Шифровальшик skunk [Trojan-Ransom.Win32.Purgen.gc ]

Printable View

21.07.2017, 21:23
biblioteka

Вложений: 4

Шифровальшик skunk [Trojan-Ransom.Win32.Purgen.gc ]

Доброго дня!
Словили шифровальщика - все файлы на компьютере теперь не открываются. Размер файлов остался такой же, в конец добавлено расширение skunk, так же в каждой папке файл от вымогателей с требованием денег.
В вложении files.zip страничка требования вымогателей, пара файлов зашифрованный и не зашифрованный файл. Отчет автологера и FRST так же приложил
Нашел не зашифрованный файл svchost.exe по отчетам автологера он прописан в автозапуске, при проверке этого файла онлайн на сайте касперского сообщает что это Trojan-Ransom.Win32.Purgen.gc в той же папке лежит не зашифрованный файл {065f0c40-703a-11de-9954-806e6f6e6963} вторая часть файла содержит ID из файла с требованием денег поместил в архив код.zip
21.07.2017, 21:25
Info_bot

Уважаемый(ая) [B]biblioteka[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
21.07.2017, 23:56
thyrex

Выполните скрипт в AVZ
[code]begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Public\svchost.exe','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','CertificatesCheck');
DeleteFile('C:\Users\Public\svchost.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
22.07.2017, 00:21
biblioteka

Вложений: 1

по красной сылке файл карантина отправил, новый лог прикрепил
22.07.2017, 08:21
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
22.07.2017, 09:55
biblioteka

Вложений: 1

приложил отчет FRST
22.07.2017, 10:51
thyrex

Это GlobeImposter2, расшифровки нет.

Будет только зачистка мусора.

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
2017-07-20 23:22 - 2017-07-20 23:22 - 00004374 _____ C:\Program Files\how_to_back_files.html
2017-07-20 23:17 - 2017-07-20 23:17 - 00004374 _____ C:\Program Files (x86)\how_to_back_files.html
2017-07-20 23:08 - 2017-07-20 23:08 - 00004374 _____ C:\Users\kostya\Documents\how_to_back_files.html
2017-07-20 23:08 - 2017-07-20 23:08 - 00004374 _____ C:\Users\kostya\Desktop\how_to_back_files.html
2017-07-20 23:08 - 2017-07-20 23:08 - 00004374 _____ C:\Users\Default\how_to_back_files.html
2017-07-20 23:08 - 2017-07-20 23:08 - 00004374 _____ C:\Users\Classic .NET AppPool\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User2\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User2\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User2\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User2\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User19\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User19\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User19\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User19\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User18\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User18\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User18\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User18\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User17\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User17\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User17\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User17\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User16\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User16\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User16\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User16\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User15\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User15\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User15\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User15\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User14\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User14\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User14\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User14\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User13\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User13\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User13\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User13\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User12\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User12\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User12\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User12\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User11\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User11\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User11\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User11\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User10\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User10\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User10\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User10\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User1\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User1\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User1\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\User1\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\Public\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\Public\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\Public\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\Public\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\lit\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\lit\Downloads\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\lit\Documents\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\lit\Desktop\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\kostya\how_to_back_files.html
2017-07-20 23:07 - 2017-07-20 23:07 - 00004374 _____ C:\Users\kostya\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\Администратор\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\Администратор\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\Администратор\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\Администратор\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User9\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User9\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User9\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User9\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User8\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User8\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User8\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User8\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User7\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User7\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User7\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User7\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User6\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User6\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User6\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User6\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User5\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User5\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User5\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User5\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User4\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User4\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User4\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User4\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User3\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User3\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User3\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User3\Desktop\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User20\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User20\Downloads\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User20\Documents\how_to_back_files.html
2017-07-20 23:06 - 2017-07-20 23:06 - 00004374 _____ C:\Users\User20\Desktop\how_to_back_files.html
2017-07-20 23:05 - 2017-07-20 23:05 - 00004374 _____ C:\Users\how_to_back_files.html
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*][b]Перезагрузку компьютера выполните вручную[/b].[/list]
22.07.2017, 14:02
biblioteka

Вложений: 1

Скопировал зашифрованные файлы, может быть когда-нибудь получится их восстановить?
22.07.2017, 14:04
thyrex

Ждите и надейтесь, что когда-нибудь в будущем появится
22.07.2017, 14:14
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\public\svchost.exe - [B]Trojan-Ransom.Win32.Purgen.gc[/B][/LIST][/LIST]