Lockdir.exe - &am p;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a m

[Sheykom]

Тема поднималась, решения пролемы не нашел. Перебирал пароли которые были в теме : http://virusinfo.info/showthread.php...l=1#post892546.
Итак:
После праздников файлы на пк были зашифрованы. Также все время работает процесс wasppacer (причем когда только воткнул интернет - заработала программа wasppacer - я не знаю что это, отключил интернет на всякий)
Ситуация выглядит так, как будто кто то подключился - поставил по и спокойно отключился... Зайдя через far manager - увидел скрытые папки - в них висят все данные но с расширением .rn, В свойтвах они как системные, если снять - то становятся видимы в системе.
Можете помочь расшифровать данные? (или преобразовать из расширения .rn) и избавить от процесса wasppacer?
логи avz и hijackThis прилагаются.
Могу приложить зашифрованный фаил (просто он не копируется на флешку, не хочет. Можно его скопировать через фар и то он на пол пути ошибку дает, но что-то все таки скопирует)

[Info_bot]

Уважаемый(ая) Sheykom, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

TeamViewer ваш?

По Lockdir подробности нужны, сообщение вымогателя хотя бы.

[Sheykom]

TeamViewer наш был. сообщения вымогателя могу скинуть - фото приложил

По Lockdir подробности нужны.

простите, что нужно?

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 TerminateProcessByName('c:\recycle.bin\winlogon.exe');
 TerminateProcessByName('c:\recycle.bin\wasppacer.exe');
 TerminateProcessByName('c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe');
 TerminateProcessByName('C:\Program Files\Intel\DMIX\Hlp\MPK.exe');
 QuarantineFile('C:\Program Files\Intel\DMIX\Hlp\MPK.dll','');
 QuarantineFile('c:\recycle.bin\winlogon.exe','');
 QuarantineFile('c:\recycle.bin\wasppacer.exe','');
 QuarantineFile('c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe','');
 QuarantineFile('C:\Program Files\Intel\DMIX\Hlp\MPK.exe','');
 DeleteFile('C:\Program Files\Intel\DMIX\Hlp\MPK.exe','32');
 DeleteFile('c:\users\terminal\appdata\local\temp\5\jp\rfusclient.exe','32');
 DeleteFile('c:\recycle.bin\wasppacer.exe','32');
 DeleteFile('c:\recycle.bin\winlogon.exe','32');
 DeleteFile('C:\Program Files\Intel\DMIX\Hlp\MPK.dll','32');
 DeleteFileMask('c:\recycle.bin','*',true);
 DeleteFileMask('C:\Program Files\Intel\DMIX','*',true);
 DeleteDirectory('c:\recycle.bin');
 DeleteDirectory('C:\Program Files\Intel\DMIX');
BC_ImportDeletedList;
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('TSW',3,3,true);
BC_Activate;
end.

Перезагрузите сервер вручную.

Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Смените пароли администраторских учётных записей, от баз данных.

[Sheykom]

Доброе утро, простите что вчера не сделал, рабочий день закончился, а из дома забыл..

Сделал как написали: 1 скрипт - перезагрузился - 2скрипт. quarantine.zip - отправил.

2 стандартный срипт вложил

[Vvvyg]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
 TerminateProcessByName('c:\users\terminal\appdata\local\temp\5\jp\rutserv.exe');
 DeleteFile('c:\users\terminal\appdata\local\temp\5\jp\rutserv.exe','32');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
BC_Activate;
end.

Перезагрузите сервер вручную.

Ещё раз смените пароли, сервер был под удалённым управлением злоумышленника.

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

Чтобы не повторяться - выполните рекомендации отсюда. Особое внимание -файрволу и антивирусу, при правильных настройках этих компонентов защиты взлом снаружи, так скажем, будет весьма затруднён.

Не успел сохранить картинку по Lockdir, а из вложений она пропала - по адресу e-mail вымогателя можно попробовать поискать варианты дешифровки (хотя вряд ли, сразу предупреждаю).

[Sheykom]

Скрипт выполнил. Пароль снова поменял. Образ сделал.


Прошел по рекомендациям:
Включить в антивирусе противодействие потенциально нежелательным программам - не нашел((

Брандмауэр был выключен, почему-то, когда все произошло. Сейчас включил, доступ разрешн только по 2м портам. Может подкинете статейки, как правильно настраивать, я в этом не особый специалист((

Возможность восстановить информацию мало, я так понимаю?

[Vvvyg]

Пробуйте код

zFM485*$ng4884n5a*%Gnenrenere8ne

но надежды мало. Сохраните один из экземпляров lockdir.exe для дальнейших экспериментов где-нибудь, упаковав в архив, дальше вычистим его.

Выполните скрипт в uVS:

;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.0

; C:\USERS\АДМИНИСТРАТОР\НОВАЯ ПАПКА\WASPPACER.EXE
addsgn 9252778A366AC1CC0BD4734EA34F0E79028AEA4128B348FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 24 Win32/Wasppacer.A [ESET-NOD32]

zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\НОВАЯ ПАПКА\WASPPACER.EXE
; C:\USERS\АДМИНИСТРАТОР\DOWNLOADS\777\2.EXE
addsgn 9252770A036AC1CC0B54474EA34FB6953F8AD39745A648F1604E5998D0178EB312D7936EE220660F6DD3ECD46D3649ADFE1CEC213D700F252D2127ECC35572B4 24 Tool.ClearLogs.1 [DrWeb]

zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\DOWNLOADS\777\2.EXE
; D:\KAV6_UPDATE\LOCKDIR.EXE
addsgn 9252776A0A6AC1CC0BF44E4EA34FEAEC3A8A97F81BDA48F1604E5998D0178EB312D7936EE220660F6DD3ECFC513A49ADFE1CEC213D10FD202D2127ECC35572B4 24 Trojan.FolderLock.3 [DrWeb]

zoo D:\KAV6_UPDATE\LOCKDIR.EXE
; D:\BACKUP_OPACGLOBAL\LOCKDIR.EXE
; D:\BCKUP МОДЕМА ASUS\LOCKDIR.EXE
; D:\FULLTEXT\LOCKDIR.EXE
; D:\SUPPORT\LOCKDIR.EXE
; D:\КАСПЕРСК\LOCKDIR.EXE
; C:\ОБМЕН\LOCKDIR.EXE
; C:\BACKUP\LOCKDIR.EXE
; C:\USERS\АДМИНИСТРАТОР\DESKTOP\АРХИВ БАЗ ОПАК 271113\LOCKDIR.EXE
chklst
delvir
delref %SystemDrive%\PROGRAM FILES\UVNC BVBA\ULTRAVNC\WINVNC.EXE
czoo
quit

Программа закроется, перезагрузка не требуется.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В терминологии Антивируса Касперского скрыто установленные на сервере программы относятся к "потенциально опасному ПО (riskware)", как включить борьбу с ним, смотрите в этой статье/1526. Кстати, и проактивная защита может помочь в таих ситуациях.
Программу удалённого управления и кейлоггер, которые у вас удалили, продукты Касперского определяют как
not-a-virus:RemoteAdmin.Win32.Agent.lr и not-a-virus:Monitor.Win32.KGBSpy.cg соответственно. Wasppacer попробую отослать им отдельно, чтобы добавили в базы.

Что касается статей, как настраивать брандмауэр и систему безопасности вообще - навскидку не дам ссылок, читайте книги по компьютерной безопасности и системному администрированию, а главное - постарайтесь осознать угрозы и то, откуда они могут исходить. Ну, и про бэкапы не забывайте.

[Sheykom]

Код не подошел( Скрипт выполнил - загрузил

[Vvvyg]

Ещё один детект от касперского: not-a-virus:RiskTool.Win32.LockDir.c

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[Sheykom]

Выполнил - Найденных уязвимостей не обнаружено.

Заметил, что удалилась программа запроса кода для расшифровки. и ушел процесс WASPPACER - за что благодарен, а то меня уже дергают мол хрен с ним сноси систему и ставь заново.

[Vvvyg]

Могу только отослать к рекомендациям после лечения.

[Sheykom]

т.е. смысла восстанавливать (расшифровывать файлы) нет? можно просто удалять и возобновлять работу?

[Vvvyg]

На всякий случай сохраните где-то.
А утерянные файлы хороший админ восстанавливает из вчерашнего бэкапа
Кстати, если восстановление системы включено, можно попробовать вернуть файлы через него.

[Sheykom]

Я видимо плохой админ=(, бэкапов нет, а те что есть, кто их делал не знаю, - они зашифрованы. Сейчас смотрел логи пк, там тип этот, конечно ломился в систему нещадно, столько раз пробывал подрубиться.... скажите есть версии как он мог подключиться?

[Vvvyg]

Бэкапы должны делаться на другое устройство, желательно сетевой ресурс, который в явном виде, как сетевой диск, недоступен под учёткой, в которой работаете на сервере. Например, сетевое хранилище, на нём отдельная учётка для бэкапов и раздел, доступный на запись, только под ней. А на сервере под этим пользователем работает программа, делающая резервные копии, например, Cobian Backup 11 хорошо для такой задачи подходит. Работает с теневыми копиями, как сервис, жмёт крепко в .7Z.

По поводу проникновения - смотрите логи, Вам лучше знать, каким образом открыт снаружи доступ к серверу. Самые распространённые варианты - по RDP, через уязвимости или подбор пароля WEB-сервера, SQL-серверов, через подсаженый бэкдор. Последний вариант - вполне вероятен, удалённое администрирование было.

[Sheykom]

Спасибо большое за помощь, за потраченное время! и за разъяснения!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\intel\dmix\hlp\mpk.dll - not-a-virus:Monitor.Win32.KGBSpy.cg ( DrWEB: Program.KgbSpy.38 )
  2. c:\program files\intel\dmix\hlp\mpk.exe - not-a-virus:Monitor.Win32.KGBSpy.do ( DrWEB: Win32.HLLW.MyBot.8386, BitDefender: GenPack:Backdoor.Rbot.YEF )
  3. c:\users\terminal\appdata\local\temp\5\jp\rfusclie nt.exe - not-a-virus:RemoteAdmin.Win32.Agent.lr