Зашифрованные файлы. paycrypt@aol

Printable View

22.03.2016, 16:52
MegaTech

Зашифрованные файлы. paycrypt@aol

Какая то зараза зашифровала файлы. Приобрели вид: Conv44.txt.id-9435681244813089-paycrypt@aol
Возможно дешифровать?
22.03.2016, 16:55
Info_bot

Уважаемый(ая) [B]MegaTech[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
23.03.2016, 23:56
SQ

Здравствуйте,

Логи AVZ сделаны в терминальной сессии, сделайте их из консоли.
[QUOTE]
AVZ запущен из терминальной сессии (RDP-Tcp#1)[/QUOTE]
24.03.2016, 11:45
MegaTech

Сделал.
24.03.2016, 16:26
SQ

Логи AVZ сделаны в терминальной сессии, сделайте их не используя RDP, т.е. в нормальном режиме.
[QUOTE]AVZ запущен из терминальной сессии (RDP-Tcp#0)[/QUOTE]
24.03.2016, 17:44
MegaTech

Не из под RDP.
25.03.2016, 00:52
SQ

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
QuarantineFile('c:\windows\net\net\wahiver.exe','');
QuarantineFile('c:\windows\inf\drv\vds.exe','');
QuarantineFile('c:\windows\jav\javase.exe','');
QuarantineFile('c:\windows\jav\javaw.exe','');
QuarantineFile('c:\windows\inf\drv\lsm.exe','');
QuarantineFile('c:\windows\inf\vps\lsass.exe','');
BC_ImportQuarantineList;
BC_Activate;
end.
[/CODE]

Перезагрузите сервер.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
25.03.2016, 10:36
MegaTech

Образ.
25.03.2016, 13:08
SQ

Знакома ли Вам?

[QUOTE]c:\windows\inf\vps\lsass.exe[/QUOTE]

Обнаружены следующие зловреды:

[QUOTE]c:\windows\jav\javaw.exe - Trojan.DownLoader15.1203
c:\windows\inf\drv\vds.exe - Trojan.DownLoader15.1203[/QUOTE]

[URL="http://virusinfo.info/showthread.php?t=121769"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
OFFSGNSAVE
BREG
unload %SystemRoot%\JAV\JAVASE.EXE
unload %SystemRoot%\JAV\JAVAW.EXE
unload %SystemRoot%\INF\DRV\VDS.EXE
zoo %SystemRoot%\JAV\JAVASE.EXE
zoo %SystemRoot%\JAV\JAVAW.EXE
zoo %SystemRoot%\INF\VPS\LSASS.EXE
zoo %SystemRoot%\INF\DRV\LSM.EXE
zoo %SystemRoot%\INF\VPS\SSMS.EXE
zoo %SystemRoot%\INF\DRV\VDS.EXE
zoo %SystemDrive%\USERS\PRINT\SAVED GAMES\WS\WAHIVER.EXE
zoo %SystemDrive%\USERS\PRINT\SAVED GAMES\WS\WASP.EXE
zoo %SystemRoot%\INF\ASP\ASP.NET\WMISVR.EXE
del %SystemRoot%\INF\DRV\VDS.EXE
del %SystemRoot%\JAV\JAVAW.EXE
del %SystemRoot%\JAV\JAVASE.EXE
zoo %SystemDrive%\USERS\PRINT\YACHTINGPOKER\UNINST.EXE
zoo %SystemRoot%\NET\NET\WASPWING.EXE
zoo %SystemRoot%\NET\NET\WASP.EXE
zoo %SystemRoot%\NET\NET\WAHIVER.EXE
zoo %SystemRoot%\NET\NET\SSLEAY32.DLL
zoo %SystemRoot%\NET\NET\SQLITE3.DLL
zoo %SystemRoot%\NET\NET\MSVCR71.DLL
zoo %SystemRoot%\NET\NET\LIBGLESV2.DLL
zoo %SystemRoot%\NET\NET\LIBEGL.DLL
zoo %SystemRoot%\NET\NET\LIBEAY32.DLL
zoo %SystemRoot%\NET\NET\LIBCEF.DLL
zoo %SystemRoot%\NET\NET\ICUDT.DLL
zoo %SystemRoot%\NET\NET\FFMPEGSUMO.DLL
QUIT[/CODE]

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
25.03.2016, 13:29
MegaTech

Прикладываю.
25.03.2016, 14:01
SQ

Ранее так и не ответили:
[QUOTE=SQ;1369600]Знакома ли Вам?
[QUOTE]c:\windows\inf\vps\lsass.exe [/QUOTE]
[/QUOTE]
Также образовался ли каранти после выполнения uvs?

Что из следующего Вам знакома?

[QUOTE]() C:\Windows\inf\drv\lsm.exe
() C:\Windows\inf\vps\lsass.exe
() C:\Windows\inf\vps\ssms.exe
- - 00000000 _____ () C:\Windows\NET\NET\sqlite3.dll
- - 00000000 _____ () C:\Windows\NET\NET\libcef.dll
- - 00000000 _____ () C:\Windows\NET\NET\libglesv2.dll
- - 00000000 _____ () C:\Windows\NET\NET\libegl.dll
- - 00000000 _____ () C:\Windows\NET\NET\ffmpegsumo.dll
S2 javainstall; C:\Windows\jav\JavaSE.exe [X]
R2 vdmgr; C:\Windows\Inf\drv\lsm.exe [X]
R2 wmi; C:\Windows\Inf\vps\lsass.exe [X]
Startup: C:\Users\print\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wahiver.exe - Ярлык.lnk [2015-11-12][/QUOTE]

Имеется ли какая-то ограничевающая политика на сервере?
[QUOTE]GroupPolicyScripts: Restriction <======= ATTENTION[/QUOTE]

[B]Важно[/B] перед выполнением завершите все процесс, также если имеется база-данных SQL то рекомендуется ее предварительно завершить.
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
ShortcutTarget: wahiver.exe - Ярлык.lnk -> C:\Users\Администратор\Saved Games\ws\wahiver.exe (No File)
Folder: C:\ExtForms
2016-03-25 13:17 - 2015-08-12 06:46 - 00000000 ____D C:\Windows\jav
Folder: C:\Windows\SysWOW64\nu
2012-05-29 15:28 - 2012-05-29 15:28 - 0000002 _____ () C:\Program Files (x86)\mshexc.bmp
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что сервер будет [b]перезагружен[/b].[/LIST]
25.03.2016, 14:49
MegaTech

Карантин не создался, ничего из списка не знакомо.
25.03.2016, 15:20
SQ

Перед следующими манипуляции необходимо сделать резервную точку восстановления:
[QUOTE]Error: (0) Failed to create a restore point.[/QUOTE]

Для этого в командной строке (cmd.exe) в привилегированном режиме (Run as Administrator) выполните следующую команду:
[CODE]powershell -command enable-computerrestore -drive \"C:\\\"[/CODE]

Также чтобы убедиться, что все прошло удачно выполните следующее:
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, после выполнения возможно потребуется [b]перезагрузить[/b] сервер.[/LIST]
25.03.2016, 15:31
MegaTech

[QUOTE=SQ;1369627]
[CODE]powershell -command enable-computerrestore -drive \"C:\\\"[/CODE]
[/QUOTE]
Microsoft Windows [Version 6.1.7601]
(c) Корпорация Майкрософт (Microsoft Corporation), 2009. Все права защищены.

C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Программы>po
wershell -command enable-computerrestore -drive "C:\\"
enable-computerrestore : Данная функция не поддерживается в текущей операционной системе.
строка:1 знак:1
+ enable-computerrestore -drive "C:"
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : InvalidOperation: (:) [Enable-ComputerRestore],
ArgumentException
+ FullyQualifiedErrorId : Microsoft.PowerShell.Commands.EnableComputerRest
oreCommand

C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Программы>po
wershell -command enable-computerrestore -drive "C:\\"
25.03.2016, 22:54
SQ

Уточните пожалуйста в "[B]Свойстве системы[/B]" (System Properties) присутствует вкладка "[B]Безопасность[/B]" (System Protection)?

Скорее на Windows Server 2008 R2 данный функционал отсутсвует, Вам придется в начале выполнить резерную копию состояние системы.

Для этого Вам следует убедиться, что установили компонент [B]Windows Backup Server[/B], для того чтобы если пойдет что-то не так была возможность откатиться до предыдущего состояния.

Как только сделайте резервную копии состояния системы, можете перейти к следуюещий инструкции:

[B]Важно[/B] перед выполнением завершите все процесс, также если имеется база-данных SQL то рекомендуется ее предварительно завершить.
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Windows\NET\NET\sqlite3.dll
File: C:\Windows\NET\NET\libcef.dll
File: C:\Windows\NET\NET\libglesv2.dll
File: C:\Windows\NET\NET\libegl.dll
File: C:\Windows\NET\NET\ffmpegsumo.dll
S2 javainstall; C:\Windows\jav\JavaSE.exe [X]
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, сервер будет [b]перезагружен[/b].[/LIST]
26.03.2016, 13:04
SQ

Также уточните, если сами устанавливали WaspAce?

P.S. Также если незнаете как зашифровались файлы, рекомендуется сменить пароли на сервере.
28.03.2016, 14:51
MegaTech

Нет WaspAce не ставил. Пароли сменил. Расшифровать файлы возможно?
28.03.2016, 23:43
SQ

[QUOTE=MegaTech;1370544]Нет WaspAce не ставил. Пароли сменил. Расшифровать файлы возможно?[/QUOTE]

Тогда удалите WaspAce.

[B]Важно[/B] перед выполнением завершите все процессы, также если имеется база-данных SQL то рекомендуется ее предварительно завершить.
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CMD: taskkill /im wahiver.exe /f
CMD: taskkill /im wasp.exe /f
CMD: taskkill /im waspwing.exe /f
C:\Windows\NET\NET\wahiver.exe
C:\Windows\NET\NET\wasp.exe
C:\Windows\NET\NET\waspwing.exe
C:\Windows\NET\NET
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что сервер будет [b]перезагружен[/b].[/LIST]

Что из этого Вам известно?
[QUOTE]() C:\Windows\inf\ASP\ASP.net\wmisvr.exe
() C:\Windows\inf\ASP\ASP.net\wmisvr.exe
() C:\Windows\IME\sql\sqlmgr\sqlmgr.exe
() C:\Windows\IME\sql\sqlmgr\sqlmgr.exe
() C:\Windows\IME\sql\sqlmgr\sqlmgr.exe
() C:\Windows\inf\vps\lsass.exe
() C:\Windows\inf\vps\ssms.exe[/QUOTE]

С расшифровкой не поможем.
28.03.2016, 23:53
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]