Шифровальщик [UDS:DangerousObject.Multi.Generic ]

Printable View

09.05.2017, 12:34
IUnknown

Вложений: 2

Шифровальщик [UDS:DangerousObject.Multi.Generic ]

Добрый день, помогите пожалуйста, все нужные файлы зашифрованы шифровальщиком [[email protected]].cryptobyte, проблема аналогична теме [url]https://virusinfo.info/showthread.php?t=211584[/url] ,
но ключ другой вероятно, поэтому расшифровка с ключом из этого поста не помогла.
В вложении лог файл, в 4кв.7zip файлы зашифрованные и аналогичные не зашифрованные.
09.05.2017, 12:35
Info_bot

Уважаемый(ая) [B]IUnknown[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.05.2017, 12:55
mike 1

Логи переделайте без запущенного Cureit
09.05.2017, 13:16
IUnknown

Вложений: 1

Переделал

логи в вложении
09.05.2017, 14:24
mike 1

Развели помойку на компьютере. Небось как всегда у бухгалтера права Администратора >:(

Деинсталлируйте:

[CODE]
AVG SafeGuard by Ask
Compatible Web Directory
GamesDesktop 033.005010142
GamesDesktop 033.005010144
globalupdate Helper
HP Defender
SmartWeb
SnapDo
Software Version Updater
SpaceSoundPro
SpaceSoundPro Service
SpeedUpMyPC
SVH
SwiftSearch 1.10.0.25
Web Amplified
[/CODE]

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
DeleteService('Windows Security');
DeleteService('SSFK');
StopService('Windows Services');
DeleteService('Windows Services');
StopService('Windows RDP');
DeleteService('Windows RDP');
StopService('Windows IE');
DeleteService('Windows IE');
StopService('Windows Host');
DeleteService('Windows Host');
TerminateProcessByName('c:\perflogs\system\win32\wudfhost.exe');
QuarantineFile('c:\perflogs\system\win32\wudfhost.exe','');
TerminateProcessByName('c:\perflogs\system\localhost\ui0detect.exe');
QuarantineFile('c:\perflogs\system\localhost\ui0detect.exe','');
TerminateProcessByName('c:\perflogs\system\intel\safesurf.exe');
QuarantineFile('c:\perflogs\system\intel\safesurf.exe','');
TerminateProcessByName('c:\perflogs\system\microsoft\lsass.exe');
QuarantineFile('c:\perflogs\system\microsoft\lsass.exe','');
DeleteFile('c:\perflogs\system\microsoft\lsass.exe','32');
DeleteFile('c:\perflogs\system\intel\safesurf.exe','32');
DeleteFile('c:\perflogs\system\localhost\ui0detect.exe','32');
DeleteFile('c:\perflogs\system\win32\wudfhost.exe','32');
DeleteFile('C:\Program Files\SFK\SSFK.exe','32');
DeleteFile('C:\PerfLogs\System\win32\WUDFHost.exe','32');
DeleteFile('D:\Distrib\BeTwinServiceXP.exe','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-1-6.job','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-1-7.job','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-10_user.job','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-11.job','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-4.job','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-5.job','32');
DeleteFile('C:\Windows\Tasks\40db1533-f551-4998-8bca-934da85073e3-5_user.job','32');
DeleteFile('C:\Windows\Tasks\9qUQcmdFoYNNW2vgPiFsbvx.job','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
DeleteFile('C:\Windows\Tasks\newSI_42075.job','32');
DeleteFile('C:\Windows\Tasks\SpeedUpMyPC Maintenance.job','32');
DeleteFile('C:\Windows\Tasks\SpeedUpMyPC Startup.job','32');
DeleteFile('C:\Windows\system32\Tasks\40db1533-f551-4998-8bca-934da85073e3-1-6','32');
DeleteFile('C:\Windows\system32\Tasks\40db1533-f551-4998-8bca-934da85073e3-1-7','32');
DeleteFile('C:\Windows\system32\Tasks\40db1533-f551-4998-8bca-934da85073e3-11','32');
DeleteFile('C:\Windows\system32\Tasks\40db1533-f551-4998-8bca-934da85073e3-4','32');
DeleteFile('C:\Windows\system32\Tasks\40db1533-f551-4998-8bca-934da85073e3-5','32');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','32');
DeleteFile('C:\Windows\system32\Tasks\Browser Balance','32');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','32');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','32');
DeleteFile('C:\Windows\system32\Tasks\newSI_42075','32');
DeleteFile('C:\Windows\system32\Tasks\pcoductpro','32');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','32');
DeleteFile('C:\Windows\system32\Tasks\SpeedUpMyPC Maintenance','32');
DeleteFile('C:\Windows\system32\Tasks\SpeedUpMyPC Startup','32');
DeleteFile('C:\Windows\system32\Tasks\SwiftSearch Auto Updater 1.10.0.25 Core','32');
DeleteFile('C:\Windows\system32\Tasks\SwiftSearch Auto Updater 1.10.0.25 Pending Update','32');
DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','32');
DeleteFile('C:\Users\Бухгалтер\AppData\Roaming\WindowsUpdater\Updater.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]

[LIST=1][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/7/8/8.1/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Сканировать"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ Несколько зашифрованных файлов пришлите для теста расшифровки.
09.05.2017, 21:44
IUnknown

Вложений: 3

Все сделал, по Вашей инструкции , на последнем шаге угрозы не удалял. И этот компьютер отключен от интернета, важно это или нет? Файлы в 4кв.7z это файлы зашифрованные и точно такие же не зашифрованные.
09.05.2017, 21:49
mike 1

[LIST=1][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/7/8/8.1/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку "[B]Очистить[/B]" ("[B]Clean[/B]") и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[QUOTE]Файлы в 4кв.7z это файлы зашифрованные и точно такие же не зашифрованные.[/QUOTE]
Прочитайте пожалуйста какие файлы вас просили прислать. Мне другие зашифрованные файлы нужны (лучше по 2-3 doc, docx, xls, xlsx, jpg, png)
09.05.2017, 22:16
IUnknown

Вложений: 2

сделал, jpg не отправить пишет предел по размеру загруженных файлов
09.05.2017, 22:32
mike 1

[list][*]Скачайте отсюда [url="https://www.malwarebytes.org/mwb-download/"]Malwarebytes' Anti-Malware[/url] или с [url="https://clck.ru/AvWPo"]зеркала[/url]. [*]Установите MBAM с настройками по умолчанию.[*]После установки в главном окне программы, выберите "[B]Параметры[/B]".[*]В параметрах перейдите на вкладку "[B]Личный кабинет[/B]" и нажмите на кнопку "[B]Деактивировать ознакомительную премиум версию[/B]".[*]При появлении окошка предупреждения, нажмите "[B]Yes[/B]".[*]Обновите базы, выберите "[b]Проверка[/b]" => "[B]Выборочное сканирование[/B]", нажмите "[b]Настроить сканирование[/b]".[*]Сделайте настройки как показано на рисунке ниже:

[img]http://i.imgur.com/Yx93IoF.png[/img]
[*]Для сканирование отметьте все доступные диски и нажмите "[B]Запустить проверку[/B]"

[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B].

[*]По окончанию проверки, нажмите на кнопку "[b]Сохранить результаты проверки[/b]", результат проверки сохраните в текстовой файл.[*]Сохраните лог на рабочий стол. [*]Прикрепите этот лог к следующему вашему сообщению.[/list]

Инструкции по расшифровке файлов выдам в конце лечения.
10.05.2017, 06:57
IUnknown

Вложений: 1

Вчера долго проверял, не дождался окончания, сейчас сделал экспорт из результатов сканирования.
10.05.2017, 18:09
mike 1

Повторите сканирование в MBAM и удалите все, кроме:

[CODE]
Файл: 46
HackTool.Agent, C:\WINDOWS\SYSTEM32\CRYPT.DLL, Проигнорировано пользователем, [437], [146769],1.0.1905
[/CODE]

Только после этого скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list=1][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
10.05.2017, 20:32
IUnknown

Вложений: 1

сделал
10.05.2017, 22:01
mike 1

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list=1][*][URL="https://clck.ru/9knjD"][B]Временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
File: C:\Windows\WindowsMobile\wmdc.exe
GroupPolicyScripts: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
2017-04-28 05:36 - 2017-04-28 05:36 - 06229857 _____ C:\Users\Бухгалтер\AppData\Roaming\1.bmp
2017-05-09 10:09 - 2015-11-25 21:39 - 00000000 ____D C:\Users\Главбух\AppData\Local\3335B280-1448487541-11DD-A559-08606E6D3891
2017-05-09 10:09 - 2015-11-25 19:35 - 00000000 ____D C:\Users\Главбух\AppData\Local\3335B280-1448480115-11DD-A559-08606E6D3891
2017-05-09 10:09 - 2015-11-23 14:40 - 00000000 ____D C:\Users\Главбух\AppData\Local\3335B280-1448289657-11DD-A559-08606E6D3891
2017-05-09 10:09 - 2015-11-19 18:12 - 00000000 ____D C:\Users\Главбух\AppData\Local\3335B280-1447956773-11DD-A559-08606E6D3891
2017-05-09 10:09 - 2015-11-19 14:08 - 00000000 ____D C:\Users\Главбух\AppData\Local\3335B280-1447942128-11DD-A559-08606E6D3891
2017-05-09 10:09 - 2015-11-12 20:48 - 00000000 ____D C:\Users\Бухгалтер\AppData\Local\3335B280-1447361316-11DD-A559-08606E6D3891
2017-05-09 10:09 - 2015-11-11 20:54 - 00000000 ____D C:\Users\Все пользователи\ZTJxuTpLxf
2017-05-09 10:09 - 2015-11-11 20:54 - 00000000 ____D C:\Users\Все пользователи\uXuoum
2017-05-09 10:09 - 2015-11-11 20:54 - 00000000 ____D C:\ProgramData\ZTJxuTpLxf
2017-05-09 10:09 - 2015-11-11 20:54 - 00000000 ____D C:\ProgramData\uXuoum
2017-05-09 10:09 - 2015-11-11 11:19 - 00000000 ____D C:\Users\Все пользователи\CqQUUGxzu
2017-05-09 10:09 - 2015-11-11 11:19 - 00000000 ____D C:\ProgramData\CqQUUGxzu
2017-05-09 10:09 - 2015-11-11 09:37 - 00000000 ____D C:\Users\Все пользователи\tenFmFjcm
2017-05-09 10:09 - 2015-11-11 09:37 - 00000000 ____D C:\ProgramData\tenFmFjcm
2017-05-09 10:09 - 2015-11-11 09:21 - 00000000 ____D C:\Users\Все пользователи\TEeCzalTl
2017-05-09 10:09 - 2015-11-11 09:21 - 00000000 ____D C:\Users\Все пользователи\ENwdFSarXqYLw
2017-05-09 10:09 - 2015-11-11 09:21 - 00000000 ____D C:\ProgramData\TEeCzalTl
2017-05-09 10:09 - 2015-11-11 09:21 - 00000000 ____D C:\ProgramData\ENwdFSarXqYLw
2013-12-19 14:30 - 2014-03-14 08:31 - 0000072 _____ () C:\Users\Админ\AppData\Roaming\random72.bin
2017-04-28 03:54 - 2017-04-28 03:54 - 0000923 _____ () C:\ProgramData\#_HOW_TO_FIX.inf
2013-06-03 19:15 - 2013-06-03 19:15 - 0056080 _____ (Microsoft Corporation) C:\Users\Бухгалтер\AppData\Local\Temp\CABINET.DLL
2013-06-03 19:27 - 2010-02-15 18:52 - 0435200 _____ (ГК "АТОЛ") C:\Users\Бухгалтер\AppData\Local\Temp\UnInstall.exe
2013-06-03 19:13 - 2013-06-03 18:59 - 1321984 _____ (Setuper) C:\Users\Бухгалтер\AppData\Local\Temp\UnInstallDTO6.exe
2016-04-19 06:49 - 2016-03-23 16:57 - 0186640 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_081298079136.exe
2016-01-05 19:42 - 2015-11-12 16:54 - 0091048 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_081547097790.exe
2016-01-16 07:04 - 2015-12-08 07:23 - 0091048 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_081634363325.exe
2016-07-28 10:24 - 2016-06-21 18:49 - 0186640 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_081712808740.exe
2016-06-23 15:59 - 2016-05-18 13:03 - 0186640 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_085715853.exe
2016-08-22 18:27 - 2016-07-20 14:01 - 0186640 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_08725318660.exe
2016-05-14 10:31 - 2016-04-14 17:29 - 0186640 _____ (AVG Technologies CZ, s.r.o.) C:\Users\Главбух\AppData\Local\Temp\avguirn_08916644220.exe
2015-01-16 20:11 - 2015-01-16 20:11 - 0122368 _____ () C:\Users\Главбух\AppData\Local\Temp\unzdll.dll
2015-01-16 20:11 - 2015-01-16 20:11 - 0123904 _____ () C:\Users\Главбух\AppData\Local\Temp\zipdll.dll
Task: {26547667-5A47-4596-B9A2-C6DD7038B1D0} - \Browser Balance -> No File <==== ATTENTION
Task: {BCAF357A-05AE-40F9-AFDF-F710B648C7BD} - \pcoductpro -> No File <==== ATTENTION
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[*][B][COLOR="Blue"]Внимание![/COLOR][/B] Если на рабочем столе будет создан архив [b]Дата_время.zip[/b], то загрузите этот архив через [url=http://virusinfo.info/upload_virus.php?tid=37678]данную форму[/url][/list]
10.05.2017, 22:14
IUnknown

Вложений: 1

готово
10.05.2017, 22:37
mike 1

Дешифратор [url]https://download.bleepingcomputer.com/demonslay335/BTCWareDecrypter-dev.7z[/url]

[B]Settings -> Load Key
[/B]
[QUOTE]0r0TDqGlVKK55KZp8mhIaWznB[/QUOTE]

Благодарность отправлять этому [url]https://www.bleepingcomputer.com/forums/u/726225/demonslay335/[/url] пользователю.
10.05.2017, 23:18
IUnknown

Огромное спасибо!!! Могу ли отправить благодарность на WMR185379664397 с пометкой для demonslay335?
10.05.2017, 23:34
mike 1

[QUOTE=IUnknown;1448741]Огромное спасибо!!! Могу ли отправить благодарность на WMR185379664397 с пометкой для demonslay335?[/QUOTE]
Это не его реквизиты. Я уточню у него куда можно отправить денег на пиво :)
10.05.2017, 23:37
IUnknown

да, будьте добры
10.05.2017, 23:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\perflogs\system\microsoft\lsass.exe - [B]UDS:DangerousObject.Multi.Generic[/B] ( BitDefender: Gen:Variant.MSILPerseus.2843 )[/LIST][/LIST]