Перейти к содержанию

Прошу помощи одолеть заразу [veracrypt@foxmail.com].adobe


Рекомендуемые сообщения

Добрый вечер! Прошу помощи в избавлении от шифровальщика veracrypt@foxmail.com!

Заразился компьютер и в его папке с открытым доступов в сети все файлы зашифровались с добавлением в названии после расширения ".id-982677F7.[veracrypt@foxmail.com].adobe". Второй компьютер тоже заразился через папку с открытым доступом, в которой тоже все файлы переименовались и зашифровались.((

Антивирус не находит ничего. Перепробовал несколько LiveCD, нашло какието файлы в системной папке, почистило. Пока распространение не происходит. Но взяв флэшкой несколько файлов на проверку, запорол еще одну машину((

 

Буду признателен за помощ!

А особенно за возможность раскодировать документы. Много файлов .doc .xls полегло.

А про бэкапы подумалось только сейчас.

 

В пристежке информация из AutoLogger.


Вдогонку вопрос: как локализовать эту заразу? В сетке около 10 компов, заразилось два на которых были открыты папки с общим доступом. Дальше этих папок заражение не пошло. Но на каком компьютере всё началось не понятно. Пока провожу профилактику всех компьютеров. Антивирусы, к сожалению работали не на всех((


CollectionLog-2019.06.09-20.40.zip - это файл со 2-го компьютера, который предположительно был заражен первее и является источником.

CollectionLog-2019.06.09-20.40.zip

CollectionLog-2019.06.09-21.14.zip

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте,

 

Пожалуйста создавайте тему для каждого ПК. Так чтобы было 1ПК = 1 тема.

 

Я рассматриваю лог:  CollectionLog-2019.06.09-20.40.zip Для второго компьютера пожалуйста создайте новую тему.

 

Обратите внимание на то, что скорее всего мы не сможем вам помочь с расшифровкой данных.

 

HiJackThis (из каталога autologger)профиксить

Важно: необходимо отметить и профиксить только то, что указано ниже.

O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O22 - Task: \Microsoft\Windows\EDP\EDP App Launch Task - {35EF4182-F900-4632-B072-8639E4478A61},AppLaunch - (no file)
O22 - Task: \Microsoft\Windows\EDP\EDP Auth Task - {35EF4182-F900-4632-B072-8639E4478A61},ReAuth - (no file)
- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    FRST.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на сообщение
Поделиться на другие сайты

Фиксы применил. FRST запустил (там не было поля"Driver MD5", отметил остальные). Под конец проверки вылез error:
Line 16335 (File "I:\AutoLogger-test\AutoLogger\FRST64.exe"):
Error: Subscript used on non-accessible variable.

 

Аттач.

Ссылка на сообщение
Поделиться на другие сайты

Под конец проверки вылез error:

Продублирую свою просьбу здесь. Удалите старые утилиту FRST и её логи, скачайте FRST64.exe заново и попробуйте собрать отчеты по инструкции из сообщения №2 этой темы. Изменено пользователем Sandor
Ссылка на сообщение
Поделиться на другие сайты

 

Под конец проверки вылез error:

Продублирую свою просьбу здесь. Удалите старые утилиту FRST и её логи, скачайте FRST64.exe заново и попробуйте собрать отчеты по инструкции из сообщения №2 этой темы.

 

Исправляюсь! Аттач.

FRST.txt

Addition.txt

Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт в uVS:

;uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.17\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.17\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\GOOGLEUPDATEBROKER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.7\PSMACHINE_64.DLL
restart

В логах, только битые ссылки, вредоносного ПО незамечено.
 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    Start::
    CreateRestorePoint:
    CloseProcesses:
    HKLM-x32\...\Run: [] => [X]
    HKU\S-1-5-21-3113058935-619043731-1009693039-1001\...\Run: [AdobeBridge] => [X]
    ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> No File
    ContextMenuHandlers1: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> No File
    ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
    ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> No File
    ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> No File
    ContextMenuHandlers4: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> No File
    ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
    Reboot:
    End::
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • TheLoveS
      От TheLoveS
      Доброе время. В апреле подхватил вирус и он зашифровал почти все файлы, нужные и не нужные.
      Сам шифровальщик удален.
      А вот если ставлю программу какую либо, то на экране появляется ярлык в виде белого значка.
      Автологгером собрал логи и прикрепил.
      Очень надеюсь на Вашу помощь. 
      ---------------------------------------------
      PS: Перепробовал все ваши утилиты для расшифровки и не одна не подошла.
    • Николай Тименский
      От Николай Тименский
      Добрый день.

      Поймали шифровальщик, который зашифровал файлы на сетевых дисках и некоторые папки на сервере, доступные пользователю. Компьютер источник данного бедствия выявили и прошлись  Kaspersky Virus Removal Tool и CureIt. После этих процедур прошлись 


      Farbar Recovery Scan Tool, посмотрите логи , скажите с вирусом покончено ?
      FRST.txt
      Addition.txt
      Shortcut.txt
    • vvf.nn
      От vvf.nn
      Здравствуйте!
      Вчера по почте получил файл с расширением pdf, ничего другого не открывал. Компьютер не выключался. Сегодня заставка mouse lokker с просьбой нажать enter. Вышел из пользователя с помощью Ctrl-Alt-Del. Зашел под другим пользователем. Файлы оказались еще живыми. Поставил копирование на внешний диск. Не следил, компьютер выключился. После включения файлы на всех дисках оказались зашифрованы. В приложении файлы из подозреваемого письма, логи. Что можно сделать для расшифровки файлов?
      Переписка с владельцами шифровальщика идет с адреса veracrypt@foxmail.com, затем с  veradecrypt@gmail.com
      CollectionLog-2019.06.04-22.19.zip
      Attachments_m.dymza@maygk.ru_2019-06-03_17-53-33.zip
    • Danila_BodroFF
      От Danila_BodroFF
      Здравствуйте!
       
      Прокрался шифровальшик и выполнил свою злобную часть дела. Поразил три машины, на двух из которых было все подчитсую снесено и установлено заново, но вот на третей машине стоит ОПС BOLID и там шалофливым форматированием пользоваться нельзя. Поэтому прошу помощи в спасении системы.
       
      Фалы шифруются я так понимаю [veracrypt@foxmail.com] и именам файлов назначаются имена вида файл.расширение.id-CA9D47C4.[veracrypt@foxmail.com]
       
      К сожалению после работы Autologger и перезапуска ПК все содержимое C:\Autologger-test тоже зашифровано
       
      Что сделать для полноценной подачи логов и их рассмотрения.
       
      Спасибо!


    • Иван Саенко
      От Иван Саенко
      На win2008 R2 sp1 поймал каким-то образом шифровальщика,
      в имена файлов добавлено
      id-CCBE2A15.[veracrypt@foxmail.com].adobe
       
      во вложении логи и стандартная картинка 

      CollectionLog-2019.04.23-08.33.zip
×
×
  • Создать...