Printable View
Добрый день!
CryLock 2.0.0.0 шифронул сервер на прошлой неделе
Сейчас занимаемся новым сервером и параллельно собираем логи, чтобы обезопасить себя в будущем.
Предположительно, бахнули сервер через удаленку из того компа, где я собрал логи.
Поэтому очень интересно, что тут произошло и что еще осталось на компе, что, возможно, передает информацию дальше.
Спасибо:>
Уважаемый(ая) [B]winstonqq[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\CorelDRAW Technical Suite 2018 (64-bit)\Corel Font Manager 2018 (64-Bit).lnk" -> ["C:\Program Files\Corel\CorelDRAW Technical Suite 2018\Programs64\FontManager.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\CorelDRAW Technical Suite 2018 (64-bit)\Corel CONNECT 2018 (64-Bit).lnk" -> ["C:\Program Files\Corel\CorelDRAW Technical Suite 2018\Connect64\Connect.exe"]
>>> "C:\Users\Bezpeka-Work\Documents\Corel\CorelDRAW 2018 Samples\target.lnk" -> ["C:\Program Files\Corel\CorelDRAW Technical Suite 2018\Draw\Samples"]
>>> "C:\Users\Bezpeka-Work\Documents\Corel\Corel DESIGNER 2018 Samples\target.lnk" -> ["C:\Program Files\Corel\CorelDRAW Technical Suite 2018\Designer\Samples"]
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OVGorskiy.ru.URL" -> hxxp://ovgorskiy.ru/[/CODE]Отчёт о работе прикрепите.
Запустите HijackThis, расположенный в папке Autologger (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B])и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Start Page] = http://securedsearch.lavasoft.com/?pr=vmn&id=webcompa&ent=hp_WCYID10454__191224
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{993F5746-4C15-42BC-99C1-064A1764271B}: [SuggestionsURL,TopResultURL] = https://defaultsearch.co?q={searchTerms} - DefaultSearchYahoo
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{993F5746-4C15-42BC-99C1-064A1764271B}: [URL] = https://securesearch.org?q={searchTerms} - DefaultSearchYahoo
O4 - HKCU\..\Run: [Opera Browser Assistant] = C:\Users\Bezpeka-Work\AppData\Local\Programs\Opera\assistant\browser_assistant.exe (file missing)[/code]
Это хозяйство ваше?[CODE]O4 - MSConfig\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Han.lnk [backup] => C:\iaq\Han.exe (2019/12/11)
O4 - MSConfig\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Visio.lnk [backup] => C:\iaq\ersanana-ong.exe -B -r 3 --donate-level=1 -o stratum+tcp://pool-pay.com:14469 -u 48tKKdl9ClKL2LH6Kr2t6eTk1ULJekk2kEofr2TrivxRwridfgljkjkhp3FGr7OKlLudjqoK1llWEjksss345K22Na3TTLJGFRTkKkuiitkjub.id13 -p x -t 1 (2019/12/11)
O4 - MSConfig\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Visio_x64.lnk [backup] => C:\iaq\ec.exe -r 3 --url=stratum+tcp://hodl.suprnova.cc:4693 -u kkyuyerrtew.02_id13 -p x -t 1 (2019/12/11)[/CODE]Если нет - тоже пофиксите и удалите C:\iaq со всем содержимым.
Деинсталлируйте Web Companion.
Java 8 обязательно обновите до [URL="http://www.java.com/ru/download/"]текущего билда[/URL].
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Добрый день, Вадим, спасибо за помощь!
Сделал все, как сказали, отчет прикрепляю, а логи FRST64 после скана пустые.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
вырубил антивирус,заново запустил frst
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Task: {1847ACB4-2606-4BE0-8F62-1FDE83C4FB84} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {F64C4B8A-0835-4F41-AE92-143CE495F4B9} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
2020-08-20 14:52 - 2020-08-20 14:52 - 000005923 _____ C:\Users\Public\how_to_decrypt.hta
2020-08-20 14:52 - 2020-08-20 14:52 - 000005923 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2020-08-20 14:52 - 2020-08-20 14:52 - 000005923 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2020-08-20 14:52 - 2020-08-20 14:52 - 000005923 _____ C:\ProgramData\Documents\how_to_decrypt.hta
IE trusted site: HKU\.DEFAULT\...\webcompanion.com -> hxxp://webcompanion.com
IE trusted site: HKU\S-1-5-21-4284548885-2758606958-895277947-1000\...\webcompanion.com -> hxxp://webcompanion.com
FirewallRules: [{1F7A6E98-6499-4C0C-8831-EDEE5BF6796D}] => (Block) c:\Program Files\Corel\CorelDRAW Technical Suite 2018\Programs64\CorelDrw.exe => No File
FirewallRules: [{4AEFA09D-4ED1-4708-B7A9-431140F0A12A}] => (Block) c:\Program Files\Corel\CorelDRAW Technical Suite 2018\Programs64\CorelPP.exe => No File
FirewallRules: [TCP Query User{5FCFCAD4-41F2-47B8-A614-8DE66536F980}C:\program files\java\jre1.8.0_231\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_231\bin\javaw.exe => No File
FirewallRules: [UDP Query User{6F2142AA-E003-498B-872C-D9FB42D1DF67}C:\program files\java\jre1.8.0_231\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_231\bin\javaw.exe => No File
FirewallRules: [{C04B8299-D37D-49B3-80E9-536517E5F987}] => (Allow) C:\Program Files\Java\jre1.8.0_231\bin\java.exe => No File
FirewallRules: [{95F263E4-693A-4C0A-9C29-654A2FA0334D}] => (Allow) C:\Program Files\Java\jre1.8.0_231\bin\java.exe => No File
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
есть
[QUOTE]------------------------------- [ HotFix ] --------------------------------
HotFix KB3177467 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3177467]Скачать обновления[/url][/b][/color]
HotFix KB3125574 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3125574]Скачать обновления[/url][/b][/color]
HotFix KB4012212 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212]Скачать обновления[/url][/b][/color]
HotFix KB4499175 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499175]Скачать обновления[/url][/b][/color]
HotFix KB4539602 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4539602]Скачать обновления[/url][/b][/color][/QUOTE]Устанавливайте, это только критические хотфиксы, включая KB4012212, который закрывает опаснейшую уязвимость, используемую в т. ч. нашумевшими в 2017 году шифровальщики WannaCry и Petya/NotPetya, а также многими майнерами и троянами.
К тому же[QUOTE][B][color=red][b]Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз[/b][/color][/B][/QUOTE]Давно пора обновить систему полностью, уязвимости делают взлом более простым и менее затратным делом.
[QUOTE]7-Zip 9.38 (x64 edition) v.9.38.00.0 [color=red][b]Данная версия программы больше не поддерживается разработчиком.[/b][/color]. [b]Удалите старую версию, [url=https://www.7-zip.org/download.html]скачайте[/url] и установите новую.[/b][/QUOTE]Архиваторы тоже используются в нехороших целях: [URL="https://www.anti-malware.ru/news/2018-05-10-1447/26202"]Критический баг в 7-Zip приводит к выполнению произвольного кода[/URL].
Спасибо за уделенное время, Вадим!
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.