Помогите. Вирус заархивировал данные. Вымогают деньги!!! [not-a-virus:Monitor.Win32.Agent.v, not-a-virus:Monitor.Win64.Mikpo.a ]

Printable View

03.11.2014, 13:24
denis1404

Вложений: 2

Помогите. Вирус заархивировал данные. Вымогают деньги!!! [not-a-virus:Monitor.Win32.Agent.v, not-a-virus:Monitor.Win64.Mikpo.a ]

Ситуация следующая. На диске с файлами поработал вирус, было три папки с файлами(базы 1с), они лежат на месте одна из баз полностью убита(вес - 0 кб), две остальные нормальные рабочие, рядом с тремя папочками поселился архив(зашифрованный, в котором те же три папки) а так же текстовый файлик с именем "ВАЖНО!!!!!!" с содержанием "Внимание! Ваши базы данных заархивированы с паролем, использование их невозможно.Для получения пароля к архиву от вас требуется оплата 15000р на Яндекс деньги. При согласии напишите на почту [EMAIL="[email protected]"][email protected][/EMAIL]." Третья база очень важна. Помогите пожалуйста!
03.11.2014, 13:25
Info_bot

Уважаемый(ая) [B]denis1404[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.11.2014, 15:32
mike 1

Как получили шифратора?
03.11.2014, 20:15
denis1404

[QUOTE=mike 1;1182641]Как получили шифратора?[/QUOTE]

Ситуация мутная. В общем у нас сеть из 10 компьютеров, был сис. админ, возможно он повздорил с начальством и уволился прислал при этом одному из сотрудников сообщение что он мол отключит фаервол который написан им самим, его мол ноу хау... Буквально на следующий день происходит ситуация с базами... Работники сети это люди которые явно не любители посещения сомнительных ресурсов...(женщины старше сорока...), В общем есть подозрение что сис админ решил насолить... Но как это докажешь, а база нужна для работы.
03.11.2014, 21:50
mike 1

Тогда возможно пароль к RDP подобрали.

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
03.11.2014, 23:35
denis1404

Вложений: 1

[QUOTE=mike 1;1182817]Тогда возможно пароль к RDP подобрали.

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.[INDENT][SIZE=1][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT]
[*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.[INDENT][SIZE=1][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][/LIST]
[/QUOTE]

Ну думаю действовали целеноправлено
04.11.2014, 00:00
mike 1

Где-то 26 октября зашифровали сервер.

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v384c
breg

addsgn 9AED77C855824D720BD46D72244F5C6C0A1FC71135F0211B8A7B0DA28C0887947F91B3457BCE8626F5D14C9D8B0D16B99E42100BFAF0E8D2FB033C3A04FD91B9 8 Trojan-Spy.Win64.KeyLogger [Kaspersky]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\LNKMST.EXE
bl 21C08E4A34F78749F6EEB08C010A0899 822600
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\LNKMST.EXE
addsgn 9AED170755824D720BD46D723A2C62AF4429F710BB0D06A14EE2F92077FF650DB2243F26909985FC0F6185EC8E658DE8CDF1B87B9D9A3B00D213E9D7DF4554BB 8 Monitor.Win64.Mikpo.a [Kaspersky]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMMT.EXE
bl AA6E9CF97DE2297ED61E339DD9090C65 1986352
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMMT.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMVLT.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMVLT.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER1\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\BACKUP.LNK
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER1\РАБОЧИЙ СТОЛ\WEBSURF.LNK
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\WEBSURF.RU
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\MPK
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP
dirzoo %SystemDrive%\RECYCLER
delall %SystemDrive%\RECYCLER\2.BAT
delall %SystemDrive%\RECYCLER\PATH.BAT
delall %SystemDrive%\RECYCLER\S.BAT
delall %SystemDrive%\RECYCLER\WINLOGON.EXE
chklst
delvir

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.
04.11.2014, 00:46
denis1404

Вложений: 1

Указания сделал. Высылаю новый лог

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=mike 1;1182870]Где-то 26 октября зашифровали сервер.

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.84.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v384c
breg

addsgn 9AED77C855824D720BD46D72244F5C6C0A1FC71135F0211B8A7B0DA28C0887947F91B3457BCE8626F5D14C9D8B0D16B99E42100BFAF0E8D2FB033C3A04FD91B9 8 Trojan-Spy.Win64.KeyLogger [Kaspersky]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\LNKMST.EXE
bl 21C08E4A34F78749F6EEB08C010A0899 822600
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\LNKMST.EXE
addsgn 9AED170755824D720BD46D723A2C62AF4429F710BB0D06A14EE2F92077FF650DB2243F26909985FC0F6185EC8E658DE8CDF1B87B9D9A3B00D213E9D7DF4554BB 8 Monitor.Win64.Mikpo.a [Kaspersky]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMMT.EXE
bl AA6E9CF97DE2297ED61E339DD9090C65 1986352
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMMT.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMVLT.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP\TMVLT.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER1\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\BACKUP.LNK
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER1\РАБОЧИЙ СТОЛ\WEBSURF.LNK
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\WEBSURF.RU
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\MPK
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ZIP
dirzoo %SystemDrive%\RECYCLER
delall %SystemDrive%\RECYCLER\2.BAT
delall %SystemDrive%\RECYCLER\PATH.BAT
delall %SystemDrive%\RECYCLER\S.BAT
delall %SystemDrive%\RECYCLER\WINLOGON.EXE
chklst
delvir

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR=Red]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[B]Прислать запрошенный карантин[/B]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.[/QUOTE]

Сделано
04.11.2014, 01:06
mike 1

В папке C:\RECYCLER какие нибудь файлы есть?
04.11.2014, 01:20
denis1404

Вложений: 1

[QUOTE=mike 1;1182888]В папке C:\RECYCLER какие нибудь файлы есть?[/QUOTE]

Да есть
04.11.2014, 01:43
mike 1

Файл updater.exe пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Выполните скрипт в AVZ:

[CODE]
Procedure ScanDir(ADirName : string; AScanSubDir : boolean);
var FS : TFileSearch;
begin
ADirName := NormalDir(ADirName);
FS := TFileSearch.Create(nil);
FS.FindFirst(ADirName + '*');
while FS.Found do
begin
SetStatusBarText(ADirName + FS.FileName);
if FS.IsDir then
begin
if AScanSubDir and (FS.FileName <> '.') and (FS.FileName <> '..') then
ScanDir(ADirName + FS.FileName, AScanSubDir)
end
else
AddToLog(ADirName + FS.FileName + '__MD5= ' + CalkFileMD5(ADirName + FS.FileName)+ '__Size= '+ IntToStr(GetFileSize(ADirName + FS.FileName)));

FS.FindNext;
end;
FS.Free;
end;

begin
ClearLog;
ScanDir('C:\RECYCLER', true);
SaveLog(GetAVZDirectory + 'MD5&Size.txt');
end.
[/CODE]

После выполнения скрипта AVZ будет сформирован отчет MD5&Size.txt. Выложите файл MD5&Size.txt из папки с авз.
04.11.2014, 01:59
denis1404

Вложений: 1

[QUOTE=mike 1;1182894]Файл updater.exe пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Выполните скрипт в AVZ:

[CODE]
Procedure ScanDir(ADirName : string; AScanSubDir : boolean);
var FS : TFileSearch;
begin
ADirName := NormalDir(ADirName);
FS := TFileSearch.Create(nil);
FS.FindFirst(ADirName + '*');
while FS.Found do
begin
SetStatusBarText(ADirName + FS.FileName);
if FS.IsDir then
begin
if AScanSubDir and (FS.FileName <> '.') and (FS.FileName <> '..') then
ScanDir(ADirName + FS.FileName, AScanSubDir)
end
else
AddToLog(ADirName + FS.FileName + '__MD5= ' + CalkFileMD5(ADirName + FS.FileName)+ '__Size= '+ IntToStr(GetFileSize(ADirName + FS.FileName)));

FS.FindNext;
end;
FS.Free;
end;

begin
ClearLog;
ScanDir('C:\RECYCLER', true);
SaveLog(GetAVZDirectory + 'MD5&Size.txt');
end.
[/CODE]

После выполнения скрипта AVZ будет сформирован отчет MD5&Size.txt. Выложите файл MD5&Size.txt из папки с авз.[/QUOTE]

updater.exe положил в архив с паролем virus, отправил по красной ссылке Прислать запрошенный карантин. так же прикрепил файл MD5&Size.txt
04.11.2014, 02:09
mike 1

Эти файлы еще пришлите

[QUOTE]C:\RECYCLER\S-1-5-21-368286737-3122517561-4223052033-500\Dc6\cmd\Распаковка портативной версии Recuva Professional Edition.cmd__MD5= 9C2A5DB186E8A62729F2A2570DCC1712__Size= 33
C:\RECYCLER\S-1-5-21-368286737-3122517561-4223052033-500\Dc6\cmd\Распаковка портативной версии Recuva Technician Edition.cmd__MD5= 5AF8E46C0A861CD4ABC45044DC6E212C__Size= 34
C:\RECYCLER\S-1-5-21-368286737-3122517561-4223052033-500\Dc6\cmd\Установка Recuva Professional Edition.cmd__MD5= 39E19E33E424C62C0BF41CD2B4857231__Size= 29
C:\RECYCLER\S-1-5-21-368286737-3122517561-4223052033-500\Dc6\cmd\Установка Recuva Technician Edition.cmd__MD5= 6D5EED16E0D22C1B3760F56B6618F6E0__Size= 30
C:\RECYCLER\S-1-5-21-368286737-3122517561-4223052033-500\Dc15.exe__MD5= D3DB246422605B5CA7C22E65AA87BC13__Size= 296008[/QUOTE]
04.11.2014, 02:35
denis1404

Вложений: 1

[QUOTE=mike 1;1182900]Эти файлы еще пришлите[/QUOTE]

Прислал все что есть с похожим именем видно на скрине
04.11.2014, 12:42
mike 1

В карантине ничего интересного я не нашел. С расшифровкой помочь не сможем.
04.11.2014, 23:22
denis1404

[QUOTE=mike 1;1182984]В карантине ничего интересного я не нашел. С расшифровкой помочь не сможем.[/QUOTE]

Все равно спасибо за потраченное время!
05.11.2014, 20:45
denis1404

[QUOTE=mike 1;1182984]В карантине ничего интересного я не нашел. С расшифровкой помочь не сможем.[/QUOTE]

Подскажите, вот мы вышли на контакт с этим злым гением, он говорит что ему надо предоставить внешний ip адрес, чтобы он мог прислать на почту пароль от архива? Вы могли бы пояснить по какому параметру он стучась по внешнему ip понимает что этот тот сервер которому соответствует этот пароль? Просто хочу понять в этом есть какой то смысл или это тупо развод...
06.11.2014, 01:46
mike 1

[QUOTE]Вы могли бы пояснить по какому параметру он стучась по внешнему ip понимает что этот тот сервер которому соответствует этот пароль?[/QUOTE]
Затрудняюсь ответить на этот вопрос.
06.11.2014, 01:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]475[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \lnkmst.exe._7604370dadd9683e241221e3483fa1e1e067ee29 - [B]not-a-virus:Monitor.Win32.Agent.v[/B][*] \tmmt.exe._797b5763bf2bd860eec7421f4c2c99439153efcc - [B]not-a-virus:Monitor.Win64.Mikpo.a[/B][*] \tmvlt.exe._6e2cd496ef4d0de4a11289c784e1597ab4837f15 - [B]not-a-virus:Monitor.Win64.Mikpo.a[/B][/LIST][/LIST]