Шифровальщик [email protected] 1.5.1.0.id-1287017864

[mishaman]

Здравствуйте, пришло по почте письмо, попытались открыть. В результате все файлы зашифровались. Появились файлы типа [email protected]-CL 1.5.1.0.id-1287017864-670820387077932955765363.fname-README.txt.doubleoffset и README.txt Провели лечение KVRT и Cureit. В virus.zip, то что создал вирус.

Спасибо за помощь.

[Info_bot]

Уважаемый(ая) mishaman, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

С расшифровкой помочь не сможем.

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\pxrts.sys','');
 QuarantineFile('c:\system.exe','');
 QuarantineFile('d:\mapsoft\mapbackup\mapbackup.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.



- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[mishaman]

Карантин отправил.
Файл сохранён как
180910_093214_quarantine_5b963a1ef2eb0.zip
Размер файла 4078094
MD5 db57a01ee32b0eb2d358eb16c6c90241

[SQ]

Файлы злоумышлинников на этом компьютере были на рабочем столе?

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  File: C:\WINDOWS\system32\srvany.exe
  File: D:\MAPSOFT\MapBackup\MapBackup.exe
  HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {55ea766f-dab6-11e5-84aa-4061865e9fd7} - G:\62\g732b.js
  HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {7b578a4c-cfb6-11e5-9de5-4061865e9fd7} - G:\bbb\gaaf8.js
  HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {939d849c-9efd-11e5-b101-4061865e9fd7} - G:\autorun.exe
  HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {94602540-0710-11e8-b1bd-4061865e9fd7} - G:\autorun.exe
  HKU\S-1-5-21-958784587-2911613368-2408387380-1382\...\MountPoints2: {ae316fc0-86a1-11e5-adfb-4061865e9fd7} - G:\e5e5\gf47.js
  BHO: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C1} -> C:\Program Files\AlterGeo\AlterGeo Magic Scanner\2.8.8.615\AlterGeo.BrowserPlugin.dll => No File
  Toolbar: HKU\S-1-5-21-958784587-2911613368-2408387380-1382 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
  FF Plugin: @java.com/DTPlugin -> C:\Program Files\Java\jre6\bin\dtplugin\npDeployJava1.dll [No File]
  File: C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
  File: C:\Program Files\Fortinet\FortiClient\scheduler.exe
  File: C:\NCPIService\NCPISentinelService.exe
  File: C:\WINDOWS\System32\Drivers\AlKernel.sys
  S4 IntelIde; no ImagePath
  U1 WS2IFSL; no ImagePath
  2018-09-04 13:48 - 2013-09-03 10:39 - 000000000 ____D C:\Documents and Settings\Mikhail.Hameza\Application Data\DRPSu
  File: C:\Windows\System32\Drivers\74620667.sys
  CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{0F130AC8-CDF1-4DAA-AA9B-7B4083F49EA4}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\PtContainerUI.dll => No File
  CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{492042A2-4432-44A1-9A39-85B2D3C0119E}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\PtContainerUI.dll => No File
  CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{876FA801-2B5E-4201-9E6B-2EF2C05A5C6B}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\WidgetbarAPI.dll => No File
  CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{89425F5E-A2BD-44CD-9E4F-F1498522F0E5}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\WidgetbarManagerUI.dll => No File
  CustomCLSID: HKU\S-1-5-21-958784587-2911613368-2408387380-1382_Classes\CLSID\{F6F8856F-374D-4397-BB1C-80AB57E60529}\InprocServer32 -> C:\Poker\Titan Poker\widgetbar\WidgetbarAPI.dll => No File
  ContextMenuHandlers6: [HamsterLiteMenu] -> {2DEDD2C9-928E-4442-9417-769C969973B6} => C:\Program Files\Hamster Soft\Hamster Lite Archiver\HamsterContextMenu.dll -> No File
  File: C:\Windows\AutoKMS\AutoKMS.exe
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:0CE7F3C9 [132]
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:41ADDB8A [136]
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:820563D3 [104]
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:A064CECC [139]
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\Temp:CB0AACC9 [150]
  AlternateDataStreams: C:\Documents and Settings\Mikhail.Hameza\Local Settings\Application Data:wa [146]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[mishaman]

Файлы злоумышлинников на этом компьютере были на рабочем столе?

Нет, заразился другой компьютер и по локальной сети в расшареную папку пришел на данный ПК. Здесь успел зашифровать, только файлы в расшареной папке. Затем сразу был запущен KVRT, который нашел 1 вирус и удалил его, после этого файлы перестали шифроваться.

[SQ]

Главная угроза, это компьютер откуда был изначальный запуск. А так в логах нет ничего плохого.

Как было написано ранее с расшифровкой не сможем помочь. Но если у Вас есть лицензии от антивирусных программ, пробуйте обратиться к вендорам за помощью.

[mishaman]

Спасибо!

[SQ]

В завершение:
1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

[mike 1]

Пришлите несколько зашифрованных файлов в архиве.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены