шифровальщик [email protected]

[igor.pyatnov]

Добрый вечер,коллеги ! Очень нужна ваша помощь.

Сегодня утром поймали шифровальщик на Терминальном сервере ([EMAIL="[email protected]). Восстановил сервер из бекапа на вчерашний день,все файлы вроде целы. Теперь не могу понять что это именно за шифровальщик и как он попал.(у всех зашифрованных файлов разные владельцы ?)

После восстановления из бекапа проверил Cureit, нашёл JS.Downloader.1786 - файл upload.js ( в temp папке одного юзера)

Можно по логам сказать остался ли троян ? откуда он попал и от какого пользователя ?

Спасибо за Ваш труд !

[Info_bot]

Уважаемый(ая) igor.pyatnov, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

После восстановления из бекапа проверил Cureit, нашёл JS.Downloader.1786 - файл upload.js ( в temp папке одного юзера)

Можно по логам сказать остался ли троян ?
откуда он попал и от какого пользователя ?

Спасибо за Ваш труд !

Обычно приходит почтой, проверьте почту пользователя в папке которого нашли шифровальщик.

Также заархивируйте upload.js в zip и загрузите по ссылке "Прислать запрошенный карантин" вверху темы если он у Вас остался еще, только не в коем случае не запускаете его.

[igor.pyatnov]

Карантин загрузил.

Отчёты тоже.

Что интересно - дата изменения этого файла upload.js - 15.07.2016.

Или это ни о чём не говорит ?

[SQ]

update.js - JS.DownLoader.1786 (DrWeb)

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  File: C:\ProgramData\Microsoft\drm\smss.exe
  Zip: C:\ProgramData\Microsoft\drm\smss.exe
  CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\Downloads\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\Documents\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\Desktop\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2016-11-29 04:12 - 2016-11-29 04:12 - 00000147 _____ C:\Users\диспетчер\AppData\Roaming\README.txt
  2016-11-29 04:12 - 2016-11-29 04:12 - 00000147 _____ C:\Users\диспетчер\AppData\README.txt
  2016-11-29 04:10 - 2016-11-29 04:10 - 00000147 _____ C:\Users\диспетчер\AppData\LocalLow\README.txt
  2016-11-29 03:52 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\AppData\Local\README.txt
  2016-11-29 03:52 - 2016-11-29 03:52 - 00000147 _____ C:\Users\диспетчер\AppData\Local\Apps\README.txt
  2016-11-29 03:51 - 2016-11-29 03:51 - 00000147 _____ C:\Users\Public\README.txt
  2016-11-29 03:51 - 2016-11-29 03:51 - 00000147 _____ C:\Users\Public\Downloads\README.txt
  2016-11-29 02:58 - 2016-11-29 03:52 - 00000147 _____ C:\Users\Все пользователи\README.txt
  2016-11-29 02:58 - 2016-11-29 03:52 - 00000147 _____ C:\Users\Public\Documents\README.txt
  2016-11-29 02:58 - 2016-11-29 03:52 - 00000147 _____ C:\ProgramData\README.txt
  Folder: C:\ProgramData\Docprint_settings
  2016-11-29 02:58 - 2016-11-29 03:52 - 0000147 _____ () C:\ProgramData\README.txt
  C:\Users\bitadmin.BACKUP-0\AppData\Local\Temp\ose00000.exe
  C:\Users\bitadmin.BITS\AppData\Local\Temp\AcDeltree.exe
  C:\Users\bitadmin.BITS\AppData\Local\Temp\FNP_ACT_InstallerCA.dll
  C:\Users\i.pyatnov\AppData\Local\Temp\BluestacksUninstaller.exe
  C:\Users\i.pyatnov\AppData\Local\Temp\HD-LibraryHandler.dll
  C:\Users\i.pyatnov\AppData\Local\Temp\HD-Logger-Native.dll
  C:\Users\i.pyatnov\AppData\Local\Temp\PROCEXP64.exe
  C:\Users\Жемчугова\AppData\Local\Temp\downloader.exe
  C:\Users\Ивашов\AppData\Local\Temp\downloader.exe
  C:\Users\Цветков\AppData\Local\Temp\AcDeltree.exe
  C:\Users\Цветков\AppData\Local\Temp\downloader.exe
  C:\Users\Цветков\AppData\Local\Temp\jna2692654968414537466.dll
  C:\Users\Цветков\AppData\Local\Temp\jna6301543396980897070.dll
  C:\Users\Цветков\AppData\Local\Temp\Setup-punto.exe
  C:\Users\Цветков\AppData\Local\Temp\yupdate-exec-punto.exe
  Task: {0CBDE762-F0BC-4A72-9CC3-C0BF9889E75E} - \GoogleUpdateTaskMashine -> No File <==== ATTENTION
  Task: {CA326798-3E1C-4DAD-8DFB-E41F9D850AE7} - \Adobe Reader -> No File <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:72CCCD14 [234]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:72CCCD14 [234]

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

Файл Upload.zip (или в некоторых случаях <дата>_<время>.zip) с рабочего стола загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

[igor.pyatnov]

Вечером только смогу после работы запустить.

Upload.zip с рабочего стола - это тот самый upload.js,которые я вам отправил.

Так что можно сказать ? Где сам шифровальщик ?

[SQ]

Вечером только смогу после работы запустить.

Upload.zip с рабочего стола - это тот самый upload.js,которые я вам отправил.

Так что можно сказать ? Где сам шифровальщик ?

Получается после выполнения фикса, должен образоваться новый файл с карантином.

Отправил запрос на проверку, смогу сказать точно, когда получу ответ от антивирусного вендора.
Так по первым признакам похож но могу ошибаться. Даже сайт на который идет обращение, помечен как вредоносный.

Также пробуйте проверить следующий файл (например на virustotal.com), похоже на шифровальщика:

C:\ProgramData\Microsoft\drm\smss.exe

[igor.pyatnov]

Имя файла: smss.exe
Показатель выявления: 6 / 55

ESET-NOD32 Win32/ServiceEx.A potentially unsafe 20161201
K7AntiVirus Unwanted-Program ( 004efe661 ) 20161201
K7GW Unwanted-Program ( 004efe661 ) 20161201
McAfee Artemis!E49786F0BDD8 20161201
McAfee-GW-Edition Artemis 20161201
Rising PUA.ServiceEx!8.4888-uxw1Nqrf8BP (cloud) 20161201

- - - - -Добавлено - - - - -

https://www.microsoft.com/en-us/secu...r:JS/Swabfex.A

Здесь Microsoft описывает его как скачиватель шифровальщика,но вопрос в том где сам шифровальщик,которые он скачивает ?

[SQ]

В логах не нашел, возможно антивирусное ПО удалило. В связи с новыми данными поправил скрипт фикса, предыдущий уже не выполняйте.

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CreateRestorePoint:
  File: C:\ProgramData\Microsoft\drm\smss.exe
  Folder: C:\ProgramData\Microsoft\drm
  Zip: C:\ProgramData\Microsoft\drm\smss.exe
  S2 WindowsDefender; C:\ProgramData\Microsoft\drm\smss.exe [57344 2015-06-14] (ServiceEx) [File not signed]
  C:\ProgramData\Microsoft\drm\smss.exe
  2016-11-29 16:34 - 2016-07-14 15:03 - 00000157 _____ C:\Users\i.pyatnov\Desktop\update.js
  CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\Downloads\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\Documents\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\Desktop\README.txt
  2016-11-29 04:14 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2016-11-29 04:12 - 2016-11-29 04:12 - 00000147 _____ C:\Users\диспетчер\AppData\Roaming\README.txt
  2016-11-29 04:12 - 2016-11-29 04:12 - 00000147 _____ C:\Users\диспетчер\AppData\README.txt
  2016-11-29 04:10 - 2016-11-29 04:10 - 00000147 _____ C:\Users\диспетчер\AppData\LocalLow\README.txt
  2016-11-29 03:52 - 2016-11-29 04:14 - 00000147 _____ C:\Users\диспетчер\AppData\Local\README.txt
  2016-11-29 03:52 - 2016-11-29 03:52 - 00000147 _____ C:\Users\диспетчер\AppData\Local\Apps\README.txt
  2016-11-29 03:51 - 2016-11-29 03:51 - 00000147 _____ C:\Users\Public\README.txt
  2016-11-29 03:51 - 2016-11-29 03:51 - 00000147 _____ C:\Users\Public\Downloads\README.txt
  2016-11-29 02:58 - 2016-11-29 03:52 - 00000147 _____ C:\Users\Все пользователи\README.txt
  2016-11-29 02:58 - 2016-11-29 03:52 - 00000147 _____ C:\Users\Public\Documents\README.txt
  2016-11-29 02:58 - 2016-11-29 03:52 - 00000147 _____ C:\ProgramData\README.txt
  Folder: C:\ProgramData\Docprint_settings
  2016-11-29 02:58 - 2016-11-29 03:52 - 0000147 _____ () C:\ProgramData\README.txt
  C:\Users\bitadmin.BACKUP-0\AppData\Local\Temp\ose00000.exe
  C:\Users\bitadmin.BITS\AppData\Local\Temp\AcDeltree.exe
  C:\Users\bitadmin.BITS\AppData\Local\Temp\FNP_ACT_InstallerCA.dll
  C:\Users\i.pyatnov\AppData\Local\Temp\BluestacksUninstaller.exe
  C:\Users\i.pyatnov\AppData\Local\Temp\HD-LibraryHandler.dll
  C:\Users\i.pyatnov\AppData\Local\Temp\HD-Logger-Native.dll
  C:\Users\i.pyatnov\AppData\Local\Temp\PROCEXP64.exe
  C:\Users\Жемчугова\AppData\Local\Temp\downloader.exe
  C:\Users\Ивашов\AppData\Local\Temp\downloader.exe
  C:\Users\Цветков\AppData\Local\Temp\AcDeltree.exe
  C:\Users\Цветков\AppData\Local\Temp\downloader.exe
  C:\Users\Цветков\AppData\Local\Temp\jna2692654968414537466.dll
  C:\Users\Цветков\AppData\Local\Temp\jna6301543396980897070.dll
  C:\Users\Цветков\AppData\Local\Temp\Setup-punto.exe
  C:\Users\Цветков\AppData\Local\Temp\yupdate-exec-punto.exe
  Task: {0CBDE762-F0BC-4A72-9CC3-C0BF9889E75E} - \GoogleUpdateTaskMashine -> No File <==== ATTENTION
  Task: {CA326798-3E1C-4DAD-8DFB-E41F9D850AE7} - \Adobe Reader -> No File <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:72CCCD14 [234]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:72CCCD14 [234]

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

[igor.pyatnov]

А каким образом тогда файлы зашифровались ?

- - - - -Добавлено - - - - -

Это были логи с "заражённого" сервера,можно теперь посмотреть логи восстановленного,не осталось ли там чего ?

[SQ]

А каким образом тогда файлы зашифровались ?

Обычно это запуск вредоносного ПО с почты или взлом сервера.

Отладчик процессов Вам знаком (как вариант для сброса пароля администратора)?

IFEO\Utilman.exe: [Debugger] C:\Windows\system32\cmd.exe

А так только ссылки на несуществующие объекты.

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1129_Classes\CLSID\{0B628DE4-07AD-4284-81CA-5B439F67C5E6}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe /Automation => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1129_Classes\CLSID\{149DD748-EA85-45A6-93C5-AC50D0260C98}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1129_Classes\CLSID\{5370C727-1451-4700-A960-77630950AF6D}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe /Automation => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1129_Classes\CLSID\{E2C40589-DE61-11ce-BAE0-0020AF6D7005}\InprocServer32 -> C:\Program Files\Autodesk\AutoCAD 2016\ru-RU\acadficn.dll => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1153_Classes\CLSID\{0B628DE4-07AD-4284-81CA-5B439F67C5E6}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe /Automation => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1153_Classes\CLSID\{149DD748-EA85-45A6-93C5-AC50D0260C98}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1153_Classes\CLSID\{5370C727-1451-4700-A960-77630950AF6D}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe /Automation => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-1153_Classes\CLSID\{E2C40589-DE61-11ce-BAE0-0020AF6D7005}\InprocServer32 -> C:\Program Files\Autodesk\AutoCAD 2016\ru-RU\acadficn.dll => No File
  CustomCLSID: HKU\S-1-5-21-3735870408-1644757575-3297274103-4163_Classes\CLSID\{590C4387-5EBD-4D46-8A84-CD0BA2EF2856}\InprocServer32 -> C:\Users\a.cigankova\AppData\Local\Google\Update\1.3.30.3\psuser_64.dll => No File
  Task: {0CBDE762-F0BC-4A72-9CC3-C0BF9889E75E} - \GoogleUpdateTaskMashine -> No File <==== ATTENTION
  Task: {CA326798-3E1C-4DAD-8DFB-E41F9D850AE7} - \Adobe Reader -> No File <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:72CCCD14 [234]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:72CCCD14 [234]

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[igor.pyatnov]

Отладчик процессов Вам знаком (как вариант для сброса пароля администратора)?

Да знаком.

Жаль конечно,хотелось бы найти тело трояна,и виновника

Ну а так хоть убедился что чисто сейчас всё.

Ещё раз спасибо огромное за ваш труд !

[SQ]

Жаль конечно,хотелось бы найти тело трояна,и виновника

Спросите пользователя что за письмо (например угрожающего типа) он открывал.

Ну а так хоть убедился что чисто сейчас всё.

В предоставленных последних логов ничего плохого не заметил

Также как вариант можете попробовать запретить в локальной групповой политике запуск файлов следующих популярных масок *.js, *.exe, *.tmp для того чтобы минимально обезопаситься от популярных видов шифровальщиков, при этом разрешить запуск только тех программ которым Вы доверяете.

[igor.pyatnov]

Да,щас пользователь признается


Спасибо Вам огромное ещё раз !

[SQ]

Надеюсь наша помощь Вам более не потребуется (в хорошем смысле). Удачи Вам!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены