Показано с 1 по 8 из 8.

Вирус Зашифрованные файлы с расширением .RN (заявка № 115894)

  1. #1
    Junior Member Репутация
    Регистрация
    31.01.2012
    Сообщений
    4
    Вес репутации
    22

    Вирус Зашифрованные файлы с расширением .RN

    Прошу помощи.
    Ситуация следующая.
    Был скачан файл exe c интернета и запущен работником.
    После был перезагружен ПК. Видно из команды systeminfo.
    Все файлы на локальных и сменных дисках, а также на фаловом сервере (т.к. есть доступ к шаре на изменение) были зашифрованы и добавлено расшрение после exe.RN сменились ярлыки документов, фото и архивов. Хотя сами файлы находятся в тех же директориях.
    Высылаю Вам в архивах зашифрованные файлы и в архиве Virus.rar (сам exe файл содержащий вирус и процесс который запускается).
    Весь вечер искал подобную ситуацию - не нашел, т.к. сам банер выскакивает только тогда когда пытаешься запустить зашифрованный документ. Изменение расширение файла ничего не дает.
    Работа у всех встала - реально. Утром придут а ничего не открывается. Ни один сетевой документ.
    Заранее благодарен.

    Вложение 348627Вложение 348628Вложение 348629
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,458
    Вес репутации
    342
    Уважаемый(ая) Langolier, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Junior Member Репутация
    Регистрация
    31.01.2012
    Сообщений
    4
    Вес репутации
    22
    Нашел подобные темы у вас на форуме размещенные сегодня.
    DrWeb обнаружил Trojan.Packed.22286.

    Все аналогично.
    Ваши файлы заморожены и просят заплатить 2000 руб. И отправить письмо на BACKFILEZ@YAHOO.COM
    Тип приложения w5x20tA2w1YP5GE.
    Вложения Вложения

  5. #4
    Junior Member Репутация
    Регистрация
    31.01.2012
    Сообщений
    4
    Вес репутации
    22

    Trojan.Packed.22286

    Друзья, помогите пожалуйста с расшифровкой файлов. Очень прошу.
    Вся работа стоит. Начинаются отчеты. Никто не может работать с файловым сервером.
    Извините, что сразу логи не выслал.
    В долгу не останусь.....

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    383
    - Выполните в АВЗ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
     DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится

    После перезагрузки:
    - Выполните в АВЗ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Повторите логи.

    Утилита для расшифровки
    Запускать нужно с параметрами командной строки -k 44
    Последний раз редактировалось Techno; 02.02.2012 в 11:38. Причина: Добавлено

  7. Это понравилось:


  8. #6
    Junior Member Репутация
    Регистрация
    31.01.2012
    Сообщений
    4
    Вес репутации
    22
    Доброго времени суток!
    Сделал все указанное.
    Логи прикрепил.
    Произвел дешифрование файлов на сервере. Все получилось на отлично. Огромное Вам спасибо.
    Но есть проблемы на ПК на котором сам троян (позавчера еще отключил от сети - от греха подальше.)
    После перезагрузки иконки ярлыков файлов с расширением *.RN оставались такими как и иконка exe файла содержащего троян.
    Видимо после проверки АВЗ и перезагрузки - вдруг стал работать антивирус. При обращении к зашифрованным файлам - даже простой вызов контекстного меню правой клавишей мыши - сразу вызывал процесс explorer - файл находящийся в Temp с названием w5x20tA2w1YP5GE.exe Антивирус поместил его в карантин. В папке C:\WINDOWS\Prefetch есть файл с таким же названием W5X20TA2W1YP5GE.EXE-164A9866.pf. После помещения exe в карантин - иконки поменялись на безликие.
    Теперь при обращении к любому файлу или архиву для запуска или вызова контекстного меню правой клавишей мыши - комп задумывается с минуту или более и после выдает контестное меню. Хотя свойства папок открывается влет.
    Дешифрование файлов на зараженном ПК прошло частично. Что-то открывается, что-то нет. Хотя на сервере пока только один файл не открывается (глубоко не смотрел)
    Вопрос! можно уже просканить ПК на вырусы с помощью cureit drweb??? (до этого боялся убить тело вируса, т.к. все испугали, что без него не возможно дешифровать файлы).
    Потом попробую еще раз дешифровать.
    Логи прикрепил.
    Карантин отправил.
    Вложения Вложения

  9. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    383
    - Выполните в АВЗ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\Eventlog\System \ip100xp', 'EventMessageFile', 'REG_EXPAND_SZ', '%SystemRoot%\System32\netevent.dll');
     ExecuteRepair(5);
     ExecuteRepair(8);
    RebootWindows(true);
    end.
    Компьютер перезагрузится


    Сделайте лог полного сканирования MBAM.
    Последний раз редактировалось Techno; 03.02.2012 в 11:23.

  10. #8
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\mssrv32.exe - Trojan.Win32.VBKrypt.iasn ( DrWEB: Trojan.MulDrop3.32687 )


  • Уважаемый(ая) Langolier, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Зашифрованные файлы с расширением .MAMBA
      От LFDY в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 02.07.2012, 13:45
    2. Вирус (зашифрованные файлы)
      От Numark86 в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 31.05.2012, 15:31
    3. Зашифрованные файлы.
      От sofq3 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 31.05.2012, 06:24
    4. Ответов: 5
      Последнее сообщение: 11.03.2012, 12:38
    5. зашифрованные файлы
      От tenyaviy в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 24.02.2012, 11:16

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00554 seconds with 17 queries