Кажется, я словил WannaCry, помогите вылечить

Printable View

08.10.2017, 18:36
Skirmy

Вложений: 1

Кажется, я словил WannaCry, помогите вылечить

Звуковая реклама при запуске компьютера. Звук исходит от iexplore.exe; если его загасить, то он запускается снова и снова проигрывает рекламу.
Прогнал через AVZ, он нашёл mssecsvc.exe. Я так понимаю, это WannaCry. Что странно, потому что 445 порт закрыт, SMB я отключал ещё в мае (не мог же он включиться сам?), и зашифрованных файлов я не нашёл ещё.
Файл я удалил сразу. Одноимённую с ним службу, которую создаёт WannaCry, также нашёл, выключил её саму и автозагрузку ей выключил. Но из системы удалить не могу, так как не знаю, как. Больше пока ничего не нашёл. Критическое обновление SMB поставил, но я повторюсь, SMB должен быть выключен (не могу в этом убедиться, его почему-то вообще в списке служб нет). Логи прилагаю.

Заранее спасибо!

Обновление сообщения. После перезагрузки реклама вернулась. Исполняемый файл, который я принял за WannaCry, обратно не материализовался. Вероятно, это другой вирус
08.10.2017, 18:37
Info_bot

Уважаемый(ая) [B]Skirmy[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.10.2017, 22:21
Vvvyg

Нет, тот самый [URL="https://www.virustotal.com/ru/file/dbf3890b782ac04136c3336814eef97e3c0f4133f9592e882c131c179161b27b/analysis/"]WannaCry[/URL], кроме прочего.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('C:\Users\Артём\AppData\Local\Temp\SkypePM.exe');
TerminateProcessByName('c:\windows\mssecsvc.exe');
StopService('mssecsvc2.0');
QuarantineFile('C:\Users\12C2~1\AppData\Local\Temp\SkypePM.exe', '');
QuarantineFile('C:\Users\Артём\AppData\Local\Temp\SkypePM.exe', '');
QuarantineFile('c:\windows\mssecsvc.exe', '');
QuarantineFile('C:\Windows\tasksche.exe', '');
DeleteFile('C:\Users\12C2~1\AppData\Local\Temp\SkypePM.exe', '32');
DeleteFile('C:\Users\Артём\AppData\Local\Temp\SkypePM.exe', '32');
DeleteFile('c:\windows\mssecsvc.exe', '32');
DeleteFile('C:\Windows\tasksche.exe', '32');
DeleteService('mssecsvc2.0');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'AdobeRMP');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]O17 - HKLM\System\CSS\Services\Tcpip\..\{BF515154-B8F3-42A0-9A7B-1377281295DF}: NameServer = 0.0.0.0
O17 - HKLM\System\CSS\Services\Tcpip\..\{BF515154-B8F3-42A0-9A7B-1377281295DF}: NameServer = 0.0.0.0
O17 - HKLM\System\CSS\Services\Tcpip\..\{DF1EF989-3382-4585-B913-BE96463A334D}: NameServer = 0.0.0.0
O17 - HKLM\System\CSS\Services\Tcpip\..\{DF1EF989-3382-4585-B913-BE96463A334D}: NameServer = 0.0.0.0
O17 - HKLM\System\CSS\Services\Tcpip\..\{FA53BA11-21A1-491B-BAF8-AACA3106A61E}: NameServer = 0.0.0.0
O17 - HKLM\System\CSS\Services\Tcpip\..\{FA53BA11-21A1-491B-BAF8-AACA3106A61E}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{BF515154-B8F3-42A0-9A7B-1377281295DF}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{BF515154-B8F3-42A0-9A7B-1377281295DF}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{DF1EF989-3382-4585-B913-BE96463A334D}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{DF1EF989-3382-4585-B913-BE96463A334D}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{FA53BA11-21A1-491B-BAF8-AACA3106A61E}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{FA53BA11-21A1-491B-BAF8-AACA3106A61E}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{BF515154-B8F3-42A0-9A7B-1377281295DF}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{BF515154-B8F3-42A0-9A7B-1377281295DF}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{DF1EF989-3382-4585-B913-BE96463A334D}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{DF1EF989-3382-4585-B913-BE96463A334D}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{FA53BA11-21A1-491B-BAF8-AACA3106A61E}: NameServer = 0.0.0.0
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{FA53BA11-21A1-491B-BAF8-AACA3106A61E}: NameServer = 0.0.0.0
O21 - ShellIconOverlayIdentifiers: ###MegaShellExtPending - {056D528D-CE28-4194-9BA3-BA2E9197FF8C} - (no file)
O21 - ShellIconOverlayIdentifiers: ###MegaShellExtSynced - {05B38830-F4E9-4329-978B-1DD28605D202} - (no file)
O21 - ShellIconOverlayIdentifiers: ###MegaShellExtSyncing - {0596C850-7BDD-4C9D-AFDF-873BE6890637} - (no file)
O21-32 - ShellIconOverlayIdentifiers: ###MegaShellExtPending - {056D528D-CE28-4194-9BA3-BA2E9197FF8C} - (no file)
O21-32 - ShellIconOverlayIdentifiers: ###MegaShellExtSynced - {05B38830-F4E9-4329-978B-1DD28605D202} - (no file)
O21-32 - ShellIconOverlayIdentifiers: ###MegaShellExtSyncing - {0596C850-7BDD-4C9D-AFDF-873BE6890637} - (no file)
O22 - Task (Ready): iToolsDaemon - C:\program files (x86)\thinksky\itools 3\iToolsDaemon.exe (file missing)[/code]

Устраняйте уязвимость, которую используют шифровальщики WannaCry и Petya: [url]http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212[/url]

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше все в одном архиве).
11.10.2017, 08:54
Skirmy

Вложений: 1

Всё сделал.
От AVZ умер хром, это нормально? Попробовал его переустановить. Безрезультатно. Запускается и сразу умирает. В процессах при этом висит.

Пытаюсь скачать фаерфокс, сайт открывается, но скачать не даёт. FTP тоже не открывается. И тормоза начались. До запуска скрипта AVZ такого не было, только звуковая реклама и всё :/
11.10.2017, 21:27
Vvvyg

Скрипт никак не мог затронуть Хром. Переустановите, если всё плохо.
[QUOTE]Error: (10/11/2017 12:52:11 PM) (Source: Ntfs) (EventID: 55) (User: )
Description: Структура файловой системы на диске повреждена и непригодна к использованию.
Запустите программу CHKDSK на томе \Device\HarddiskVolume2.[/QUOTE]
В этом, скорее дело.

Отключите для верности протокол SMB версии 1 командами:
[CODE]sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled[/CODE]

Если обновление от WannaCry установили - по минимуму всё. Настоятельно рекомендую также:

Включить и настроить системный брандмауэр.

Ознакомиться со статьёй [URL="http://www.outsidethebox.ms/10034/"]Так ли страшен контроль учетных записей (UAC)?[/URL] и включить его.
11.10.2017, 22:33
Skirmy

Браузер реанимировать не смог, IE и FF тоже не работают... но, похоже, вирусы уже не при чём, налицо повреждение системных файлов винды.

Спасибо за помощь! Дальше я сам
11.10.2017, 22:41
Vvvyg

Рекомендации выше актуальны и после восстановления/переустановки системы. Успехов!
11.10.2017, 22:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]