Шифровальщик

Printable View

18.01.2019, 15:38
Tavi

Вложений: 1

Шифровальщик

Добрый день!
гл.бух на почту получила письмо с вложением info.zip якобы от банка. Архив открыла и соответственно потыкала в файл. Запустился шифровальщик. До конца зашифровать все не успел, ребутнули комп. Зловреда погоняли авастом и каспом - удалился (висел в процессе csrcc.exe, антивирусом определился как IDP.ALEXA.51). Можно ли как-то теперь дешифровать файлы. В основном зашифровало файлы с расширением xls.
п.с. архив с файлом-зловредом есть, если нужно вышлю.
18.01.2019, 15:40
Info_bot

Уважаемый(ая) [B]Tavi[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.01.2019, 01:45
SQ

Здравствуйте,

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
O2 - HKLM\..\BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - MSConfig\startupreg: Client Server Runtime Subsystem [command] = C:\WINDOWS\system32\cmd.exe /C "start C:\DOCUME~1\ALLUSE~1\APPLIC~1\Windows\csrss.exe" (HKCU) (2019/01/18)
O7 - TroubleShooting: (EV) HKCU\..\Environment: [TEMP] = (not exist)
O7 - TroubleShooting: (EV) HKCU\..\Environment: [TMP] = (not exist)
O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TEMP] = (not exist)
O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TMP] = (not exist)
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\PROGRA~1\COMMON~1\ave','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Windows\csrss.exe','');
DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
20.01.2019, 14:38
Tavi

Вложений: 2

файл карантина загрузила, отчеты прикрепила
20.01.2019, 19:17
SQ

Сами это настраивали?
[CODE]
HKLM Group Policy restriction on software: 1.txt <==== ATTENTION
HKLM Group Policy restriction on software: lwqtabgzcuuofljo.exe <==== ATTENTION
HKLM Group Policy restriction on software: snkb0ptz.exe <==== ATTENTION
HKU\S-1-5-21-4054932732-2240947048-505607613-1365 Group Policy restriction on software: snkb0ptz.exe <==== ATTENTION
HKU\S-1-5-21-4054932732-2240947048-505607613-1365 Group Policy restriction on software: lwqtabgzcuuofljo.exe <==== ATTENTION
HKU\S-1-5-21-4054932732-2240947048-505607613-1365 Group Policy restriction on software: 1.txt <==== ATTENTION
[/CODE]

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
Toolbar: HKU\S-1-5-21-4054932732-2240947048-505607613-1365 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
File: C:\Program Files\Print Inspector\pinspserv.exe
File: C:\Program Files\Skype\Updater\Updater.exe
File: C:\WINDOWS\system32\drivers\haspflt.sys
Folder: C:\Documents and Settings\All Users\Application Data\System32
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README9.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README8.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README7.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README6.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README5.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README4.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README3.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README2.txt
2019-01-18 08:29 - 2019-01-18 08:29 - 000004178 _____ C:\README10.txt
Folder: C:\Documents and Settings\All Users\Application Data\Windows
Folder: C:\WINDOWS\security
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:1CE11B51 [154]
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
20.01.2019, 20:44
Tavi

Вложений: 1

[QUOTE=SQ;1495255]Сами это настраивали?

нет...настройки по дефолту

Есть ли какие-то шансы дешифровать файлы?
20.01.2019, 21:06
SQ

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
C:\Documents and Settings\All Users\Application Data\System32\xfs
C:\Documents and Settings\All Users\Application Data\System32
C:\Documents and Settings\All Users\Application Data\Windows
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=Tavi;1495260]
Есть ли какие-то шансы дешифровать файлы?[/QUOTE]

Могли бы приложить файлы злоумышлинников о требованиях. И какое расширение у зашифрованных файлов?
20.01.2019, 21:30
Tavi

Вложений: 1

[QUOTE=SQ;1495264]

Могли бы приложить файлы злоумышлинников о требованиях. И какое расширение у зашифрованных файлов?[/QUOTE]

расширение .crypted000007.

текст сообщения:
Bашu фaйлы были зашифpованы.
Чmобы расшuфpовaть их, Вам нeобходuмo omпpaвиmь kод:
B46593DF052E8028A936|0
нa электронный адрec [email][email protected][/email] .
Далeе вы пoлучumе все нeобxoдuмые uнстрykциu.
Попыmkи рaсшuфровaть самоcтoятельно не nрuвeдyт нu k чему, kрoмe безвoзвpатной поmeрu инфopмaцuu.
Eслu вы всё же хoтитe nопыmamьcя, тo nредвaриmeльнo cделaйmе рeзеpвные копиu файлoв, uнaче в слyчae
их uзмeнeния рacшифpовkа cтaнет невозмoжной нu пpu какux ycлoвияx.
Ecлu вы не nолyчилu оmвеma по вышеyказаннoмy aдpeсy в meченue 48 часов (и moлько в эmом слyчaе!),
вoсnoльзуйтeсь формой oбраmной cвязu. Эmо мoжно cделamь двyмя cпocoбaмu:
1) Cкачaйте u ycmaновume Tor Browser по ccылкe: [url]https://www.torproject.org/download/download-easy.html.en[/url]
B aдрecной cmpоkе Tor Browser-а ввeдuтe адрeс:
[url]http://cryptsen7fo43rr6.onion/[/url]
u нажмuтe Enter. 3arpyзumcя cтрaница с фoрмoй oбратной cвязu.
2) В любoм бpayзeрe nеpeйдume nо oднoмy uз адреcов:
[url]http://cryptsen7fo43rr6.onion.to/[/url]
[url]http://cryptsen7fo43rr6.onion.cab/[/url]

могу приложить архив с самим вирусом, оригинальным doc-файлом и шифрованным doc-файлом.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

пофиксила
21.01.2019, 00:19
SQ

К сожалению у нас нет решение(расшифровки), но оно может быть у Лаборатории Касперского (опять же без гарантий), если есть у Вас лицензия на продукты Лаборатории Касперского или других вендров (например DrWeb), пробуйте к ним обратиться.
21.01.2019, 01:38
Tavi

[QUOTE=SQ;1495287]К сожалению у нас нет решение(расшифровки), но оно может быть у Лаборатории Касперского (опять же без гарантий), если есть у Вас лицензия на продукты Лаборатории Касперского или других вендров (например DrWeb), пробуйте к ним обратиться.[/QUOTE]

спасибо огромное за помощь
21.01.2019, 03:23
SQ

Не удаляйте карантин (C:\FRST\Quarantine), пока не решите вопрос с расшифровкой, иногда антивирусные вендоры запрашивают карантин.
21.01.2019, 03:33
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]4[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]