %SystemDrive%\INTEL\LOGS\WINLOGON.EXE
deldir %SystemDrive%\INTEL\LOGS
delref %SystemRoot%\APPPATCH\EXPLORER.EXE
czoo[/code]
Перезагрузите сервер вручную.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Сделайте новый полный образ автозапуска uVS
Сорри что так долго
Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v383c
delref %SystemRoot%\APPPATCH\EXPLORER.EXE
delref %SystemDrive%\INTEL\LOGS\WINLOGON.EXE[/CODE]
Запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Перезагрузите сервер вручную и сделайте новый полный образ автозапуска uVS.
С расшифровкой, скорее всего, глухо. Если теневые копии на сервере делались, пробуйте исходные файлы найти в "Предыдущих версих" по сети в расшаренных папках, программы восстановления стёртых файлов, возможно, позволят выцепить предыдущие версии файлов.
Думаю с расшифровкой смогут помочь в DrWeb. Мы с расшифровкой помочь я думаю не сможем.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \wasppacer.exe._7610d64a21ef562b998f4298fd7219ef11eafcdd - [B]not-a-virus:NetTool.Win32.Wasppace.l[/B] ( DrWEB: Tool.Wasppacer.2 )[/LIST][/LIST]