Printable View
Доброго времени суток!
У пользователя зашифровало файлы, добавив при этом в конце имени файла следующий текст "[[email protected]][sel4ru].[BB94BFAD-970960EE]".
Пример зашифрованного файла во вложении "Инструкция для входа в почтовый ящик ОО.docx[[email protected]][sel4ru]".
На рабочем столе появился текстовый файл "HOW_TO_DECYPHER_FILES" (во вложении).
Прошу помощи в расшифровке файлов.
Уважаемый(ая) [B]ilyakf[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Тип вымогателя Crylock 2.0.0.0, расшифровки нет.
Систему чистим или планируете переустановку?
+ Шифратор, о котором Вы писали в своем обращении у Вас поработал 2 ноября. А 11 ноября к Вам проникли другие злодеи, сообщение от которых Вы прикрепили.
[QUOTE=Sandor;1515874]Здравствуйте!
Тип вымогателя Crylock 2.0.0.0, расшифровки нет.
Систему чистим или планируете переустановку?[/QUOTE]
Да, надо почистить.
По логам можно понять канал проникновения?
По RDP, скорее всего.
Не Mikrotik у вас там?
Файл
[QUOTE]C:\Program Files\Плагин фиксации действий пользователя\ffmpeg\[B]run.vbs[/B][/QUOTE]
вам известен?
Дополнительно:
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
[QUOTE=Vvvyg;1515891]По RDP, скорее всего.
Не Mikrotik у вас там?[/QUOTE]
Думаю микротик.
[QUOTE=ilyakf;1515901]Думаю микротик.[/QUOTE]
Хм, а адмнит его кто? Есть пара советов.
[QUOTE=Vvvyg;1515906]Хм, а адмнит его кто? Есть пара советов.[/QUOTE]
Есть администратор. Пишите советы, я переговорю с ним.
Для Windows рекомендации:
1 Смените всем пользователям, у кого есть права входа по RDP, пароли, установите сложные.
2. Уберите права администратора у всех пользователей, кому они действительно не необходимы, при грамотной настройке прав всем они не нужны. Не
будет возможности при проникновении с правами обычного пользователя удалить теневые копии.
3. Учёткам Администратор/Administrator/Admin запретить удалённый доступ, для администрирования через терминал пользуйтесь другими, с нетипичным, лучше не словарным (типа User, Natasha, Kirill) именами и сложными паролями.
4. Включите защиту от буртфорса (подбора) паролей. Простейший вариант - через политики, блокировать учётку на N минут после 3-4 неудачных попыток входа.
Для Mikrotik, как и для других маршрутизаторов, самое очевидное и простое - белый список подсетей местных провайдеров в файрволе, откуда можно заходить удалённо.
Или более изощрённо:
[URL="https://asp24.ru/mikrotik/nastroyka-oborudovaniya-ru/port-knocking-ili-kak-postuchatsya-v-mikrotik/"]“Port knocking”, или как “постучаться” в MikroTik[/URL].
[URL="https://mikrotik.me/blog-Port-Knocking---prosto-bezopasno-i-s-centralizovannym-obnovleniem.html"]Port Knocking - просто, безопасно и с централизованным обновлением[/URL].
И логи Farbar Recovery Scan Tool ждём.
Спасибо за советы, проработаем.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Sandor;1515898]Файл
вам известен?
Дополнительно:
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.[/QUOTE]
"C:\Program Files\Плагин фиксации действий пользователя\ffmpeg\run.vbs" - похоже на легальное ПО (числится в списке установленных программ), только не знаю кто и для чего ставил.
Выкладываю результаты сканирования.
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
HKU\S-1-5-21-1134815134-1430510646-1726059819-1000\...\Run: [BB94BFAD-970960EEhta] => C:\Users\User\AppData\Local\Temp\how_to_decrypt.hta <==== ATTENTION
HKU\S-1-5-21-1134815134-1430510646-1726059819-1000\...\MountPoints2: {1a0a19cf-b6c2-11ea-ab3e-94c691f66608} - "F:\SISetup.exe"
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mystartup.lnk [2020-11-11]
ShortcutTarget: mystartup.lnk -> C:\Users\User\AppData\Local\Temp\HOW_TO_DECYPHER_FILES.txt () [File not signed]
S0 10597409; system32\drivers\25627670.sys [X]
2020-11-11 04:43 - 2020-11-11 04:43 - 000000813 _____ C:\Users\User\Desktop\HOW_TO_DECYPHER_FILES.txt
2020-11-02 19:39 - 2020-09-15 18:52 - 000081441 _____ C:\Users\User\Downloads\PFR_075-031-015720_SZV-TD_20200915_0BD8D072-39B7-4D94-A6DC-807859DC2330.XML.pdf[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:39 - 2020-09-01 22:29 - 000001144 ____H C:\Users\User\Desktop\~$ПОЛНИТЕЛЬНОЕ СОГЛАШЕНИЕ Евстафьевой.pdf[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:39 - 2020-06-25 12:01 - 000001204 ___SH C:\Users\User\Documents\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:39 - 2020-06-25 12:01 - 000001084 ___SH C:\Users\User\Downloads\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:39 - 2020-06-25 12:01 - 000001084 ___SH C:\Users\User\Desktop\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:39 - 2020-06-25 12:01 - 000000815 ___SH C:\Users\User\ntuser.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2020-10-05 18:41 - 000036730 ____H C:\Users\User\AppData\Local\IconCache.db[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2020-06-25 14:49 - 000000815 _____ C:\Users\Public\userPath[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2019-03-19 09:49 - 000001080 ___SH C:\Users\Public\Documents\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2019-03-19 09:49 - 000000976 ___SH C:\Users\Public\Downloads\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2019-03-19 09:49 - 000000976 ___SH C:\Users\Public\Desktop\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2019-03-19 09:49 - 000000976 ___SH C:\Users\Public\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 19:22 - 2019-03-19 09:49 - 000000976 ___SH C:\Users\desktop.ini[[email protected]][sel4ru].[BB94BFAD-970960EE]
2020-11-02 17:38 - 2020-11-02 19:21 - 000001206 ___SH C:\ProgramData\ntuser.pol[[email protected]][sel4ru].[BB94BFAD-970960EE]
CMD: net user john /DELETE
C:\Users\John
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{4410DC33-BC7C-496B-AA84-4AEA3EEE75F7}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileCoAuthLib64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{5AB7172C-9C11-405C-8DD5-AF20F3606282}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{9AA2F32D-362A-42D9-9328-24A483E2CCC3}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{A78ED123-AB77-406B-9962-2A5D9D2F7F30}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{BBACC218-34EA-4666-9D7A-C78F2274A524}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{C5FF006E-2AE9-408C-B85B-2DFDD5449D9C}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{CD207EA4-DC2F-55B7-A06A-F6F4D087406A}\InprocServer32 -> C:\Users\User\AppData\Roaming\Rostelecom\IFCPlugin\3.1.0.0\x64\IFCPlugin.dll => No File
CustomCLSID: HKU\S-1-5-21-1134815134-1430510646-1726059819-1000_Classes\CLSID\{F241C880-6982-4CE5-8CF7-7085BA96DA5A}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll => No File
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ContextMenuHandlers1_S-1-5-21-1134815134-1430510646-1726059819-1000: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ContextMenuHandlers4_S-1-5-21-1134815134-1430510646-1726059819-1000: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ContextMenuHandlers5_S-1-5-21-1134815134-1430510646-1726059819-1000: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ContextMenuHandlers1_S-1-5-21-1134815134-1430510646-1726059819-1002: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ContextMenuHandlers4_S-1-5-21-1134815134-1430510646-1726059819-1002: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
ContextMenuHandlers5_S-1-5-21-1134815134-1430510646-1726059819-1002: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => C:\Users\User\AppData\Local\Microsoft\OneDrive\20.169.0823.0008\amd64\FileSyncShell64.dll -> No File
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Защитник Windows - включить.lnk -> C:\Windows\Control_OSServices\Defender\DefenderControl.exe (No File) <==== Cyrillic
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Защитник Windows - выключить.lnk -> C:\Windows\Control_OSServices\Defender\DefenderControl.exe (No File) <==== Cyrillic
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\10597409.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\10597409.sys => ""="Driver"
HKU\S-1-5-21-1134815134-1430510646-1726059819-1000\...\StartupApproved\Run: => "Desktop_Locker_456"
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CMD: wmic path Win32_QuickFixEngineering get HotFixId
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Выполнил действия из предыдущего сообщения, отправляю логи.
Мусор почистили.
Рекомендую включить "защитник" и брандмауэр и применить рекомендации, которые даны ранее.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
Всем спасибо за помощь!
З.Ы. жалко, что файлы не расшифровать.