Все файлы с расширением .AES256 [Trojan-Ransom.MSIL.Lortok.p ]

Printable View

12.10.2014, 20:42
Санек_85

Вложений: 3

Все файлы с расширением .AES256 [Trojan-Ransom.MSIL.Lortok.p ]

Доброго времени суток.
По всей видимости прилетел вирус. Теперь все файлы на ноутбуке имеют расширение .AES256
Антивирусные программы результата не дают. DrWeb тоже ни чего не нашел. Уже не знаю что делать.
Помогите плиз, бук тещи:), там куча рабочей информации...
12.10.2014, 20:43
Info_bot

Уважаемый(ая) [B]Санек_85[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
12.10.2014, 20:59
thyrex

click-n-mark Corp удалите через Установку программ

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\ольга\appdata\roaming\mail.ru newgamest\api.dll','');
QuarantineFile('C:\Users\ольга\AppData\Roaming\Dorrible\Ribble\d.exe','');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\launcher.exe','');
QuarantineFile('C:\Program Files (x86)\click-n-mark Corp\ClickAndMark_wd.exe','');
QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','');
QuarantineFile('C:\Users\ольга\AppData\Roaming\runWIN\update.exe','');
QuarantineFile('C:\Users\ольга\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','');
QuarantineFile('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','');
QuarantineFile('C:\Users\ольга\AppData\Local\storegid\storegidup.exe','');
QuarantineFile('C:\Users\ольга\AppData\Local\storegid\storegid.exe','');
QuarantineFile('C:\Users\ольга\AppData\Local\screentk\screentoolkit.exe','');
QuarantineFile('C:\Users\ольга\AppData\Local\screentk\screentool.exe','');
QuarantineFile('C:\Users\ольга\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\Users\ольга\AppData\Local\ConvertAd\ConvertAd.exe','');
QuarantineFile('C:\Users\8934~1\LOCALS~1\Temp\ccywpf.cmd','');
QuarantineFile('C:\ProgramData\Kinoroom Browser\kbrowser-updater-utility.exe','');
QuarantineFile('C:\Program Files (x86)\baidu\BindEx.exe','');
SetServiceStart('storegidfilter', 4);
DeleteService('storegidfilter');
DeleteService('servervo');
DeleteService('BDMRTP');
DeleteService('BDSGRTP');
QuarantineFile('C:\Windows\storegidfilter.sys','');
TerminateProcessByName('c:\users\ольга\appdata\local\screentk\screentool.exe');
QuarantineFile('c:\users\ольга\appdata\local\screentk\screentool.exe','');
TerminateProcessByName('c:\users\ольга\appdata\local\amigo\application\amigo.exe');
DeleteFile('c:\users\ольга\appdata\local\amigo\application\amigo.exe','32');
DeleteFile('c:\users\ольга\appdata\local\screentk\screentool.exe','32');
DeleteFile('C:\Windows\storegidfilter.sys','32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BaiduAnSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BaiduProtect.exe','32');
DeleteFile('C:\Users\ольга\AppData\Roaming\VOPackage\VOsrv.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
DeleteFile('C:\Program Files (x86)\Google\Chrome\Application\chrome.exe.bat','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\launcher.exe.bat','32');
DeleteFile('C:\Program Files (x86)\baidu\BindEx.exe','32');
DeleteFile('C:\ProgramData\Kinoroom Browser\kbrowser-updater-utility.exe','32');
DeleteFile('C:\Users\8934~1\LOCALS~1\Temp\ccywpf.cmd','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amigo');
DeleteFile('C:\Users\ольга\AppData\Local\Amigo\Application\ok.exe','32');
DeleteFile('C:\Users\ольга\AppData\Local\Amigo\Application\vk.exe','32');
DeleteFile('C:\Users\ольга\AppData\Local\ConvertAd\ConvertAd.exe','32');
DeleteFile('C:\Users\ольга\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
DeleteFile('C:\Users\ольга\AppData\Local\screentk\screentool.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','screentk');
DeleteFile('C:\Users\ольга\AppData\Local\screentk\screentoolkit.exe','32');
DeleteFile('C:\Users\ольга\AppData\Local\storegid\storegid.exe','32');
DeleteFile('C:\Users\ольга\AppData\Local\storegid\storegidup.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','storegidUpdater');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','storegid');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','screentoolkit.exe');
DeleteFile('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT\Encrypt.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Encrypt');
DeleteFile('C:\Users\ольга\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runWIN.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RuningWIN32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LoaderSystemWIN');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NewLoadSystemWIN32');
DeleteFile('C:\Users\ольга\AppData\Roaming\runWIN\update.exe','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Program Files (x86)\click-n-mark Corp\ClickAndMark_wd.exe','32');
DeleteFile('C:\Windows\Tasks\ClickAndMark_wd.job','64');
DeleteFile('C:\Windows\Tasks\ClickAndMark Update.job','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\ClickAndMark Update','64');
DeleteFile('C:\Windows\system32\Tasks\ClickAndMark_wd','64');
DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
DeleteFile('C:\Windows\system32\Tasks\Kinoroom Browser','64');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\launcher.exe','32');
DeleteFile('C:\Users\ольга\AppData\Roaming\Dorrible\Ribble\d.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Ribble','64');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
DeleteFile('C:\Users\ольга\appdata\roaming\mail.ru newgamest\api.dll','32');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\runWIN', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\runWIN');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\Mail.RU NewGamesT');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\Dorrible', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\Dorrible');
DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
DeleteFileMask('C:\Program Files (x86)\click-n-mark Corp', '*', true);
DeleteDirectory('C:\Program Files (x86)\click-n-mark Corp');
DeleteFileMask('C:\Program Files (x86)\AnyProtectEx', '*', true);
DeleteDirectory('C:\Program Files (x86)\AnyProtectEx');
DeleteFileMask('C:\Users\ольга\AppData\Local\storegid', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Local\storegid');
DeleteFileMask('C:\Users\ольга\AppData\Local\screentk', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Local\screentk');
DeleteFileMask('C:\Users\ольга\AppData\Local\ConvertAd', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Local\ConvertAd');
DeleteFileMask('C:\Program Files (x86)\baidu', '*', true);
DeleteDirectory('C:\Program Files (x86)\baidu');
DeleteFileMask('c:\users\ольга\appdata\local\amigo', '*', true);
DeleteDirectory('c:\users\ольга\appdata\local\amigo');
DeleteFileMask('C:\Users\ольга\AppData\Roaming\VOPackage', '*', true);
DeleteDirectory('C:\Users\ольга\AppData\Roaming\VOPackage');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('bd0001');
BC_DeleteSvc('bd0004');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('BDSafeBrowser');
BC_DeleteSvc('bd0002');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BDSWShellExt.dll');
BC_DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BDSWShellExt64.dll');
BC_DeleteFile('C:\Program Files (x86)\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe');
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
12.10.2014, 21:18
Санек_85

click-n-mark Corp не находит через установку
12.10.2014, 21:23
thyrex

Выполняйте остальное
12.10.2014, 23:16
Санек_85

Вложений: 3

Карантин загрузил.
Логи во вложении
12.10.2014, 23:25
thyrex

Поместите в карантин МВАМ всё, [B]кроме[/B]
[CODE]Trojan.Agent, C:\Program Files (x86)\Samsung\Samsung ML-2010 Series\Install\data\SSOpen.exe, , [79fd769d6d0fa2946eec5ca22cd8bc44],[/CODE]

Удалите файлы
[QUOTE]C:\Windows\system32\drivers\BDMNetMon.sys
C:\Windows\system32\drivers\BDArKit.sys
C:\Windows\system32\drivers\bd0001.sys
C:\Windows\system32\bd64_x86.dll
C:\Windows\system32\bd64_x64.dll
C:\Windows\system32\drivers\BDSafeBrowser.sys
C:\Windows\system32\drivers\bd0004.sys
[/QUOTE]
и папки
[QUOTE]C:\Users\ольга\AppData\Roaming\Baidu
C:\Program Files (x86)\test
C:\Program Files (x86)\ШоппингГид
C:\Users\ольга\AppData\Roaming\Microsoft DB
C:\Users\ольга\AppData\Roaming\GemWare
C:\Users\ольга\AppData\Roaming\Browsers
C:\Users\ольга\AppData\Roaming\ICL
C:\Users\ольга\AppData\Roaming\ap_logs
C:\Program Files (x86)\screentk2[/QUOTE]
13.10.2014, 12:23
Санек_85

Переместил в карантин.
Удалил все файлы и папки.
Результата нет:(
13.10.2014, 16:29
thyrex

Предпринимаемые действия и не должны были принести результат по дешифровке.

Пробуйте [url]http://support.kaspersky.ru/viruses/disinfection/10556[/url]
13.10.2014, 18:30
Санек_85

Запускал утилиту Kaspersky RakhniDecryptor. Но файл exit.hhr.oshit не найден.
При попытке восстановления по инструкции, программа easy recovery после поиска повисает на построении дерева файлов
Утилита пишет, что невозможно подобрать ключ
13.10.2014, 20:04
thyrex

[quote="Санек_85;1172225"]Но файл exit.hhr.oshit не найден.[/quote]При чем здесь это, если в списке расширений нужно выбрать подходящее Вам
13.10.2014, 20:49
Санек_85

Смотрел по инструкции к утилите :O:
---
"ВАЖНО: Trojan-Ransom.Win32.Rakhni создает файл exit.hhr.oshit, в котором в зашифрованном виде содержится пароль от файлов пользователя. Если на зараженном компьютере сохранился этот файл, то расшифровка файлов при помощи утилиты RakhniDecryptor будет значительно быстрее. Если же файл exit.hhr.oshit был удален, то его возможно восстановить при помощи программ восстановления удаленных файлов, затем поместить его в %APPDATA% и заново запустить проверку утилитой. Файл exit.hhr.oshit можно найти по следующему пути:

Windows XP: C:\Documents and Settings\<имя_пользователя>\Application Data
Windows 7/8: C:\Users\<имя_пользователя>\AppData\Roaming
---
Но все равно в списке расширений ставлю нужное, пишет что невозможно подобрать ключ
13.10.2014, 21:30
thyrex

Больше помочь нечем
13.10.2014, 22:01
Санек_85

Понятно. Спасибо.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Остается только форматировать жесткий диск и ставить чистую систему?
13.10.2014, 22:28
regist

[quote="Санек_85;1172360"]Остается только форматировать жесткий диск и ставить чистую систему?[/quote]
файлы это всё равно не вернёт. А вирус вам уже удалили.
Лучше прочитайте эту статью [url]http://virusinfo.info/showthread.php?t=164586[/url] возможно поможет получить нужный ключ для расшировки в ходе обыска у авторов трояна.
15.10.2014, 16:17
regist

[b]Санек_85[/b], напишите ваш id и hashkey
17.10.2014, 06:12
Санек_85

[QUOTE=regist;1173294][b]Санек_85[/b], напишите ваш id и hashkey[/QUOTE]

???
17.10.2014, 11:34
thyrex

В любом случае опоздали.

Ждем обновления утилиты от ЛК
17.10.2014, 22:29
Санек_85

Уже снесли систему с форматом жесткого диска :( Бук рабочий, времени попытаться что-либо еще сделать не дали...
Печально, конечно, что файлы утрачены... Но что уж тут поделать...
Благодарю за помощь и за потраченное время!
17.10.2014, 22:32
thyrex

Это Вы поторопились. Утилита обновлена
18.10.2014, 00:06
regist

эти рекомендации всё равно выполните, уже на новой системе

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
18.10.2014, 00:16
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\ольга\appdata\roaming\mail.ru newgamest\api.dll - [B]Trojan-Ransom.MSIL.Lortok.p[/B] ( BitDefender: Trojan.Generic.11932863, AVAST4: Win32:Malware-gen )[/LIST][/LIST]