Шифровальщик XINOF [HEUR:Trojan.Win32.Generic]

Printable View

18.12.2020, 00:54
Андрей Уланов

Вложений: 2

Шифровальщик XINOF [HEUR:Trojan.Win32.Generic]

Здравствуйте. Взломали сервер windows с RDP. Шифрует все без разбора. Зашифровал флешку с 2k10. Добавился с автозагрузку, при старте системы показывает экран обновления windows. Отключил диспетчер задач, отключил клик правой кнопки мыши. Соответсвенно не могу сделать лог по инструкции. С помощью загрузочной флешки вытащил файл самого вируса, поврежденный им файл и лог с AVZ сделал. Прошу помощи вашей и надеюсь что будет результат, погуглив результат не очень впечатляет. Заранее спасибо. Прикрепляю лог AVZ, поврежденный файл. Если надо могу перекинуть возможно исполняемый файл шифровальщика.
18.12.2020, 00:56
Info_bot

Уважаемый(ая) [B]Андрей Уланов[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.12.2020, 11:43
Vvvyg

Лог AVZ с неактивной системы бесполезен, тем более текстовый.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL], поместите на загрузочную флэшку с WinPE, загрузитесь с неё, запустите файл start.exe, пункт "Выберите каталог Windows (выбрана активная система)", укажите папку Windows на проблемном HDD. Далее в главном меню программы выбираете пункт: Файл -> Cохранить полный образ автозапуска. Лог сохраните в удобной для Вас папке. Если образ автоматически был упакован в архив 7z, то дополнительно упаковывать и перепаковывать не надо, если же у Вас получился обычный текстовый файл, добавьте его в архив RARили 7-zip и прикрепите к сообщению, или загрузите в доступное облачное хранилище/файлообменник без капчи и дайте ссылку.
18.12.2020, 12:42
Андрей Уланов

Я не стал лишних действий делать. AVZ вроде как работает с целевым каталогом системы. Но спорить не буду. Все выполнил.[URL="https://yadi.sk/d/AMpvCSvp1HmyYw"]
https://yadi.sk/d/AMpvCSvp1HmyYw[/URL]

[QUOTE=Vvvyg;1516758]Лог AVZ с неактивной системы бесполезен, тем более текстовый.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL], поместите на загрузочную флэшку с WinPE, загрузитесь с неё, запустите файл start.exe, пункт "Выберите каталог Windows (выбрана активная система)", укажите папку Windows на проблемном HDD. Далее в главном меню программы выбираете пункт: Файл -> Cохранить полный образ автозапуска. Лог сохраните в удобной для Вас папке. Если образ автоматически был упакован в архив 7z, то дополнительно упаковывать и перепаковывать не надо, если же у Вас получился обычный текстовый файл, добавьте его в архив RARили 7-zip и прикрепите к сообщению, или загрузите в доступное облачное хранилище/файлообменник без капчи и дайте ссылку.[/QUOTE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Есть еще ключи. Приватный и публичный. Могу прикрепить.
18.12.2020, 14:38
Vvvyg

Ключи не помогут, исполняемый файл шифровальщика для расшифровки тоже не поможет в общем случае, т. е. при грамотно реализованном алгоритме.
Загрузитесь с флэшки, откройте каталог неактивной системы и Скрипты -> выполнить скрипт из буфера обмена, код сохраните заранее, выделите и Ctrl-C:[CODE];uVS v4.11.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\XINOF.EXE
addsgn 9252773A1C6AC1CC0BA4584EA34FDE122B8A57532EC848939453552CC046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 8 XINOF 7

zoo %SystemDrive%\PROGRAMDATA\XINOF.EXE
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\XINOF.EXE
chklst
delvir

regt 35
;---------command-block---------
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\HELP.TXT
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\HELP.TXT
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\HOW TO DECRYPT FILES.HTA
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\HOW TO DECRYPT FILES.HTA
deltmp
czoo
apply[/CODE]
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
18.12.2020, 14:58
Андрей Уланов

Вложений: 1

Карантин отправил. Приклепляю логи.
18.12.2020, 15:50
Vvvyg

Шифровальщик зачищен. Грузите систему.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt, прикрепите его к сообщению.
18.12.2020, 16:31
Андрей Уланов

Вложений: 1

Лог AVZ.
18.12.2020, 23:07
Vvvyg

[QUOTE]Установите новый Internet Explorer
[url]https://windows.microsoft.com/ru-ru/internet-explorer/download-ie[/url]

Накопительное обновление системы безопасности для битов аннулирования ActiveX
[url]https://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=dd7cc36b-bb4e-4548-8d9c-43c6dd6cb78e[/url]

Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]https://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5bc692f6-11a3-423b-90ff-2f599fe6fdd9[/url][/QUOTE]
Желательно установить обновления по ссылкам.

Важно устранить возможность повторного взлома. Для этого необходимо:

1. Сменить всем, у кого есть права входа по RDP, пароли, установите сложные.

2. Убрать права администратора у всех пользователей, кому они действительно не необходимы, при грамотной настройке прав всем они не нужны. Не
будет, в частности, возможности при проникновении с правами обычного пользователя удалить теневые копии.

3. Учёткам Администратор/Administrator/Admin запретить удалённый доступ, для администрирования через терминал пользуйтесь другими, с
нетипичным, лучше не словарным (типа Natasha, Kirill) именем и сложными паролями.

4. Включить защиту от буртфорса (подбора) паролей. Простейший вариант - через политики, блокировать учётку на N минут после 3-4 неудачных попыток входа. Есть более продвинутые варианты с использованием стороннего софта, например: [URL="https://neoserver.ru/help/kak-zashchitit-rdp-podklyuchenie-na-windows-server"]Инструкция по защите RDP подключения[/URL], или возможностей маршрутизатора, для Mikrotik, в частности, есть множество изощрённых рецептов.

5. Задуматься о внедрении NLA и/или использования какого-либо варианта подключения по VPN. Просто терминальный доступ, даже по нестандартному порту крайне не рекомендуется использовать, если не взломают то заблокируют доступ легитимным пользователям.

6. Ну, и бэкап, бэкап, и ещё раз бэкап, хранящийся там куда шифровальщик не доберётся, отключаемые внешние носители и т. п.
18.12.2020, 23:22
Андрей Уланов

Спасибо. Это я все виделю устраню. Сервак дома находится у клиента и у многих из есть доступ. Они иногда думают, что сами все могут сделать. В итоге за пару лет наковыряли много. Когда все ставил, нормально было. Просил даже со стороны людей неглупых посмотреть. Итог пришлось ехать к рыдающему директору. Подскажите, по итогу шанс на восстановление есть? Что нужно сделать? Если небходимо офрмить подписку, не проблема.
[QUOTE=Vvvyg;1516777]Желательно установить обновления по ссылкам.

Важно устранить возможность повторного взлома. Для этого необходимо:

1. Сменить всем, у кого есть права входа по RDP, пароли, установите сложные.

2. Убрать права администратора у всех пользователей, кому они действительно не необходимы, при грамотной настройке прав всем они не нужны. Не
будет, в частности, возможности при проникновении с правами обычного пользователя удалить теневые копии.

3. Учёткам Администратор/Administrator/Admin запретить удалённый доступ, для администрирования через терминал пользуйтесь другими, с
нетипичным, лучше не словарным (типа Natasha, Kirill) именем и сложными паролями.

4. Включить защиту от буртфорса (подбора) паролей. Простейший вариант - через политики, блокировать учётку на N минут после 3-4 неудачных попыток входа. Есть более продвинутые варианты с использованием стороннего софта, например: [URL="https://neoserver.ru/help/kak-zashchitit-rdp-podklyuchenie-na-windows-server"]Инструкция по защите RDP подключения[/URL], или возможностей маршрутизатора, для Mikrotik, в частности, есть множество изощрённых рецептов.

5. Задуматься о внедрении NLA и/или использования какого-либо варианта подключения по VPN. Просто терминальный доступ, даже по нестандартному порту крайне не рекомендуется использовать, если не взломают то заблокируют доступ легитимным пользователям.

6. Ну, и бэкап, бэкап, и ещё раз бэкап, хранящийся там куда шифровальщик не доберётся, отключаемые внешние носители и т. п.[/QUOTE]
19.12.2020, 11:42
Vvvyg

Не нужно полностью цитировать сообщения, это ухудшает читаемость темы, просто пишите в окне "Быстрый ответ".

Грамотно реализованный криптоалгоритм не даёт шансов на расшифровку без ключа, который только у злоумышленников. Бывают случаи, когда злодеев накрывали и ключи и программу расшифровки выкладывали, либо злодеи сами это делали, когда больше не получали доход.
Так что шансов на данный момент никаких.
19.12.2020, 11:52
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]6[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] \xinof.exe._4adec84275a057a4919964ad7b9f5d2f2fba7949 - [B]HEUR:Tr=
ojan.Win32.Generic[/B][/LIST][/LIST]