Printable View
Уважаемые СПЕЦИАЛИСТЫ!
Сотрудница открыла письмо счастья.
Теперь бухгалтерия под угрозой.
Найден зараженный СБ, письмо тоже имеется.
Нужна помощь в лечении (хотя вирус работал примерно полтора часа и скорее всего самоуничтожился оставив резидента напоминалку о 48 часа и код дешифровки удалится из базы) и расшифровке.
Если надо могу перейти помоги + (правда с платежной системой не разобрался)
Уважаемый(ая) [B]miakl86[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\users\Главный бухгалтер\appdata\roaming\microsoft\windows\start menu\programs\startup\Архивная документация о привлечении в качестве свидетеля по гражданскому делу №273669.exe');
QuarantineFile('c:\users\Главный бухгалтер\appdata\roaming\microsoft\windows\start menu\programs\startup\Архивная документация о привлечении в качестве свидетеля по гражданскому делу №273669.exe','');
DeleteFile('c:\users\Главный бухгалтер\appdata\roaming\microsoft\windows\start menu\programs\startup\Архивная документация о привлечении в качестве свидетеля по гражданскому делу №273669.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Выполнил указания
Вы скрипт выполняли вообще? AVZ запускали от имени Администратора по правой кнопке мыши? Если нет, срочно переделывайте, если хотите спасти хоть часть информации
Да скрипт делал как написано сейчас до работы долечу сделаю повторно
уточнение при выполнении скрипта комп перезагрузился, и опять выплыло окно с условиями и фон РС сделался с условиями.
Логи делать по инструкции?
Да, по инструкции
Сделал повторно
Теперь порядок
С расшифровкой не поможем
[url]http://virusinfo.info/announcement.php?f=46&a=52[/url]
А по подписке могут помочь?
Нет. Бессильны даже вирлабы
Спасибо что обнадежили
при включении запускается картинка с требованиями (прога для просмотра картинок) но фон рабочего стола остается без требований.
Пофиксите в HiJack
[code]O4 - Startup: foxmail.bmp[/code]
Спасибо помогло!!!!
Извиняюсь это был головной распространитель, а не подскажите как проверить сеть (сетевые папки пользователей) где успел поработать шифровщик?
Этот шифровальщик сам работает по сети, никуда не пересылая тело
Еще раз извиняюсь а скрипт создать в AVZ возможно, чтоб найти файлы подвергшиеся кодировки (по расширению) и переместить или скопировать в одну папку?
PS. Подскажите пожалуйста как из письма извлечь архив (не запуская его) и поставить пароль хочу письмо счастья удалить (чтоб ненароком опять не запустили) а тело нужно (вдруг найдут решение расшифровки) для анализа экспертов.
[b]thyrex[/b], или кто ни будь поможет с просветлением по вопросу поста 16
Заморачиваться скриптом AVZ вряд ли кто-то станет
А как сохранить письмо безопасно? или где почитать как это сделать. Почитал твои темы на форумах каспера.
[QUOTE=miakl86;1219594]А по подписке могут помочь?[/QUOTE]
В DrWeb вроде научились такие файлы расшифровывать.
[QUOTE=mike 1;1220545]В DrWeb вроде научились такие файлы расшифровывать.[/QUOTE]
Это надо лицензию покупать так бессмысленно обращаться
Угу. Злодеи попросят на порядок больше чем вебовцы. Выбор за вами.
А что я им пошлю, какие логи после лечения здесь. Комп пока изолирован но это продлится не вечно. что посоветуете пока процедуры лицензию и регистрацию
Покупаете лицензию и обращайтесь в их техподдержку. В запросе нужно будет файлы зашифрованные прикрепить.
попробую
Забыл отписаться.
Вспомнил что у знакомого есть лицензия доктора веб. Решил попробовать расшифровать файлы у доктора веб и 30 января направил файлы для анализа. Процедуру упущу и на мою удачу 11 февраля прислали дешифратор. В итоге мелкими перебежками на компах которые сидят в локалке расшифровано около 956 000 файлов с разными расширениями и даже скрытных. За содержимое расшифрованных всех файлов не ручаюсь (а но мне надо) но пользователи сказали что все отлично. Расшифровка много времени не заняла, а вот удаление зашифрованных вымотала. Для успешного подбора дешифратора нужно зашифрованный и оригинал в формате .doc и есть шансы на расшифровку. Хочу поблагодарить хелперов форума.
Удачи
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\главный бухгалтер\appdata\roaming\microsoft\windows\start menu\programs\startup\архивная документация о привлечении в качестве свидетеля по гражданскому делу №273669.exe - [B]Trojan-Ransom.Win32.Aura.bt[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\главный бухгалтер\downloads\aa_v3.exe - [B]not-a-virus:RemoteAdmin.Win32.Ammyy.hq[/B] ( DrWEB: Program.RemoteAdmin.745 )[/LIST][/LIST]