Шифровальщик reg.id-{815F73E7}_repairfiles365@gmail_com [Trojan-Ransom.MSIL.Agent.wm ]

Printable View

11.04.2016, 16:47
kot488

Шифровальщик reg.id-{815F73E7}_repairfiles365@gmail_com [Trojan-Ransom.MSIL.Agent.wm ]

Словили сегодня шифровщика, кто что запускал не понятно, зашифровал все что на флешке, диске Д, и кусок диска С. Шифровал все что связано с бухами, ключи банка, электронные подписи, программу для отрпавки отчетов. Такое чувство что я его прервал когда начал базы 1С обновлять.
В архиве пару файлов, пароль virus. Есть варианты расшифровать?
11.04.2016, 16:48
Info_bot

Уважаемый(ая) [B]kot488[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.04.2016, 18:49
kot488

Первый зашифрованный файл в 10:53
11.04.2016, 19:42
thyrex

Без тела шифровальщика даже предположить что-то невозможно
11.04.2016, 20:10
kot488

[QUOTE=thyrex;1374897]Без тела шифровальщика даже предположить что-то невозможно[/QUOTE]

Смотрю сейчас Shadow Explorer, в 13:55 сегодня на робочем столе еще нет файла "КАК РАСШИФРОВАТЬ ФАЙЛЫ" а на рабочем столе показывает что он создан ‎11.04.2016‎ р., ‏‎13:40:52.
в это время приблизительно была запущенка установка 1С 8.3 и ломалка ее

Что еще интересное нашел, запустил р-студио. полез в одну папку и вот что там вижу, файл удален, файл создан с расширением и файл зашифрован
[IMG]http://savepic.ru/9358275.jpg[/IMG]

Сцуко, опять запустился, nod32 тупо нечего не увидел. В диспетчере задач есть процес gpg.exe и keygen.exe ив описании GRUcrypt
11.04.2016, 22:01
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('d:\install\!totalcmd\keygen.exe');
QuarantineFile('d:\install\!totalcmd\keygen.exe','');
TerminateProcessByName('C:\Users\brovaru\AppData\Local\Temp\gpg.exe');
QuarantineFile('C:\Users\brovaru\AppData\Local\Temp\gpg.exe','');
DeleteFile('C:\Users\brovaru\AppData\Local\Temp\gpg.exe','32');
DeleteFile('d:\install\!totalcmd\keygen.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
12.04.2016, 09:33
kot488

Карантин залил, вот новые логи
12.04.2016, 11:04
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
12.04.2016, 14:02
kot488

Еще идет скан, вот что нашел PUP.Optional.PassView Файл D:\Install\!totalcmd\plugins\exe\NhT\PassMaker.exe

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Логи
12.04.2016, 19:21
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Это что-то совсем новое [url]https://www.virustotal.com/ru/file/e00a2d99719fe2743891ba35ad3fc9619a5cfd398d57ea2b6b8e8448cabd771b/analysis/1460477045/[/url]
12.04.2016, 19:53
kot488

Вот что еще нашел
[IMG]http://savepic.ru/9310059.jpg[/IMG]

есть файл secring.gpg но он нолевой. Поднимал эту же тему на [URL="http://forum.esetnod32.ru/forum35/topic13163/?PAGEN_1=2"]ноде[/URL], можете почитать что там ответили, тоже говорят новое что то.

1.zip то что было создано перед началом шифрования.

А вот походу то что [URL="http://www.ex.ua/578561529495"]шифровало[/URL], или остатки от него. Залил на ex.ua так как сюда обьем не позволяет, пароль infected, очкую на живом ПК открывать и изменять пароль.

Я правильно понял, только два антивира нашло подозрение в этом файле?

В архиве infected, пасс тоже test.zip , файл один и тот же, только востановленый, в формате gpg и уже зашифрованный

Просканировал, логи прикрепил
12.04.2016, 22:29
thyrex

Лог FRST.txt неполный. Переделывайте
13.04.2016, 10:26
kot488

Переделал

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

не смотрели логи?
13.04.2016, 19:52
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
AlternateDataStreams: C:\Windows\system32\akshhl29.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\akshsp51.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\aksllmtp.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\aksusb3.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\hasplms.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wuapi.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wuapp.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wuauclt.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wuaueng.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wucltux.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wudriver.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wups.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wups2.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wuwebv.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\aksclass.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\akshasp.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\akshhl.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\aksusb.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\eamonm.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\edevmon.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\ehdrv.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\epfw.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\epfwwfp.sys:$CmdTcID [130]
AlternateDataStreams: C:\Users\office:id [66]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
14.04.2016, 08:40
kot488

Это для лечения или для расшифровки?
14.04.2016, 17:40
thyrex

Это зачистка мусора.

Приватный ключ, нужный для расшифровки, есть только у злодея.
14.04.2016, 17:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\install\!totalcmd\keygen.exe - [B]Trojan-Ransom.MSIL.Agent.wm[/B][/LIST][/LIST]