Зашифровано с помощью satan(файлы .stn)

[jah 0]

Добрый день, нужна помощь.

Словили разновидность satan.

Логи и зараженный/чистый файл в атаче.

 

 

CollectionLog-2017.08.21-15.57.zip

good_and_bad.zip

[thyrex 1 468]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('c:\windows\debug\ok.dat','');
 QuarantineFile('c:\windows\help\lsmosee.exe>','');
 QuarantineFile('c:\windows\debug\item.dat>','');
 QuarantineFile('c:\windows\debug\item.dat','');
 DeleteFile('c:\windows\debug\item.dat','32');
 DeleteFile('c:\windows\debug\item.dat>','32');
 DeleteFile('c:\windows\help\lsmosee.exe>','32');
 DeleteFile('c:\windows\debug\ok.dat','32');
 DeleteFile('C:\Windows\system32\Tasks\ok','64');
 DeleteFile('C:\Windows\system32\Tasks\Mysa3','64');
 DeleteFile('C:\Windows\system32\Tasks\Mysa2','64');
 DeleteFile('C:\Windows\system32\Tasks\Mysa1','64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start1','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[jah 0]

Вижу что будет произведена перезагрузка.

Машину еще не бутали. После перезагрузки будет зашифрована/заблокирована MBR.

Или приведенный выше скрипт устранит это?

[thyrex 1 468]

После перезагрузки будет зашифрована/заблокирована MBR

Кто Вам такое сказал?

 

Активного вируса в логах вообще нет.

[jah 0]

Архив "quarantine.zip" пустой.

Это нормально?

Изменено 21 августа, 2017 пользователем jah

[thyrex 1 468]

Жду новые логи

[jah 0]

Вот они

CollectionLog-2017.08.21-17.37.zip

[thyrex 1 468]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[jah 0]

Вот они

Farbarscan.zip

[thyrex 1 468]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\zakon\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\zakon\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\zakon\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vpeleh\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vpeleh\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vova\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vova\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vova\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\tykhenkyi\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\tykhenkyi\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tykhenkyi\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\AppData\Roaming\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serujtkach\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serujtkach\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serggrey\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serggrey\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\serggrey\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\serg\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\sanya_balshoi\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\sanya_balshoi\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\saloed\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\saloed\Documents\0_HELP_DECRYPT_FILES.html
2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\saloed\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:39 - 2017-08-20 23:39 - 000043006 _____ C:\Users\saloed\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:39 - 2017-08-20 23:39 - 000043006 _____ C:\Users\saloed\0_HELP_DECRYPT_FILES.html
2017-08-20 23:39 - 2017-08-20 23:39 - 000043006 _____ C:\Users\SaHaRoK\0_HELP_DECRYPT_FILES.html
2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\SaHaRoK\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\olga\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\olga\0_HELP_DECRYPT_FILES.html
2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\oleksii\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\oleksii\Documents\0_HELP_DECRYPT_FILES.html
2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\oleksii\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:37 - 2017-08-20 23:37 - 000043006 _____ C:\Users\oleksii\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:37 - 2017-08-20 23:37 - 000043006 _____ C:\Users\oleksii\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\jh\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\jh\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\jh\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\gavrysh\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\gavrysh\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\dimon\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\dimon\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\dima_gavrish\0_HELP_DECRYPT_FILES.html
2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\Dima\0_HELP_DECRYPT_FILES.html
2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\Default\0_HELP_DECRYPT_FILES.html
2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\bogdan\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\bogdan\0_HELP_DECRYPT_FILES.html
2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\antoschuk\Downloads\0_HELP_DECRYPT_FILES.html
2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\antoschuk\Documents\0_HELP_DECRYPT_FILES.html
2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\antoschuk\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:33 - 2017-08-20 23:33 - 000043006 _____ C:\Users\antoschuk\AppData\Local\0_HELP_DECRYPT_FILES.html
2017-08-20 23:31 - 2017-08-20 23:31 - 000043006 _____ C:\Users\Администратор\Desktop\0_HELP_DECRYPT_FILES.html
2017-08-20 23:31 - 2017-08-20 23:31 - 000043006 _____ C:\Users\Администратор\AppData\Local\0_HELP_DECRYPT_FILES.html
AlternateDataStreams: C:\Users\oleksii:id [32]
AlternateDataStreams: C:\Users\saloed:id [66]
AlternateDataStreams: C:\ProgramData\TEMP:9BE2DC46 [254]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:9BE2DC46 [254]

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Перезагрузку компьютера выполните вручную.

[jah 0]

Вот он

Fixlog.txt

[thyrex 1 468]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
Task: {068A8BAB-04BC-47BE-8C8E-BF0EA4CBD39E} - \ok -> No File <==== ATTENTION
Task: {253FB4EA-43D4-4EFD-98F2-2EBE17978FE9} - \Mysa2 -> No File <==== ATTENTION
Task: {6929713B-4038-4BE6-A4DF-AA66BFA1451A} - \Mysa1 -> No File <==== ATTENTION
Task: {7D4CEA43-7467-4B45-BF65-653F30E31C22} - \Mysa3 -> No File <==== ATTENTION

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Перезагрузку компьютера выполните вручную.

[jah 0]

Готово

Fixlog.txt

[thyrex 1 468]

Мусор почистили.

 

С расшифровкой помочь не сможем.

[jah 0]

Есть ли какой то способ расшифровать? Есть один важный файл.

Можете что то посоветовать. Или помочь за вознаграждение (не знаю принято ли сдесь делать такие предложения, но файл действительно важен).