Зашифроовало [email protected] 1.2.0.0.id-GJMPSVYADFILNQTVYADGJLNRTWZBEGJMORUX-12.12.201510@[email protected]

Открываю я сегодня свой чудо ПК, а у меня большенство файлов пропало((((

вот куча таких файлов на диске: [email][email protected][/email]-CL [email]1.2.0.0.id-GJMPSVYADFILNQTVYADGJLNRTWZBEGJMORUX-12.12.201510@[email protected][/email]


Походу кто то словил шифровальщина, файлы созданы все в одно и тоже самое время 12 декабря 2015 г., 11:15:46

И теперь пропала функция поиска, думал по маске найти все файлы да удалить но не открывает поиск, никакой ошибки не выдает

При проверке на вирусы был обнаружен Trojan.Win32.Scar

Проверку на avz и касперского уже делал.


так же добавляю:
[FONT=Verdana]Зашифрованый файл[/FONT]
[URL]http://rghost.ru/78kvXHFjD[/URL]
[FONT=Verdana]Отчет AdwCleaner (by Xplode)[/FONT]
[URL="http://rghost.ru/private/6bNcNk9DN/7580b94361a1e37c3ab2e894be15c0a2"]http://rghost.ru/private/6bNcNk9DN/7580b94...ab2e894be15c0a2[/URL]


[FONT=Verdana]Addition.txt [/FONT]
[URL="http://rghost.ru/private/8WPH5DPHh/8c1ecbb8084a83e022b32ea0fac335d4"]http://rghost.ru/private/8WPH5DPHh/8c1ecbb...2b32ea0fac335d4[/URL]

[FONT=Verdana]FRST.txt[/FONT]
[URL="http://rghost.ru/private/6mdyMvqsP/be296da984a76e867c70910685d34145"]http://rghost.ru/private/6mdyMvqsP/be296da...c70910685d34145[/URL][FONT=Verdana] [/FONT]

Уважаемый(ая) [B]kot488[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

И с avz отчет

Логи нужны с компьютера, ставшего источником шифрования

[QUOTE=thyrex;1341876]Логи нужны с компьютера, ставшего источником шифрования[/QUOTE]

Так это они и есть

Так что вариантов нет?

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.

В первом сообщении были прикреплены эти отчеты

Лазить по обменникам я не буду

сделал

Будет время посмотрите пожалуйста возможно ли расшифровать файлы, спасибо за отзывчивость)

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
AlternateDataStreams: C:\Documents and Settings\alla:id
AlternateDataStreams: C:\Documents and Settings\byx:id
AlternateDataStreams: C:\Documents and Settings\direktor:id
AlternateDataStreams: C:\Documents and Settings\olya:id
AlternateDataStreams: C:\Documents and Settings\Администратор:id
2015-12-12 10:59 - 2015-12-12 11:26 - 0000081 _____ () C:\Program Files\TUNWPDWWCZ.XKT
2015-11-25 17:26 - 2015-11-25 17:26 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DF5CA.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DF53B.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00016384 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DF596.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF5D4.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF5A0.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF545.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000000 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF6891.tmp
2015-11-25 17:26 - 2015-11-25 17:26 - 00000000 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DF630B.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFD7.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00032768 _____ C:\Documents and Settings\direktor\Local Settings\Temp\~DFFEDB.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFE2.tmp
2015-12-14 11:21 - 2015-12-14 11:21 - 00000512 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFFF11.tmp
2015-12-14 11:20 - 2015-12-14 11:20 - 00016384 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFF275.tmp
2015-12-14 11:20 - 2015-12-14 11:20 - 00016384 ____T C:\Documents and Settings\direktor\Local Settings\Temp\~DFEA65.tmp
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!

Перезагрузите сервер вручную

Сделал
Смотрю по логих то не нашло то что нужно? я все файлы которые зашифровало удалил, может их востановить?

С расшифровкой не поможем

Спасибо за помощь

Можно Вопрос? что должно было бть в тех файлах темпа? И почему только от одно учетки?

Нашел вот эти файлы через р-студия, согласно файлу Fixlog.txt,

C:\Program Files\TUNWPDWWCZ.XKT
C:\Documents and Settings\direktor\Local Settings\Temp\~DF5CA.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF53B.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF596.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF5D4.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF5A0.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF545.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF6891.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DF630B.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFD7.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFFE2.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFEDB.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFFF11.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFF275.tmp
C:\Documents and Settings\direktor\Local Settings\Temp\~DFEA65.tmp

может попробовать вернуть назад и опять проделать это?
2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Это простой мусор

[QUOTE=thyrex;1342899]Это простой мусор[/QUOTE]

Извини за надоедание, а чего мы тогда его искали?

Наша приоритетная задача - зачистка следов вирусов, а расшифровка по мере возможности

Нашел у себя такой вирус heur backdoor.win32.generic, читаю в инете вроде как шифровальщик и создан был сегодня ночь, хотя никто на машине не работал, все стандартные порты закрыты, на рдп был придуман порт с головы, админские права забраны у всех кроме одной учетки. По авторизации только учетка службы акронис, не ужели в ней вирусня сидит(

KIS уже час крутиться никак вылечить не может

[IMG]http://savepic.su/6823882.jpg[/IMG]


А вот это уже в логах kis показало

[IMG]http://savepic.su/6857676.jpg[/IMG]

backdoor.win32.generic - открывает удаленный доступ к вашему компьютеру злоумышленнику.

[QUOTE]хотя никто на машине не работал, все стандартные порты закрыты, на рдп был придуман порт с головы, админские права забраны у всех кроме одной учетки[/QUOTE]
А Вы пароли от всех учеток меняли после этого случая?

[QUOTE=mike 1;1344231]

А Вы пароли от всех учеток меняли после этого случая?[/QUOTE]

Я вообще новые учетки поделал, старые поставил в отключено

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Это ппц какой то, старые учетки же отключены, у всех новые. Сегодня смотрю а у меня две новые учетки созданы(

Скидываю отчеты только от двух пользователей, остальные не влазят, запускал программу от каждого отдельно. Так же добавил отчет касперского

Я буду смотреть только какой-то один лог.

Ну смотри администратора(
Вот что еще откопал, аудит отказов:
Пользователю "hbv7" не удалось войти в систему. [КЛИЕНТ: 45.35.20.249]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]

[code]
;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v385c
delall %SystemDrive%\DOCUME~1\9335~1\LOCALS~1\TEMP\ZVITAPI.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\DIREKTOR\LOCAL SETTINGS\TEMP\ZVITAPI.DLL
delall %SystemRoot%\IME\CV.EXE
[/code]

Потом новые логи скинуть?

В остальном порядок в логах.

Выполнил скрипт, посмотрим что то ночью кашпер найдет или нет

Короче кашпер по прежнему находит по ночам одну и туже угрозу( удаляет но при новом сканировании опять есть.

И опять новый пользователь есть, ну не могу блин уже нечего понять

Значит на сервере не все обновления установлены, либо пароли к учеткам не менялись раз удаленно заходят.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]0[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]