шифровальщик CRYPTED! (.du1732) [Trojan-Ransom.Win32.Xorist.ln, UDS:DangerousObject.Multi.Generic ]

[tonyk]

Пришли с утра а на пк.
Все файлы без изменения формата файла стали с типом CRYPTED! (.du1732). В каждой папке с закодированными файлами есть текст:
Все файлы на Вашем ПК зашифрованы!
Для расшифровки файлов, Вам необходимо написать на email: [email protected]


В письме необходимо указать id: du1732


Стоимость расшифровки 12500 руб., спешите скоро цена будет выше!
ПРОШУ ПОМОЩИ!

[Info_bot]

Уважаемый(ая) tonyk, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[tonyk]

прикладываю в архиве защифрованый файл

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\9\UE6IIIaA4Lp8058.exe','');
 QuarantineFile('c:\users\Администратор\videos\logs\smss.exe','');
 DeleteFile('C:\Users\836D~1\AppData\Local\Temp\9\UE6IIIaA4Lp8058.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[tonyk]

Приложил согласно интрукциям

- - - - -Добавлено - - - - -

Ой сорри не сразу понял как карантин прислать теперь отправил согласно правилам

[thyrex]

Файл c:\users\Администратор\videos\logs\smss.exe Вам известен?

[tonyk]

thyrex, нет незнаю что за файл

[thyrex]

Проверьте на virustotal.com и пришлите ссылку на результат проверки

[tonyk]

thyrex, https://virustotal.com/ru/file/382cf...is/1494431168/

[thyrex]

Удаляйте файл

Проверьте ЛС

[tonyk]

thyrex, расшифровка идет но в большинстве случаев файлы битыми становятся на выходе прикрепляю в архиве те которые не расшифровываются. пароль на архив virus

[thyrex]

Все эти файлы были ранее зашифрованы другим шифратором, для которого расшифровки нет

[tonyk]

Файлы расшифроваись за, что огромнеёшее спасибо!!!!! А вот служба RDP упала после удаления папки c:\users\Администратор\videos\logs\ с файлом smss.exe судя по всему как то было связано с RDP (и к глубочайшему сожалению бекап папки предварительно не сделал). Теперь либо как то пытаться RDP востановить либо переустановка что печально (. Все равно спасибо огромнеёшее еще раз за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\администратор\videos\logs\smss.exe - UDS:DangerousObject.Multi.Generic
  2. c:\users\836d~1\appdata\local\temp\9\ue6iiiaa4lp80 58.exe - Trojan-Ransom.Win32.Xorist.ln ( BitDefender: Trojan.Ransom.AIG )