Показано с 1 по 14 из 14.

Win32/Kryptik.GUOB (Cerbu.58337) - Dr. Web Security Space защитил? (заявка № 223766)

  1. #1
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1

    Thumbs up Win32/Kryptik.GUOB (Cerbu.58337) - Dr. Web Security Space защитил?

    Доброго времени суток.
    В результате поисков нелегального ПО похоже наткнулся на замаскированный троян с шифровальщиком. (т.к. зашифрованный архив, естественно ни один антивирус на virustotal не пикнул, в том числе на ПК)
    О самом трояне - похоже - самораспаковывающийся зашифрованный архив, который сам был запакован еще на 2 уровня тоже с шифрованием. Внутри - скрипт cmd, запускающий .exe-ники.
    В итоге, потерял бдительность и запустил тело самораспаковывающегося архива, но спас Dr. Web Security Space, а также контроль учетных записей (сижу всегда под обычным пользователем).
    Далее понял, что к чему и не отверг запрос вируса на админ права, после чего антивирус его успешно ликвидировал (вроде). Никаких защифрованных файлов, или сбоев в ОС, ПО, интернете нет.
    После этого просканировал компьютер загрузочными дисками Dr. Web, Kaspersky, Avira, - Dr.Web только нашел один .exe файл с случайным именем (и также определил его вроде как какой-то cryptor) во временной папке пользователя (сейчас он в карантине). Остальные антивирусы - ничего.
    На всякий случай решил обратиться к вам - вдруг есть какие-то не вычищенные оставленные следы.
    ПС: Сам файл трояна, а также ссылку на первоисточник (веб-сайт) могу скинуть (не стал тут прикреплять из-за соображений безопасности)
    (Эту же информацию направлю компании-разработчику АВ доктор Веб).
    Вот ссылка на анализ содержимого этого архива

    Архив с логами превышает лимит в 1 мб, залил на файлообменники:
    https://send.firefox.com/download/ae...iX0PmutK77hOqw
    https://ru.files.fm/u/brg5m8tr

    Заранее благодарю всех специалистов за столь муторную, но очень важную работу!

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,315
    Вес репутации
    354
    Уважаемый(ая) Mbus7cx, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,007
    Вес репутации
    290
    Здравствуйте,

    Сами прописывали?
    Код:
    R1 - HKU\S-1-5-21-1491404928-1398095864-2272447609-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = 127.0.0.1

    HiJackThis (из каталога autologger)профиксить
    Важно: необходимо отметить и профиксить только то, что указано ниже.
    Код:
    O2-32 - HKLM\..\BHO: (no name) - AutorunsDisabled - (no file)
    O9 - Button: HKLM\..\AutorunsDisabled: (no name) - (no file)
    O9-32 - Button: HKLM\..\AutorunsDisabled: (no name) - (no file)
    O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: &Связанные заметки OneNote - (no file)
    O9-32 - Tools menu item: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: &Связанные заметки OneNote - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\AutorunsDisabled: (no name) -  - (no file)

    AVZ выполнить следующий скрипт.
    Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
    Код:
    begin
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
    RebootWindows(false);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в AVZ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Подготовьте лог AdwCleaner и приложите его в теме.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  5. Это понравилось:


  6. #4
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1
    Здравствуйте! Спасибо что откликнулись
    Цитата Сообщение от SQ Посмотреть сообщение
    Сами прописывали?
    Код:
    R1 - HKU\S-1-5-21-1491404928-1398095864-2272447609-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = 127.0.0.1
    Да, все верно. Прокси (DNS-сервер на локалхосте) сам прописывал.
    HiJackThis - пофиксил.
    AVZ - скрипт выполнил.
    AVZ- файл карантина - пустой получился, поэтому пишет ошибку при загрузке - такой файл уже был загружен.
    лог AdwCleaner прикрепил.
    Вложения Вложения

  7. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,007
    Вес репутации
    290
    Цитата Сообщение от Mbus7cx Посмотреть сообщение
    AVZ- файл карантина - пустой получился, поэтому пишет ошибку при загрузке - такой файл уже был загружен.
    Карантина в скрипте не было, случайно добавился шаблон.

    Сами устанавливали WinRepairPro?


    - Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
    • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "SigCheckExt".
    • Нажмите кнопку Scan.
    • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
    • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  8. Это понравилось:


  9. #6
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1
    Цитата Сообщение от SQ Посмотреть сообщение
    Сами устанавливали WinRepairPro?
    Нет. Этой проги и в списке установленных (в панели управления) нет.
    Логи FRSTприкреплены
    Вложения Вложения

  10. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,007
    Вес репутации
    290
    В логе AdwCleaner есть упоменание этой программы.

    Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

    - - - - -Добавлено - - - - -

    Сами отключали восстановление системы?
    Код:
    HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <==== ATTENTION
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  11. Это понравилось:


  12. #8
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1
    Цитата Сообщение от SQ Посмотреть сообщение
    Удалите в AdwCleaner
    Ок.

    Цитата Сообщение от SQ Посмотреть сообщение
    Сами отключали восстановление системы?
    Код:
    HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <==== ATTENTION
    Да, система на SSD, плюс резервные копии хоть и не часто но делаю Акронисом.

    - - - - -Добавлено - - - - -

    Цитата Сообщение от SQ Посмотреть сообщение
    Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
    Сделано. (Кстати, там он на 2 необычных ярлыка ругался - я их пропустил - я забыл, что сам их создал для своих браузеров). Еще раз благодарю за вашу помощь
    Вложения Вложения

  13. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,007
    Вес репутации
    290
    Цитата Сообщение от Mbus7cx Посмотреть сообщение
    Да, система на SSD, плюс резервные копии хоть и не часто но делаю Акронисом.
    Хорошо, а то обычно что шифровальщики делают отключают резервное копирования и теневые копии.

    Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  14. Это понравилось:


  15. #10
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1
    Сделано
    https://ru.files.fm/u/s2hx7fnm (файл более 1 мб)

  16. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,007
    Вес репутации
    290
    Ничего плохого в логах не замечено. Что-то беспокоит вас?
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  17. Это понравилось:


  18. #12
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1
    Цитата Сообщение от SQ Посмотреть сообщение
    Ничего плохого в логах не замечено. Что-то беспокоит вас?
    Понял)
    Да вроде все в порядке. Больше ничего не беспокоит) Большое вам спасибо, что откликнулись. Разве что к вам лично вопрос немного не по теме - сейчас есть толковые бесплатные антивирусы (и брандмауэры)? Заранее благодарю за ответ.

  19. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,007
    Вес репутации
    290
    Цитата Сообщение от Mbus7cx Посмотреть сообщение
    Разве что к вам лично вопрос немного не по теме - сейчас есть толковые бесплатные антивирусы (и брандмауэры)? Заранее благодарю за ответ.
    К сожалению такие незнаю, с этим помочь не смогу.

    В завершение:
    1.
    • Пожалуйста, запустите adwcleaner.exe
    • В меню Настройки - Удалить AdwCleaner - выберите Удалить.
    • Подтвердите удаление, нажав кнопку: Да.


    Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
    Компьютер перезагрузится.

    Остальные утилиты лечения и папки можно просто удалить.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  20. Это понравилось:


  21. #14
    Junior Member Репутация
    Регистрация
    08.10.2019
    Сообщений
    13
    Вес репутации
    1
    Благодарю за помощь, инструкции выполнил. Всего доброго

  • Уважаемый(ая) Mbus7cx, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 0
      Последнее сообщение: 29.04.2009, 17:27
    2. Ответов: 0
      Последнее сообщение: 06.03.2009, 09:40
    3. Ответов: 0
      Последнее сообщение: 06.03.2009, 09:31
    4. Ответов: 1
      Последнее сообщение: 20.02.2009, 10:51
    5. Dr.Web Security Space - Dr.Web для Windows 5.0
      От Shu_b в разделе Антивирусы
      Ответов: 82
      Последнее сообщение: 31.01.2009, 22:42

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00044 seconds with 18 queries