Printable View
Вчера вирус зашифровал почти все файлы на сервере и в каждой папке появился FILEOKKK.тхт с текстом:
Ваши рабочие файлы закодированыстойким шифром. Пишите сюда:
[email][email protected][/email]
Ссылки на зашифрованные файлы:
[url]https://yadi.sk/d/4a3foK0Zh43sG[/url]
[url]https://yadi.sk/d/A8LX_Eleh43sQ[/url]
Windows Server 2008 R2 x64
Уважаемый(ая) [B]fubispb[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
В логах сервера можно отследить, какой файл запускался перед появлением шифрования?
Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\Users\Администратор\AppData\Local\2DBB1E00-1433330716-11B2-8000-68B59972B695\bnsvDAF6.exe','');
QuarantineFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','');
QuarantineFile('C:\Users\Администратор\appdata\roaming\aspackage\aspackage.exe','');
QuarantineFile('C:\Users\Администратор\appdata\local\microsoft\windows\toolbar.exe','');
QuarantineFile('D:\Gefest\Share\winlogin.exe','');
RegKeyParamDel('HKEY_USERS','S-1-5-21-4110605320-1994838245-1585621978-1004\Software\Microsoft\Windows\CurrentVersion\Run','Winlogon');
DeleteFile('D:\Gefest\Share\winlogin.exe','32');
DeleteFile('C:\Users\Администратор\appdata\local\microsoft\windows\toolbar.exe','32');
DeleteFile('C:\Users\Администратор\appdata\roaming\aspackage\aspackage.exe','32');
DeleteFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\2DBB1E00-1433330716-11B2-8000-68B59972B695\bnsvDAF6.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Компьютер перезагрузите вручную.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением в Вашей теме.
[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]
Сделал. Перезагрузил. Какой файл запускали не нашёл... Форматнуть С: и переустановить сервер не проблема если что. Главное восстановить файлы....
Файл сохранён как 150603_233855_перенос коллекторов.JPG.criptokod_556f57cf7c6e8.zip
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Один добрый человек подсказал что этот вирус переносит несколько байт из начала файла в конец. Проверил Hex Editor'ом и оказалось действительно от 1 до 5 байт как я понял рандомом переносится таким образом. Спасибо за помощь, надеюсь это решение кому-то ещё поможет. Кстати вот что ответил сам злоумышленник, которому я тоже решил написать ради интереса. Он судя по тексту из Беларуси.:
ЧТО ДЕЛАТЬ ДЛЯ РАЗБЛОКИРОВКИ ФАЙЛОВ
Все просто, как Вы возможно и думали.
Необходимо оплатить 100$ (или в рублях, или в зайчиках - все равно,
главное, чтобы сумма была эквивалентна 100$).
Оплату делаете на лайткоин (Litecoin, LTC) кошелек номер:
LdcfVf4F3guR9WxZMq1vLhriAXuP5giGh8
Это можно сделать как напрямую со своего лайткоин кошелька или
биржи криптовалют (например btc-e.com) так и через обменник
электронных валют, подходящий можно найти например тут:
http://www.bestchange.ru
Мы НЕ КОНСУЛЬТИРУЕМ по деталям проведения платежа, для
этого есть поддержка (саппорт) на сайте биржи или обменника -
туда и пишите, если что-то непонятно.
ВНИМАНИЕ! ЕСЛИ ПЛАТЕЖ НЕ ПОСТУПИТ НА ПРОТЯЖЕНИИ
2 СУТОК С МОМЕНТА ОТПРАВКИ ВАМ ЭТОГО ПИСЬМА -
СУММА ОПЛАТЫ БУДЕТ УВЕЛИЧЕНА В 2 РАЗА, ТАК ЧТО НЕ ТЯНИТЕ.
ФАЙЛЫ ЗАШИФРОВАНЫ СТОЙКИМ АЛГОРИТМОМ, И НИКТО
КРОМЕ НАС ВАМ ИХ НЕ РАСШИФРУЕТ!!!
На некоторых биржах и обменниках есть холд (задержка) обмена
на 2-3 дня по данному направлению. Учитывайте это и не пишите
зря - как только оплата пройдет и мы увидим ее на указанном выше
кошельке, Вы получите все необходимое для расшифровки ваших
файлов. Пришлем программу для расшифровки и пароль - запустите
прогу, введете пароль - подождете несколько минут - и все файлы
расшифруются.
Информацию про обменники можно найти в интернете забив в поисковик:
обменять яндекс (киви, вебмани) на лайткоин или подобрать на сайте,
ссылка на который есть выше. Все несложно, если что непонятно - можно
спросить у поддержки обменника. Насчет ускорения платежа - писать туда же.
Насчет пробной расшифровки - мы этим не занимаемся, так как шифровщик
шифрует все доступные ему файлы, и нам придется шифровать и расшифровывать
целый компьютер вместе с Вашим файлом, если бы мы это делали для каждого кто
просит, нам бы пришлось только этим и заниматься весь день.
Мы не страховая компания - давать гарантии. Придется поверить на слово.
Спасибо за внимание и не тяните с оплатой.
asdfgh 12345.
Я не просил слать в карантин зашифрованный файл. Я просил карантин после выполнения скрипта.
[quote="fubispb;1279089"]Один добрый человек подсказал что этот вирус переносит несколько байт из начала файла в конец. Проверил Hex Editor'ом и оказалось действительно от 1 до 5 байт как я понял рандомом переносится таким образом[/quote]Да, именно так, но в одной из похожих тем я видел, что в jpg-файле перенесены 6 байт, а у pdf только сменилось расширение. Потому, чтобы понять механизм и нужно само тело вируса
Извиняюсь. Неправильно понял. Приложил файл с папкой карантина. [TABLE]
[TR]
[TD]150604_013645_Quarantine_556f736d254ec.zip[/TD]
[/TR]
[TR]
[/TR]
[/TABLE]
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделал.
D:\Gefest\Share\winlogin.exe - скорее всего это был файл шифровальщика. Но его в карантине нет, возможно потому, что на момент обращения осталась только запись от него в реестре.
Удалите в МВАМ
[CODE]Ключи реестра: 3
PUP.Optional.ASPackage.A, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\ASPackage, , [8430b402d1b9ac8ae027ea0fcc37e719],
PUP.Optional.MultiPlug.Gen, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\lecozydy, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
PUP.Optional.MultiPlug.Gen, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\jodekezu, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
Параметры реестра: 4
PUP.Optional.Zaxar.A, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|ZaxarLoader, "C:\Program Files (x86)\Zaxar\ZaxarLoader.exe" /verysilent, , [9420377f1a70a78f9d49d7469f658d73]
PUP.Optional.MultiPlug.A, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\jodekezu|ImagePath, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\jnsv37B2.tmp, , [169e96205832a690e5b61563838247b9]
PUP.Optional.MultiPlug.A, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\lecozydy|ImagePath, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\nsf72A.tmpfs, , [486c73432565c472c6d37cfc887d847c]
Trojan.Agent, HKU\S-1-5-21-4110605320-1994838245-1585621978-1004\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|Winlogon, D:\Gefest\Share\winlogin.exe, , [377d32844545bb7b121bbda846bef10f]
Папки: 3
PUP.Optional.ASPackage.A, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\ASPackage, , [8430b402d1b9ac8ae027ea0fcc37e719],
PUP.Optional.ASPackage.A, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ASPackage, , [b202882ed5b5de58f61224d5798a23dd],
PUP.Optional.MultiPlug.Gen, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
Файлы: 16
PUP.Optional.Zaxar.A, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\Installer\ZaxarSetup.4.001.108.exe, , [e6ce922498f2b482cdfd015e44bc817f],
PUP.SmsPay, D:\??N??µ????N??? ??N?N?????\???? ???±N??°N?\??N??µ????N??? ??N?N?????\???°??N?\Docke\Advanced_Gif_Animator_Crack.zip.exe, , [734134826e1c60d62c5d228bb34da15f],
PUP.Optional.ASPackage.A, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\ASPackage\Uninstall.exe, , [8430b402d1b9ac8ae027ea0fcc37e719],
PUP.Optional.ASPackage.A, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ASPackage\Configure.lnk, , [b202882ed5b5de58f61224d5798a23dd],
PUP.Optional.MultiPlug.Gen, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\nsf72A.tmpfs, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
PUP.Optional.MultiPlug.Gen, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\jnsv37B2.tmp, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
PUP.Optional.MultiPlug.Gen, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\rnsa3251.exe, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
PUP.Optional.MultiPlug.Gen, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\Uninstall.exe, , [f6be2e88ee9ca78fe42fd6a4bf46916f],
PUP.Optional.MultiPlug.Gen, C:\Users\????????????N?N?N??°N???N?\AppData\Roaming\2DBB1E00-1433319854-11B2-8000-68B59972B695\vnsaE6DA.tmp, , [f6be2e88ee9ca78fe42fd6a4bf46916f], [/CODE]
[url]http://virusinfo.info/showthread.php?t=185396[/url] пробуйте
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\администратор\appdata\local\microsoft\windows\toolbar.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.MulDrop5.48096, BitDefender: Gen:Trojan.Heur2.JP.fuW@aGb5MWfi, AVAST4: Win32:Malware-gen )[*] c:\users\администратор\appdata\roaming\aspackage\aspackage.exe - [B]not-a-virus:HEUR:Adware.NSIS.ConvertAd.heur[/B] ( AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]