Printable View
Здравствуйте, пришло по почте письмо, попытались открыть. В результате все файлы зашифровались. Появились файлы типа [email][email protected][/email]-CL 1.5.1.0.id-1287017864-670820387077932955765363.fname-README.txt.doubleoffset и README.txt Провели лечение KVRT и Cureit. В virus.zip, то что создал вирус.
Спасибо за помощь.
Уважаемый(ая) [B]mishaman[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
С расшифровкой помочь не сможем.
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\pxrts.sys','');
QuarantineFile('c:\system.exe','');
QuarantineFile('d:\mapsoft\mapbackup\mapbackup.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]https://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Карантин отправил.
Файл сохранён как
180910_093214_quarantine_5b963a1ef2eb0.zip
Размер файла 4078094
MD5 db57a01ee32b0eb2d358eb16c6c90241[TABLE]
[TR]
[/TR]
[TR]
[/TR]
[TR]
[TD][/TD]
[/TR]
[/TABLE]
Файлы злоумышлинников на этом компьютере были на рабочем столе?
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\WINDOWS\system32\srvany.exe
File: D:\MAPSOFT\MapBackup\MapBackup.exe
HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {55ea766f-dab6-11e5-84aa-4061865e9fd7} - G:\62\g732b.js
HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {7b578a4c-cfb6-11e5-9de5-4061865e9fd7} - G:\bbb\gaaf8.js
HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {939d849c-9efd-11e5-b101-4061865e9fd7} - G:\autorun.exe
HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {94602540-0710-11e8-b1bd-4061865e9fd7} - G:\autorun.exe
HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {ae316fc0-86a1-11e5-adfb-4061865e9fd7} - G:\e5e5\gf47.js
BHO: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C1} -> C:\Program Files\AlterGeo\AlterGeo Magic Scanner\2.8.8.615\AlterGeo.BrowserPlugin.dll => No File
Toolbar: HKU\S-1-5-21-958784587-2911613368-2408387380-1382 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
FF Plugin: @java.com/DTPlugin -> C:\Program Files\Java\jre6\bin\dtplugin\npDeployJava1.dll [No File]
File: C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
File: C:\Program Files\Fortinet\FortiClient\scheduler.exe
File: C:\NCPIService\NCPISentinelService.exe
File: C:\WINDOWS\System32\Drivers\AlKernel.sys
S4 IntelIde; no ImagePath
U1 WS2IFSL; no ImagePath
2018-09-04 13:48 - 2013-09-03 10:39 - 000000000 ____D C:\Documents and Settings\Mikhail.Hameza\Application Data\DRPSu
File: C:\Windows\System32\Drivers\74620667.sys
CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{0F130AC8-CDF1-4DAA-AA9B-7B4083F49EA4}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\PtContainerUI.dll => No File
CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{492042A2-4432-44A1-9A39-85B2D3C0119E}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\PtContainerUI.dll => No File
CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{876FA801-2B5E-4201-9E6B-2EF2C05A5C6B}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\WidgetbarAPI.dll => No File
CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{89425F5E-A2BD-44CD-9E4F-F1498522F0E5}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\WidgetbarManagerUI.dll => No File
CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{F6F8856F-374D-4397-BB1C-80AB57E60529}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\WidgetbarAPI.dll => No File
ContextMenuHandlers6: [HamsterLiteMenu] -> {2DEDD2C9-928E-4442-9417-769C969973B6} => C:\Program Files\Hamster Soft\Hamster Lite Archiver\HamsterContextMenu.dll -> No File
File: C:\Windows\AutoKMS\AutoKMS.exe
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:0CE7F3C9 [132]
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:41ADDB8A [136]
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:820563D3 [104]
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:A064CECC [139]
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:CB0AACC9 [150]
AlternateDataStreams: C:\Documents and Settings\Mikhail.Hameza\Local Settings\Application Data:wa [146]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
[QUOTE]Файлы злоумышлинников на этом компьютере были на рабочем столе?[/QUOTE]
Нет, заразился другой компьютер и по локальной сети в расшареную папку пришел на данный ПК. Здесь успел зашифровать, только файлы в расшареной папке. Затем сразу был запущен KVRT, который нашел 1 вирус и удалил его, после этого файлы перестали шифроваться.
Главная угроза, это компьютер откуда был изначальный запуск. А так в логах нет ничего плохого.
Как было написано ранее с расшифровкой не сможем помочь. Но если у Вас есть лицензии от антивирусных программ, пробуйте обратиться к вендорам за помощью.
Спасибо!
В завершение:
1.
[list][*]Пожалуйста, запустите adwcleaner.exe[*]В меню [B]Настройки[/B] -[B] Удалить AdwCleaner[/B] - выберите [B]Удалить[/B].[*]Подтвердите удаление, нажав кнопку: Да.[/list]
Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.
Остальные утилиты лечения и папки можно просто удалить.
Пришлите несколько зашифрованных файлов в архиве.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]