Прошу помощи в раскодировании файлов от [email protected] 1.0.0.0.id-MNPPQRSTTUUVWWXYYZABCCCDEEFGHHHIJJKL-29.07.2015 7 [not-a-virus:RemoteAdmin.Win32.Ammyy.hq ]

Printable View

30.07.2015, 09:58
Владислав Чубук

Вложений: 3

Прошу помощи в раскодировании файлов от [email protected] 1.0.0.0.id-MNPPQRSTTUUVWWXYYZABCCCDEEFGHHHIJJKL-29.07.2015 7 [not-a-virus:RemoteAdmin.Win32.Ammyy.hq ]

Добрый день!
Прошу помощи в расшифровке, пытался оформить платную подписку на данную услугу, но не проходит платеж с карты, по вашей рекомендации создаю тему на форуме.

Часть файлов на компьютере зашифровались трояном\вирусом.

Компьютер прогнал антивирусами, (почистил), но файлы остались зашифрованными, попытка найти стертые файлы программами восстановления файлов к успеху не привели.
Примеры зашифрованных файлов по ссылке [URL="https://yadi.sk/d/d43v7BdmiA4Jq"]https://yadi.sk/d/d43v7BdmiA4Jq
[/URL]
С Уважением,
Владислав
30.07.2015, 10:00
Info_bot

Уважаемый(ая) [B]Владислав Чубук[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
30.07.2015, 11:18
thyrex

Ссылка, по которой скачали шифровальщик, сохранилась?

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('D:\Temp\pboul219.1000000k\R770219\UPDATE\UPDATE.EXE','');
QuarantineFile('C:\Program Files (x86)\taskmr.exe','');
DeleteFile('C:\Program Files (x86)\taskmr.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','pr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
30.07.2015, 11:40
Владислав Чубук

[QUOTE=thyrex;1299857]Ссылка, по которой скачали шифровальщик, сохранилась?
[/QUOTE]
К сожалению точно сказать не возможно, но есть подозрение, что это было в момент когда пришло письмо от почты России с сообщением о том что письмо доставлено в пункт назначения. [url]http://www.russianpost.ru/[/url] Проверяли отправление с номером EA003328121BY Все открывали в Опере.
Кстати Опера так до сих пор и не работает, даже после обновления.
30.07.2015, 11:52
thyrex

Это не это письмо.
30.07.2015, 11:58
Владислав Чубук

Received: from mxfront4j.mail.yandex.net ([127.0.0.1])
by mxfront4j.mail.yandex.net with LMTP id bmJ1nHxT
for <[email protected]>; Wed, 29 Jul 2015 08:16:01 +0300
Received: from smart1.russianpost.ru (smart1.russianpost.ru [91.215.36.115])
by mxfront4j.mail.yandex.net (nwsmtp/Yandex) with SMTP id SrUAd25P3F-G17uEE8Y;
Wed, 29 Jul 2015 08:16:01 +0300
X-Yandex-Front: mxfront4j.mail.yandex.net
X-Yandex-TimeMark: 1438146961
Authentication-Results: mxfront4j.mail.yandex.net; spf=pass (mxfront4j.mail.yandex.net: domain of russianpost.ru designates 91.215.36.115 as permitted sender) [email protected]
X-Yandex-Spam: 1
Received: from [10.6.40.76] (HELO VEGA)
by smart1.russianpost.ru (CommuniGate Pro SMTP 4.2.10)
with ESMTP id 53505544 for [email][email protected][/email]; Wed, 29 Jul 2015 08:15:59 +0300
MIME-Version: 1.0
From: [email][email protected][/email]
To: [email][email protected][/email]
Date: 29 Jul 2015 08:15:58 +0300
Subject: =?utf-8?B?0KHRgtCw0YLRg9GBINC/0L7Rh9GC0L7QstC+0LPQviDQvtGC?=
=?utf-8?B?0L/RgNCw0LLQu9C10L3QuNGPIEVBMDAzMzI4MTIxQlk=?=
Content-Type: text/html; charset=utf-8
Content-Transfer-Encoding: base64
Message-ID: <[email protected]>
Return-Path: [email][email protected][/email]
X-Yandex-Forward: 312ec3b5d3779d587610386480349b81
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30.07.2015, 12:34
thyrex

Я же написал, что это не то письмо, в котором пришла вредоносная ссылка

Скрипт выполнили? Новые логи где?
30.07.2015, 14:08
Владислав Чубук

Скрипт выполнил, закачал по ссылке сверху "Прислать запрошенный карантин".

[SPOILER]По поводу письма с которого произошло заражение, похоже что это было письмо со ссылкой от фирмы Карцлер (у которой мы закупаем канцелярские товары) его текстовое содержание:

Повторно.

Напоминаем, что вами неоплачен последний счет за поставку канцтоваров. Нам нужно закрыть отчетный период.
Просим оплатить на этой неделе. Счет высылаем еще раз [удалено]

С уважением,

Нина Вячеславовна Попова

Коммерческий директор ООО "Канцлер"
г. Пенза, проспект Строителей 45А
ТЦ "Космос-Сити"
Тел. +7 (8412) 40-88-40

по ссылке приводит на адрес: [удалено]

Попробовал сейчас поискать сам файл на компьютере, не нашел, остались только ярлыки со ссылкой на этот файл в папке загрузки (Kancler.Oplata.zip)

То что ноги растут отсюда на сейчас подсказали в компании СБис (электронная отчетность в налоговуют) так как они сейчас помогли восстановить с сервера наши базы данных по отчетности. И они сказали что на канслер очень многие жалуются сейчас.
Приведу еще исходник письма канцлера:
Received: from mxback9h.mail.yandex.net ([127.0.0.1])
by mxback9h.mail.yandex.net with LMTP id 8PHiT1Mh
for <[email protected]>; Tue, 28 Jul 2015 07:17:02 +0300
Received: from forward1h.mail.yandex.net (forward1h.mail.yandex.net [2a02:6b8:0:f05::10])
by mxback9h.mail.yandex.net (nwsmtp/Yandex) with ESMTP id bR2KjeggOS-H11CLcO1;
Tue, 28 Jul 2015 07:17:01 +0300
X-Yandex-Front: mxback9h.mail.yandex.net
X-Yandex-TimeMark: 1438057021
X-Yandex-Spam: 1
Received: from mxfront4h.mail.yandex.net (mxfront4h.mail.yandex.net [84.201.187.136])
by forward1h.mail.yandex.net (Yandex) with ESMTP id E27B99E018F
for <[email protected]>; Tue, 28 Jul 2015 07:17:01 +0300 (MSK)
Received: from mxfront4h.mail.yandex.net ([127.0.0.1])
by mxfront4h.mail.yandex.net with LMTP id l4XPjy4z
for <[email protected]>; Tue, 28 Jul 2015 07:17:01 +0300
Received: from mx127.mail.ru (mx127.mail.ru [94.100.188.17])
by mxfront4h.mail.yandex.net (nwsmtp/Yandex) with ESMTPS id mbXIhNEUfC-H0qWYZ6m;
Tue, 28 Jul 2015 07:17:00 +0300
(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
(Client certificate not present)
Received: from [90.156.200.21] (ident=mail)
by mx127.mail.ru with local (envelope-from <[email protected]>)
id 1ZJwK4-0002AC-3P
for [email][email protected][/email]; Tue, 28 Jul 2015 07:17:00 +0300
X-ResentFrom: <[email protected]>
X-MailRu-Forward: 1
Received-SPF: none
Received: from relay-out1.shared.masterhost.ru ([90.156.200.21]:47166)
by mx127.mail.ru with esmtp (envelope-from <[email protected]>)
id 1ZJwK3-00029D-Il
for [email][email protected][/email]; Tue, 28 Jul 2015 07:16:59 +0300
X-Mru-TLS: TLSv1.2:AES128-SHA
X-Mru-BadRcptsCount: 0
X-Mru-PTR: *off*
X-Mru-NR: 1
X-Mru-OF: Linux (Ethernet or modem)
X-Mru-RC: RU
Received: from gen151.hs.shared.masterhost.ru ([87.242.64.162])
by relay1.shared.masterhost.ru with esmtp
envelope from <[email protected]>
message id 1ZJwK3-0006Xd-Vu
for [email][email protected][/email]; Tue, 28 Jul 2015 07:17:00 +0300
Received: from u326258 by gen151.hs.shared.masterhost.ru with local (Exim 4.80)
(envelope-from <[email protected]>)
id 1ZJwJq-0001ft-Bp
for [email][email protected][/email]; Tue, 28 Jul 2015 07:16:46 +0300
To: <[email protected]>
Subject: =?windows-1251?B?0ffl8iDu8iDOzs4gIsrg7fbr5fAiLiDK4O32?=
=?windows-1251?B?8u7i4PD7?=
X-PHP-Script: xn--80ah0bw.xn--p1ai/tmp/324567.php for 217.23.5.223, 217.23.5.223
X-PHP-Originating-Script: 5287:324567.php
Message-ID: <4DB7FE54E6321E2DF1F4BD22D6DE1E13@174873497834209686430869453>
Reply-To: =?windows-1251?B?zejt4CDP7u/u4uA=?= <[email protected]>
From: =?windows-1251?B?zejt4CDP7u/u4uA=?= <[email protected]>
Date: Tue, 28 Jul 2015 07:15:52 +0200
Organization: =?windows-1251?B?zs7OIMrg7fbr5fA=?=
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_00CE_01D0C905.3CA3EDA0"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.5931
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.6157
X-KLMS-Rule-ID: 1
X-KLMS-Message-Action: clean
X-KLMS-AntiSpam-Lua-Profiles: 81531 [Jul 28 2015]
X-KLMS-AntiSpam-Version: 5.5.6
X-KLMS-AntiSpam-Envelope-From: [email][email protected][/email]
X-KLMS-AntiSpam-Rate: 0
X-KLMS-AntiSpam-Status: not_detected
X-KLMS-AntiSpam-Method: none
X-KLMS-AntiSpam-Moebius-Timestamps: 3668095, 0, 0
X-KLMS-AntiSpam-Info: LuaCore: 250 250 263d1db7ab7ff8c9df38ac7271e72301eb3858ca, Auth:spf=none smtp.mailfrom=undeliverable.masterhost.ru
X-KLMS-AntiSpam-Interceptor-Info: scan successful
X-KLMS-AntiVirus: Kaspersky Security 8.0 for Linux Mail Server 8.0.0.455, not checked
X-KLMS-AntiVirus-Status: NotChecked: not checked, skipped
X-DMARC-Policy: no
X-Mras: Ok
X-Mru-Authenticated-Sender: [email][email protected][/email]
X-Spam: undefined
X-Spam-Status: UNDEF
X-DMARC-Policy: no
X-Mras: Ok
X-Mru-Authenticated-Sender: [email][email protected][/email]
X-Yandex-Forward: fd982739a97fc15f0c2e788ee5128efb
Return-Path: [email][email protected][/email]
X-Yandex-Forward: 157a2e9b56fc0487448582c2b7282744
X-Yandex-Filter: 2390000000000902090

This is a multi-part message in MIME format.

------=_NextPart_000_00CE_01D0C905.3CA3EDA0
Content-Type: text/plain;
charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

=CF=EE=E2=F2=EE=F0=ED=EE.

=CD=E0=EF=EE=EC=E8=ED=E0=E5=EC, =F7=F2=EE =E2=E0=EC=E8 =ED=E5=EE=EF=EB=E0=
=F7=E5=ED =EF=EE=F1=EB=E5=E4=ED=E8=E9 =F1=F7=E5=F2 =E7=E0 =EF=EE=F1=F2=E0=
=E2=EA=F3 =EA=E0=ED=F6=F2=EE=E2=E0=F0=EE=E2. =CD=E0=EC =ED=F3=E6=ED=EE =E7=
=E0=EA=F0=FB=F2=FC =EE=F2=F7=E5=F2=ED=FB=E9 =EF=E5=F0=E8=EE=E4.
=CF=F0=EE=F1=E8=EC =EE=EF=EB=E0=F2=E8=F2=FC =ED=E0 =FD=F2=EE=E9 =ED=E5=E4=
=E5=EB=E5. =D1=F7=E5=F2 =E2=FB=F1=FB=EB=E0=E5=EC =E5=F9=E5 =F0=E0=E7 http=
://kancler.ru/docs/2015-07/

=D1 =F3=E2=E0=E6=E5=ED=E8=E5=EC,

=CD=E8=ED=E0 =C2=FF=F7=E5=F1=EB=E0=E2=EE=E2=ED=E0 =CF=EE=EF=EE=E2=E0

=CA=EE=EC=EC=E5=F0=F7=E5=F1=EA=E8=E9 =E4=E8=F0=E5=EA=F2=EE=F0 =CE=CE=CE "=
=CA=E0=ED=F6=EB=E5=F0"
=E3. =CF=E5=ED=E7=E0, =EF=F0=EE=F1=EF=E5=EA=F2 =D1=F2=F0=EE=E8=F2=E5=EB=E5=
=E9 45=C0
=D2=D6 "=CA=EE=F1=EC=EE=F1-=D1=E8=F2=E8"
=D2=E5=EB. +7 (8412) 40-88-40

------=_NextPart_000_00CE_01D0C905.3CA3EDA0
Content-Type: text/html;
charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD>
<META content=3D"text/html; charset=3Dwindows-1251" http-equiv=3DContent-=
Type>
<META name=3DGENERATOR content=3D"MSHTML 8.00.6001.23588">
<STYLE></STYLE>
</HEAD>
<BODY bgColor=3D#ffffff>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=CF=EE=E2=F2=EE=F0=ED=EE.</=
FONT></DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial></FONT> </DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=CD=E0=EF=EE=EC=E8=ED=E0=E5=
=EC, =F7=F2=EE =E2=E0=EC=E8 =ED=E5=EE=EF=EB=E0=F7=E5=ED =EF=EE=F1=EB=E5=E4=
=ED=E8=E9=20
=F1=F7=E5=F2 =E7=E0 =EF=EE=F1=F2=E0=E2=EA=F3 =EA=E0=ED=F6=F2=EE=E2=E0=F0=EE=
=E2. =CD=E0=EC =ED=F3=E6=ED=EE =E7=E0=EA=F0=FB=F2=FC </FONT><FO=
NT size=3D2=20
face=3DArial>=EE</FONT><FONT size=3D2 face=3DArial>=F2=F7=E5=F2=ED=FB=E9 =
=EF=E5=F0=E8=EE=E4.</FONT></DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=CF=F0=EE=F1=E8=EC =EE=EF=EB=
=E0=F2=E8=F2=FC =ED=E0 =FD=F2=EE=E9=20
=ED=E5=E4=E5=EB=E5.</FONT><FONT size=3D2 face=3DArial> </FONT><FONT size=3D=
2 face=3DArial>=D1=F7=E5=F2=20
=E2=FB=F1=FB=EB=E0=E5=EC =E5=F9=E5 =F0=E0=E7 <A=20
href=3D"http://holt.by/language/en-GB/index.html">[url]http://kancler.ru/docs/=[/url]
2015-07/</A></FONT></DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial></FONT><FONT size=3D2=20
face=3DArial></FONT> </DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=D1 =F3=E2=E0=E6=E5=ED=E8=E5=
=EC,</FONT></DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial></FONT> </DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=CD=E8=ED=E0 =C2=FF=F7=E5=F1=
=EB=E0=E2=EE=E2=ED=E0 =CF=EE=EF=EE=E2=E0</FONT></DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial></FONT> </DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=CA=EE=EC=EC=E5=F0=F7=E5=F1=
=EA=E8=E9 =E4=E8=F0=E5=EA=F2=EE=F0 =CE=CE=CE=20
"=CA=E0=ED=F6=EB=E5=F0"</FONT></DIV>
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=E3. =CF=E5=ED=E7=E0, =EF=F0=
=EE=F1=EF=E5=EA=F2 =D1=F2=F0=EE=E8=F2=E5=EB=E5=E9 45=C0<BR>=D2=D6=20
"=CA=EE=F1=EC=EE=F1-=D1=E8=F2=E8"<BR>=D2=E5=EB. +7 (8412) 40-88-40</=
FONT></DIV></BODY></HTML>

------=_NextPart_000_00CE_01D0C905.3CA3EDA0--[/SPOILER]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Возможно да и не загрузился тогда присылаю ссылку на файл карантина с яндекс диска [удалено]
30.07.2015, 15:55
thyrex

Карантин пришел

Новые логи где?
30.07.2015, 16:43
Владислав Чубук

Вложений: 2

Прошу прощения, я видимо не правильно понял, что нужно только карантин прислать.
[удалено] - это файл virusinfo_autoquarantine.zip
30.07.2015, 17:14
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
31.07.2015, 08:22
Владислав Чубук

Вложений: 2

Высылаю запрошенные файлы
31.07.2015, 09:49
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CHR HKU\S-1-5-21-3247775845-3201712997-4066665721-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
FF DefaultSearchEngine: Ask Search
FF SelectedSearchEngine: Ask Search
FF Homepage: hxxp://www.search.ask.com/?tpid=ORJ-ST-SPE&o=APN11464&pf=V7&trgb=FF&p2=%5EBEA%5EOSJ000%5EYY%5ERU&gct=hp&apn_ptnrs=BEA&apn_dtid=%5EOSJ000%5EYY%5ERU&apn_dbr=ff_32.0.3.5379&apn_uid=4C70F613-1ED9-44F8-A2E1-B13958095843&itbv=12.18.0.81&doi=2014-10-15&psv=&pt=tb
FF Extension: Search App by Ask - C:\Users\Пользователь\AppData\Roaming\Mozilla\Firefox\Profiles\x3w6950b.default\Extensions\[email protected] [2014-09-11]
FF Extension: Shopping App by Ask - C:\Users\Пользователь\AppData\Roaming\Mozilla\Firefox\Profiles\x3w6950b.default\Extensions\[email protected] [2014-10-11]
2015-07-29 08:21 - 2015-07-29 08:21 - 00927422 _____ C:\Program Files (x86)\desk.bmp
2015-07-29 07:50 - 2015-07-29 08:21 - 00000080 _____ C:\Program Files (x86)\ZPTVDATXMH.SWX
2015-07-28 14:21 - 2015-07-28 14:21 - 00000000 ____D C:\Program Files (x86)\Архиватор WORD таблиц
2015-07-29 08:21 - 2015-07-29 08:21 - 0149043 _____ () C:\Program Files (x86)\desk.jpg
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
31.07.2015, 10:30
Владислав Чубук

Вложений: 1

Высылаю Fixlog.txt:
31.07.2015, 10:41
thyrex

С расшифровкой не поможем
31.07.2015, 10:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]57[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\пользователь\desktop\aa_v3.5.exe - [B]not-a-virus:RemoteAdmin.Win32.Ammyy.hq[/B] ( DrWEB: Program.RemoteAdmin.758 )[/LIST][/LIST]