Поймал вирус-шифровальщик, предположительно Trojan-Encoder.567. Помогите!

Printable View

28.02.2020, 10:25
4050876

Поймал вирус-шифровальщик, предположительно Trojan-Encoder.567. Помогите!

Добрый день! У меня не большой офис. 12.02.2020 в 23.00 (примерно) запустился троян на одном из ПК, прошёлся по системным папкам Диска С и, не тронув ничего кроме личных папок пользователя, переметнулся на сервер, примерно в 23.20. Там зашифровал всё и потом перешёл на третий ПК другого пользователя, там он был уже в районе 00.30. Смотрел по дате и времени изменения файлов. После этого похоже самоудалился. На сервере первым делом поменял ОС, а пользовательские ПК я не трогал. Примерно вот такой текст дописался [[email protected]][3436618300-1581551077].vji и все расширения разные. На двух ПК стоит антивирус AVG, а на сервере стоял просроченный Kaspersky. Помогите решить проблему!
28.02.2020, 10:27
Info_bot

Уважаемый(ая) [B]4050876[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
28.02.2020, 11:22
Sandor

Здравствуйте!

Увы, это Crysis последних версий, расшифровки нет.

Если нужна помощь в очистке следов, во избежание путаницы работаем по принципу один компьютер - одна тема.
Здесь продолжаем с тем ПК, с которого CollectionLog-2020.02.28-09.24.zip
Лишние логи в этой теме удалите через Мой кабинет - Вложения.

Открытые ресурсы
[QUOTE]
C:\Users
C:\Users\iyudina\Desktop\Сканы
[/QUOTE]
закройте или дайте доступ по сложному паролю.

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RebootWindows(false);
end.
[/CODE]

Компьютер [U]перезагрузится[/U].

Дополнительно:
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
(Если не помещаются, упакуйте).
Подробнее читайте в [URL='http://www.cyberforum.ru/viruses-faq/thread1362245.html']этом руководстве[/URL].
28.02.2020, 11:58
mike 1

[QUOTE]Увы, это Crysis последних версий[/QUOTE]
Это Cryakl 1.8.0.0

[QUOTE]У меня не большой офис. 12.02.2020 в 23.00 (примерно) запустился троян на одном из ПК, прошёлся по системным папкам Диска С и, не тронув ничего кроме личных папок пользователя, переметнулся на сервер, примерно в 23.20. Там зашифровал всё и потом перешёл на третий ПК другого пользователя[/QUOTE]
Вот так сам? А может началось все с сервера к которому разрешены терминальные подключения?
28.02.2020, 12:10
Sandor

[quote="mike 1;1509194"]Это Cryakl 1.8[/quote]
Согласен, я ошибся.
28.02.2020, 12:23
4050876

Возможно, не исключаю.
28.02.2020, 12:43
mike 1

Ждем логи, которые запросил Sandor.
28.02.2020, 13:37
4050876

Вложений: 2

[QUOTE=mike 1;1509194]Это Cryakl 1.8.0.0

Вот так сам? А может началось все с сервера к которому разрешены терминальные подключения?[/QUOTE]

Пользователей в это время не было. А через терминалку все работают с 1С. Не исключаю, что ломанули какую-либо учётку.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я не пойму, как прикрепить файлы (((

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Собрал ещё логи
28.02.2020, 13:52
Sandor

Администраторы оба ваши?
[QUOTE]
user (S-1-5-21-3607586132-1602760401-174903552-1001 - Administrator - Enabled) => C:\Users\user
Администратор (S-1-5-21-3607586132-1602760401-174903552-500 - Administrator - Disabled)
[/QUOTE]
Лишнего отключите или удалите.
Смените пароль на RDP.

Далее:
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\Downloads\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\Documents\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\Desktop\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\AppData\Roaming\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\AppData\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\администратор\AppData\LocalLow\README.txt
2020-02-13 01:00 - 2020-02-13 01:00 - 000000075 _____ C:\Users\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\администратор\AppData\Local\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\Downloads\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\Documents\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\Desktop\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\AppData\Roaming\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\AppData\README.txt
2020-02-13 00:59 - 2020-02-13 00:59 - 000000075 _____ C:\Users\user\AppData\LocalLow\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\user\AppData\Local\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\Public\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\Public\Downloads\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\Public\Documents\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\Public\Desktop\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\Downloads\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\Documents\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\Desktop\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\AppData\Roaming\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\AppData\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\AppData\LocalLow\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\jeka\AppData\Local\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\iyudina\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\iyudina\Downloads\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\iyudina\Documents\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\iyudina\Desktop\README.txt
2020-02-13 00:58 - 2020-02-13 00:58 - 000000075 _____ C:\Users\iyudina\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-13 00:54 - 2020-02-13 00:54 - 000000075 _____ C:\Users\iyudina\AppData\Roaming\README.txt
2020-02-13 00:54 - 2020-02-13 00:54 - 000000075 _____ C:\Users\iyudina\AppData\README.txt
2020-02-13 00:54 - 2020-02-13 00:54 - 000000075 _____ C:\Users\iyudina\AppData\LocalLow\README.txt
2020-02-12 23:58 - 2020-02-12 23:58 - 000000075 _____ C:\Users\iyudina\AppData\Local\README.txt
2020-02-12 23:58 - 2020-02-12 23:58 - 000000075 _____ C:\Users\Gulnaz\README.txt
2020-02-12 23:58 - 2020-02-12 23:58 - 000000075 _____ C:\Users\Gulnaz\Downloads\README.txt
2020-02-12 23:58 - 2020-02-12 23:58 - 000000075 _____ C:\Users\Gulnaz\Documents\README.txt
2020-02-12 23:58 - 2020-02-12 23:58 - 000000075 _____ C:\Users\Gulnaz\Desktop\README.txt
2020-02-12 23:58 - 2020-02-12 23:58 - 000000075 _____ C:\Users\Gulnaz\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-12 23:54 - 2020-02-12 23:54 - 000000075 _____ C:\Users\Gulnaz\AppData\Roaming\README.txt
2020-02-12 23:54 - 2020-02-12 23:54 - 000000075 _____ C:\Users\Gulnaz\AppData\README.txt
2020-02-12 23:54 - 2020-02-12 23:54 - 000000075 _____ C:\Users\Gulnaz\AppData\LocalLow\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Gulnaz\AppData\Local\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\Downloads\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\Documents\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\Desktop\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\AppData\Roaming\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\AppData\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\AppData\LocalLow\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\firdavis\AppData\Local\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\Downloads\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\Documents\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\Desktop\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\AppData\Roaming\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\AppData\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\AppData\LocalLow\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\defaultuser0\AppData\Local\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\Downloads\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\Documents\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\Desktop\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\AppData\Roaming\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\AppData\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default\AppData\Local\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\Downloads\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\Documents\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\Desktop\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\AppData\Roaming\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\AppData\README.txt
2020-02-12 23:45 - 2020-02-12 23:45 - 000000075 _____ C:\Users\Default User\AppData\Local\README.txt
FirewallRules: [UDP Query User{A569C7C7-F203-44AB-80B4-9B07C252A0A9}C:\users\gulnaz\downloads\winbox.exe] => (Allow) C:\users\gulnaz\downloads\winbox.exe () [File not signed]
FirewallRules: [TCP Query User{7581E8D4-03DE-4CF7-A0B5-7B679E2B321F}C:\users\gulnaz\downloads\winbox.exe] => (Allow) C:\users\gulnaz\downloads\winbox.exe () [File not signed]
FirewallRules: [UDP Query User{C2BCB516-E1FE-49FA-A625-17D798BE2583}C:\users\администратор\appdata\local\temp\in19e8b0f0\3f3403e1_stp.exe] => (Allow) C:\users\администратор\appdata\local\temp\in19e8b0f0\3f3403e1_stp.exe No File
FirewallRules: [TCP Query User{E1390261-5D25-48A9-AB17-2E3C6D7EF997}C:\users\администратор\appdata\local\temp\in19e8b0f0\3f3403e1_stp.exe] => (Allow) C:\users\администратор\appdata\local\temp\in19e8b0f0\3f3403e1_stp.exe No File
FirewallRules: [UDP Query User{9989C81B-9D68-414A-8720-8361410FA1F4}C:\users\gulnaz\downloads\winbox (1).exe] => (Allow) C:\users\gulnaz\downloads\winbox (1).exe () [File not signed]
FirewallRules: [TCP Query User{6F52CF51-A426-4D5E-9FB1-6705AFEBBF19}C:\users\gulnaz\downloads\winbox (1).exe] => (Allow) C:\users\gulnaz\downloads\winbox (1).exe () [File not signed]
FirewallRules: [UDP Query User{03E5C92B-F956-4BD9-959E-919153E96CA4}C:\users\gulnaz\downloads\winbox.exe] => (Allow) C:\users\gulnaz\downloads\winbox.exe () [File not signed]
FirewallRules: [TCP Query User{669F9B00-3D17-4B67-9524-316250FD580E}C:\users\gulnaz\downloads\winbox.exe] => (Allow) C:\users\gulnaz\downloads\winbox.exe () [File not signed]
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Fix[/B] один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.
28.02.2020, 14:28
4050876

Вложений: 1

Fixlog

Учётки исправил. Лог прилагаю.
28.02.2020, 14:36
Sandor

Если надумаете ждать, пока появится расшифровка (хоть и редко, но такое случается), папку C:\FRST не удаляйте.

Проверьте уязвимые места:
[LIST][*]Загрузите [B][URL=https://www.comss.ru/page.php?id=1813]SecurityCheck by glax24 & Severnyj[/URL][/B], сохраните утилиту на [I]Рабочем столе[/I] и извлеките из архива.[*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7/8/8.1/10[/I])[*]Если увидите [U]предупреждение от вашего фаервола или SmartScreen[/U] относительно программы SecurityCheck, не блокируйте ее работу[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B][*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*]Прикрепите этот файл к своему следующему сообщению.[/LIST]
28.02.2020, 14:57
4050876

Вложений: 1

SecurityCheck

анализ SecurityCheck закончил.
28.02.2020, 15:15
mike 1

Пришлите дополнительно с сервера и второй рабочей станции отчеты FRST.txt и Addition.txt
28.02.2020, 15:43
4050876

[QUOTE=mike 1;1509212]Пришлите дополнительно с сервера и второй рабочей станции отчеты FRST.txt и Addition.txt[/QUOTE]

Пока не могу, пользователи использует сервер. Как только появится возможность, сразу же сделаю. Просто данный скрипт в конце делает ребут. По другому ПК могу хоть сейчас.
28.02.2020, 16:20
Sandor

[quote="4050876;1509213"]По другому ПК могу хоть сейчас[/quote]
Только создайте для него отдельную тему.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.2.2756 [color=red][b]Внимание! [url=https://download.teamviewer.com/download/TeamViewer_Setup.exe]Скачать обновления[/url][/b][/color]
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.61 (64-разрядная) v.5.61.0 [color=red][b]Внимание! [url=https://www.rarlab.com/download.htm]Скачать обновления[/url][/b][/color]
7-Zip 9.20 (x64 edition) v.9.20.00.0 [color=red][b]Данная версия программы больше не поддерживается разработчиком.[/b][/color]. [b]Удалите старую версию, [url=https://www.7-zip.org/download.html]скачайте[/url] и установите новую.[/b]
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.0.43916 [color=red][b]Внимание! Клиент сети P2P![/b][/color] Может содержать [color=blue]рекламные модули или использоваться для скачивания нежелательного контента[/color].
---------------------------- [ UnwantedApps ] -----------------------------
Голосовой помощник Алиса v.4.8.0.1836 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
28.02.2020, 19:54
4050876

[QUOTE=Sandor;1509214]Только создайте для него отдельную тему.[/QUOTE]

Под ПК отдельную тему и под сервер отдельную? Тему продублировать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=Sandor;1509214]Только создайте для него отдельную тему.[/QUOTE]

Всё сделал