Заражение шифровальщиком scarab на терминальном сервере ms 2012 r2

[botogen]

Добрый день, в обслуживаемой организации через свежеоткрытый rdp словили шифровальщик. Офисные документы, базы. Прошу помощи с лечением.

[Info_bot]

Уважаемый(ая) botogen, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 QuarantineFile('C:\ProgramData\winhost.exe','');
 DeleteFile('C:\ProgramData\winhost.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "winhost" /F', 0, 15000, true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите сервер вручную.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[botogen]

Все выполнил.

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  HKU\S-1-5-18\...\Run: [xGbbiYUsMso] => notepad.exe "C:\Windows\System32\config\systemprofile\Инструкция по расшифровке файлов.TXT"
  URLSearchHook: [S-1-5-80-1184457765-4068085190-3456807688-2200952327-3769537534] ATTENTION => Default URLSearchHook is missing
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Администратор\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Администратор\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Администратор\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\TEMP.BACKUP-1\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\TEMP.BACKUP-1\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\TEMP.BACKUP-1\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\TEMP.BACKUP-0\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\TEMP.BACKUP-0\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\TEMP.BACKUP-0\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Public\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Public\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\Public\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\MSSQL$MICROSOFT##WID\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r2.BACKUP-0\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r2.BACKUP-0\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r2.BACKUP-0\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-1\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-1\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-1\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-1\Desktop\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-0\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-0\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-0\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\manager-r1.BACKUP-0\Desktop\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\kassir.BACKUP-0\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\kassir.BACKUP-0\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\kassir.BACKUP-0\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\glbuhgalter.BACKUP-0\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\admin.BACKUP-0\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\admin.BACKUP-0\Downloads\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\admin.BACKUP-0\Documents\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\admin.BACKUP-0\Desktop\Инструкция по расшифровке файлов.TXT
  2018-04-07 23:49 - 2018-04-07 23:49 - 000003674 _____ C:\Users\1c_distrib.BACKUP-0\Инструкция по расшифровке файлов.TXT

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

[botogen]

AdwCleaner ничего не обнаружил. Лог приложил. Еще он предлагал запустить "базовую починку" после сканирования, но я от нее отказался.
Действия с FRST не прошли, так как в логи он срет тем что не может распознать кирилицу в путях к файлам, я не знаю как ему правильно еще скормить fixlist.txt.

[SQ]

по каким-то причинам, fixlist не верно распознал файлы, убедедитесь, чтобы правильно были выполнены инструкции.

Посмотрите лог, там видно что не верно понимает кириллицу:

C:\���������� �� ����������� ������.TXT

Уточните пожалуйста расширение у зашифрованных файлов, также приложите требования злоумышлинников.

[botogen]

Я о том и написал вышел, он не может распознать кириллицу в путях к файлам, я не знаю почему. Может быть есть мысли по этому поводу ?
Расширение у зашифрованных файлов .scarab
Все пути указаны вами верно. Через проводник пути открываются. Прикладываю требования.

UPD. Все получилось сделать, помог запуск FRST и fixlist из корня C:\
прикладываю fixlog.txt

[SQ]

К сожалению нашими силами не поможем с расшифровкой. Пробуйте связаться с тех. поддержкой антивирусных компаний если у Вас лицензия от их продуктов.