Printable View
[COLOR=#333333]Вирус зашифровал файлы,все файлы стали с расширением .better_call_saul
в облако майл в архиве выложено [url]https://cloud.mail.ru/public/5qg9/ouEGeYdwk[/url]
1. [/COLOR]файл в ЛС по запросу - скрипт который пользователь получил по почте и который зашифровал файлы
2. примеры зашифрованных файлов
3. файл readme в котором указан код который просят отправить по почте и адреса вымогателей
Уважаемый(ая) [B][email protected][/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
StopService('CltMngSvc');
StopService('darkness');
StopService('hjniooqh');
DeleteService('CltMngSvc');
DeleteService('darkness');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Macromedia\SwUpdate\swupdate.dll','');
QuarantineFile('c:\program files\searchprotect\main\bin\cltmngsvc.exe','');
QuarantineFile('C:\PROGRA~1\SEARCH~1\SEARCH~1\bin\SPVC32~1.DLL','');
QuarantineFile('c:\Temp\5689.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\hjniooqh.sys','');
QuarantineFile('C:\WINDOWS\system\lsass.exe','');
QuarantineFile('CltMngSvc.sys','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Macromedia\SwUpdate\swupdate.dll','32');
DeleteFile('c:\program files\searchprotect\main\bin\cltmngsvc.exe','32');
DeleteFile('C:\PROGRA~1\SEARCH~1\SEARCH~1\bin\SPVC32~1.DLL','32');
DeleteFile('C:\WINDOWS\system\lsass.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','SwUpdate');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
quarantine.zip - не прикрепляется, но толку от него ноль, он пустой...
второй лог в аттаче
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
все почистил логи во вложении
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
результаты сканирования во вложении
Какие из служб/драйверов Вам известны?
[QUOTE]S2 5689; \??\c:\Temp\5689.sys [X]
S1 hjniooqh; \??\C:\WINDOWS\system32\drivers\hjniooqh.sys [X]
S1 jklckoez; \??\C:\WINDOWS\system32\drivers\jklckoez.sys [X]
S1 oghvexwa; \??\C:\WINDOWS\system32\drivers\oghvexwa.sys [X]
S1 ragohsif; \??\C:\WINDOWS\system32\drivers\ragohsif.sys [X][/QUOTE]
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] <==== ATTENTION
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {148d47f8-50e7-11df-85a9-001fc6c6a9f3} - NADFOLDER\autorun.exe
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {6d322a0a-6f97-11df-85cc-001fc6c6a9f3} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RUNdLl32.ExE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {83c94130-623c-11df-85be-001fc6c6a9f3} - E:\TEMP/bracacelika.exe
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {97e43d92-2335-11de-8497-001fc6c6a9f3} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL vb.vbs
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {b23f1bd0-0668-11df-854c-001fc6c6a9f3} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RUNdLl32.ExE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {efb22462-0b0e-11df-8551-001fc6c6a9f3} - E:\TEMP/bracacelika.exe
HKU\S-1-5-21-1085031214-1614895754-1801674531-1004\...\MountPoints2: {ff762400-c5e8-11dd-8436-001fc6c6a9f3} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
URLSearchHook: [S-1-5-21-1085031214-1614895754-1801674531-1004] ATTENTION => Default URLSearchHook is missing
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "" <======= ATTENTION
SearchScopes: HKLM -> DefaultScope value is missing
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1085031214-1614895754-1801674531-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
2016-03-28 12:57 - 2016-03-28 12:57 - 03932214 _____ C:\Documents and Settings\Рабочий\Application Data\93C0979793C09797.bmp
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README9.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README8.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README7.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README6.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README5.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README4.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README3.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README2.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README10.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\Рабочий\Рабочий стол\README1.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2016-03-28 12:57 - 2016-03-28 12:57 - 00002728 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README9.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README8.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README7.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README6.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README5.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README4.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README3.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README2.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README10.txt
2016-03-28 10:23 - 2016-03-28 10:23 - 00002728 _____ C:\README1.txt
2016-03-28 10:13 - 2016-03-29 11:11 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2012-03-12 16:32 - 2012-03-15 08:50 - 0000024 _____ () C:\Documents and Settings\Рабочий\Application Data\36a38d7a
2012-03-12 16:32 - 2012-03-15 08:50 - 0047227 _____ () C:\Documents and Settings\Рабочий\Application Data\36A38DBF
2016-03-28 12:57 - 2016-03-28 12:57 - 3932214 _____ () C:\Documents and Settings\Рабочий\Application Data\93C0979793C09797.bmp
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ouc]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RunExplorer32]
C:\WINDOWS\vb.vbs
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Какие из служб/драйверов Вам известны?
никакие
во вложении лог
пропало с рабочего стола предупреждение, файлы по прежнему зашифрованы
злоумышленники вышли на связь, просят 10000 р
[[email protected];1371614]Какие из служб/драйверов Вам известны?
никакие
[/QUOTE]
Для удаления воспользуейтесь следующим фиксом:
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
S2 5689; \??\c:\Temp\5689.sys [X]
S1 hjniooqh; \??\C:\WINDOWS\system32\drivers\hjniooqh.sys [X]
S1 jklckoez; \??\C:\WINDOWS\system32\drivers\jklckoez.sys [X]
S1 oghvexwa; \??\C:\WINDOWS\system32\drivers\oghvexwa.sys [X]
S1 ragohsif; \??\C:\WINDOWS\system32\drivers\ragohsif.sys [X]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
[[email protected];1371614]
злоумышленники вышли на связь, просят 10000 р[/QUOTE]
С данным типом шифровальщика, не сможем помочь с расшифровкой.