Printable View
Поймал наконец таки этот вирус на вирт. машину. Ничего антивирусами в этот раз не чистил, могу с уверенностью сказать, что он залазиет через программу автосерфинга Safesurf. Сделал всё по инструкции. Логи прилагаю, надеюсь удастся поймать тело шифратора.
Появился еще файл virusinfo_autoquarantine.zip его передать через верхнюю ссылку?
Уважаемый(ая) [B]Vladimir64[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
В AVZ выполните скрипт:
[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
QuarantineFile('C:\Program Files\Userator\Userator.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\Gw+21IlqLWIhkv8fm5p5ydmO2gLJbG98+VuoP+au2dA=.xtbl','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\QlFNnBiZAoWQ777-STBNgWQ2LbuE3956Bh32Xq3IrAU=.xtbl','');
QuarantineFile('C:\Program Files\Userator\Userator.exe','');
QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe','');
DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\QlFNnBiZAoWQ777-STBNgWQ2LbuE3956Bh32Xq3IrAU=.xtbl','32');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\Gw+21IlqLWIhkv8fm5p5ydmO2gLJbG98+VuoP+au2dA=.xtbl','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
Карантин не могу загрузить, доходит до половины и зависает, может можно на файлообмениик?
Новые логи прилагаю.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Карантин отправил, получилось с другого браузер загрузить.
Посмотрите пожалуйста мою тему.
[QUOTE]Внимание !!! База поcледний раз обновлялась 12.01.2015 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
Обновите базы. Сделайте новые логи.
Эта C:\Program Files\Userator программа знакома?
Выкладываю свежие логи с обновленными базами.
Да, Userator знакома, это инсталляшник программы с сайта userator.ru (В нем точно вреда нет).
На этой вирт. машине по сути для эксперимента только был запущен SafeSurf, дабы поймать тело шифратора, для решения глобальной моей проблемы с расшифровкой файлов. Могу с уверенностью сказать, что он мог только от туда проникнуть, серфом в браузере/скачкой файлов я не занимался на это машине как собственно и ничем другим.
нашел вот еще исходник заставки, поселяется по адресу C:\Documents and Settings\Admin\Application Data
[url]http://s017.radikal.ru/i441/1501/6d/1746a95224b7.png[/url]
В логах ничего не вижу плохого.
Сделайте лог полного сканирования [b][url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url][/b]
Сделал, нашел сканированием много чего подозрительного судя по логу, именно те ветки реестра которые отвечают за ассоциацию файлов.
UP...
Врядли тут что-то найдется, но вдруг.
В AVZ выполните скрипт:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\Program Files\SafeSurf\safesurf.exe','');
QuarantineFile('C:\Program Files\SafeSurf\f\cg.exe','');
QuarantineFile('C:\WINDOWS\Cleanup.exe','');
QuarantineFile('C:\WINDOWS\system32\hidcon.exe','');
QuarantineFile('C:\WINDOWS\system32\CPLDAPU\WebBrowserPassView.exe','');
QuarantineFile('C:\WINDOWS\system32\CPLDAPU\ProduKey.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Сделал, загрузил.
P/S Кстати, сам шифровщик прописывается в реестре по адресу
HKEY_LOCAL_MACHINE\SOFTWARE\System32\Configuration
у меня к примеру такое содержание здесь
[QUOTE]
[HKEY_LOCAL_MACHINE\SOFTWARE\System32\Configuration]
"i"="B3B2B72AACCCAD26B8AE"
"Version"="7.2.0.3"
"mode"="0"
"pk"="-----BEGIN PUBLIC KEY-----
MIIBojANBgkqhkiG9w0BAQEFAAOCAY8AMIIBigKCAYEAqVPF+BtKObHZtKievwmQ
Q4lKl9OT4plMokVoey3pKSgvYLxuUNml5SLX7KNgRhcruc1zDA1aI2q4HVay5bmp
FBMt6ifT+ocHyQFoCZpAJN9+yppJXWmUaV42/TsLOqCHujxGuXAztdYy4wMVt9md
pNi3+wC2QktEJjQwM5VS0nCSHh2zIHQwURbP9yGgTEt74JYuy0gLNg/L6vwUusDu
Nsr5PYilHTbXrn4jCV3TW3yDqrhNKEXerY9bMpyFB0+XEhone6btxaCL884LCBwY
NKGkxseyeqLBpbvz6ltYE7O9L5Z3iNQAqlVwavbkj7fRO88SfvJEwyl3Trx/k2Ej
NKwbg+MkTx9Vuw0kzeJ1r5YCNRxErPJCfW+uRJ8QQFg/56GN0KOhGzcQjtVF0GWu
ACxtVDDEAxP1EIm1Qwq9ogBrncNNabRFGbJ6xRUS7eGSTMyBZKfaVyoeDPbsC82K
O/VVysuaunKQyIBtW9MsvUzZKWGSte1wdretHOKTv/n/AgMBAAE=
-----END PUBLIC KEY-----
"
"state"="5"
"cnt"="72403"
[/QUOTE]
Параметр "i" - как раз и есть код, который должен отправляться злоумышленнику, а он по идее должен прислать полный ключ, по которому собственно и расшифруются данные через энкодер.
Это публичный ключ (Public Key) для расшифровки используется секретный ключ (Private key).
Да это понятно, приват ключ для каждого индивидуальный вообще, но есть ли способы как нибудь программным способом подбирать этот ключ?
WebBrowserPassView устанавливали сами?
[QUOTE=миднайт;1217426]WebBrowserPassView устанавливали сами?[/QUOTE]
нет, не устанавливал.
[QUOTE=Vladimir64;1217357]Да это понятно, приват ключ для каждого индивидуальный вообще, но есть ли способы как нибудь программным способом подбирать этот ключ?[/QUOTE]
На это уйдут годы.
Значит WebBrowserPassView.exe можно убивать.
Тут описание ProduKey.exe
[url]http://virusinfo.info/showthread.php?t=107183[/url]
сами устанавливали? если нет, то имеет смысл удалить. Также удалить SafeSurf через установку\удаление программ.
Спасибо вам за помощь!
Посмотрите, если SafeSurf не захочет удаляться, напишем скрипт по удалению.
Всё нормально удалилось, осталось ждать только когда будет создан дешифратор.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\all users\application data\windows\csrss.exe - [B]Trojan.Win32.Agent.amneb[/B] ( BitDefender: Gen:Trojan.Heur.WmKfX8pFVnec, AVAST4: Win32:Malware-gen )[*] c:\program files\safesurf\f\cg.exe - [B]not-a-virus:RiskTool.Java.BitCoinMiner.a[/B] ( BitDefender: Gen:Variant.Application.BitCoinMiner.5 )[*] c:\windows\system32\cpldapu\produkey.exe - [B]not-a-virus:PSWTool.Win32.ProductKey.dj[/B] ( DrWEB: Tool.Produkey )[*] c:\windows\system32\cpldapu\webbrowserpassview.exe - [B]not-a-virus:PSWTool.Win32.NetPass.cif[/B] ( DrWEB: Tool.PassView.849 )[/LIST][/LIST]