Printable View
Здравствуйте! Увидел, что на windows server 2008 один процесс дико "жрет" процессор, был заблокирован диспетчер задач, скинул папку avz разблокировал и увидел, что появился текстовый файл характерный для шифровальщика. вырубил комп загрузился с win PE, скопировал все данные на другой винт. теперь вот нужна помощь изловить гада! тк это уже второй раз, в первый раз dr.web прислали расшифровщик.
Уважаемый(ая) [B]ArCticIce[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Autologger можно под win PE запускать или нужно загружать систему как обычно?
Как обычно
стесняюсь спросить, а где кнопка прикрепить файл? или нужно любой ftp использовать?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[url]http://dropmefiles.com/qAKcF[/url]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
пойдет так?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
в окне прикрипления файлов у меня висят 2 файла, как их удалить? 943.6 Кб of 976.6 Кб Used
Логи прикрепляйте через кнопку Расширенный режим
Выполните скрипт в AVZ
[code]begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('C:\Windows\csrcs.exe');
QuarantineFile('C:\Windows\csrcs.exe','');
DeleteFile('C:\Windows\csrcs.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузку компьютера выполните вручную.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.
[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
+ пришлите в архиве примеры шифрованных файлов (через dropmefiles.com)
[url]http://dropmefiles.com/NhNpZ[/url]
выполнил
[QUOTE=thyrex;1452235]Логи прикрепляйте через кнопку Расширенный режим
[/QUOTE]
там у меня висят старые 2 файла и я не могу их удалить, залить новые не могу, тк выделенного места мало
[url]http://dropmefiles.com/NhNpZ[/url] тут примеры файлов шифрованых
[quote="ArCticIce;1452240"]там у меня висят старые 2 файла и я не могу их удалить[/quote]Мой кабинет - Вложения и удаляете.
А есть зашифрованные doc или docx файлы?
новые логи
+ excel файлы оригиналы и кодированные [url]http://dropmefiles.com/iOHVE[/url]
И сообщение вымогателя прикрепите к сообщению
готово.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[url]http://dropmefiles.com/AhX1A[/url] тут помощь от drweb, которая обошлась фирме 5300, вдруг вам пригодится в борьбе с шифровальщиками
и описание лечения
Применение.
В любую папку положить файл te225decrypt.exe и, рядом с ним, файл te225pass (прилагается ниже)
Запустить te225decrypt.exe с параметром комстроки -nonames
Т.е. так:
te225decrypt.exe -nonames
На первом шаге утилита запросит показать ей любой один зашифрованный файл подходящего для проверки правильности расшифровки формата.
После этого начнется расшифровка всех зашифр. *.CTB-Locker файлов на доступных дисках.
Возможный также вариант применения:
te225decrypt.exe -nonames -path "D:\Path"
// расшифровывать файлы только в указанном каталоге D:\Path и его подкаталогах.
Расшифровка идет в новые файлы;
по принципу :
"filename.ext.CTB-Locker " (зашифрованный) => "filename.ext" (расшифрованный)
Соответственно, потребуется свободное место, равное общему объему зашифрованных файлов.
С уважением, Аслан Кунашев,
служба технической поддержки компании "Доктор Веб".
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
подскажите что за файл был C:\Windows\csrcs.exe, я его пытался из диспетчера задач убрать, но он запускался снова!
Т.е. в прошлый раз было обращение с файлами с таким же новым расширением?
в этот раз то ли мне показалось, что опять начал работать шифровальщик, на глаза попался процесс :\Windows\csrcs.exe, я вырубил комп и сделал резервные копии всех баз данных, загрузившись с win PE. Прошлый раз 12.05.2017 файлы удалось расшифровать. Вопрос остался: что за процесс был :\Windows\csrcs.exe????? 70-90% процессора "жрал"!
Вам поможет [url]https://decrypter.emsisoft.com/amnesia[/url]
Файл с ключом [url]https://www.sendspace.com/file/23ifl9[/url] поместить в папку с дешифратором
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]