Перейти к содержанию

Рекомендуемые сообщения

Здравствуйте, сегодня зашел на сервер по RDP а там все файлы зашифрованы и имеют расширение .harma, прилагаю файл от  Farbar Recovery Scan Tool Прошу помочь с решением данной проблемы

 

FRST.txt

CollectionLog-2020.01.21-10.15.zip

Изменено пользователем tolevich
Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Расшифровки этой версии вымогателя нет. Будет только удаление вредоноса и очистка следов.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\05WFIL_payload.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\Сервис1\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\Сервис1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\05WFIL_payload.exe', '');
 QuarantineFile('C:\Users\Сервис1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('c:\users\сервис1\music\05wfil_payload.exe', '');
 QuarantineFile('C:\Windows\System32\05WFIL_payload.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\05WFIL_payload.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\Сервис1\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\Сервис1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\05WFIL_payload.exe', '64');
 DeleteFile('C:\Users\Сервис1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('c:\users\сервис1\music\05wfil_payload.exe');
 DeleteFile('C:\Windows\System32\05WFIL_payload.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', '05WFIL_payload.exe', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\Сервис1\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

Исходя из полученной информации мы можем предложить Вам следующее решение:

Файлы зашифрованы Trojan-Ransom.Win32.Crusis
Выполнить восстановление данных, зашифрованных данной модификацией трояна, к сожалению, не представляется возможным, вредоносная программа использует стойкий алгоритм шифрования, а ключ находится у злоумышленников. Утилиты для расшифровки нет.


Если у Вас есть дополнительные вопросы, пожалуйста, ответьте на данное сообщение, сохранив номер запроса в теме письма (INC000011198461).

Пожалуйста, обратите внимание, что в случае, если ответ от Вас не будет получен в течение 5 дней, запрос будет расценён как решённый или не требующий ответа и будет автоматически закрыт.

С уважением,
Служба Технической Поддержки
АО "Лаборатория Касперского"

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

FRST.txt

Addition.txt

Ссылка на сообщение
Поделиться на другие сайты

Пользователь

Admin (S-1-5-21-1524186809-3607629976-1045351387-1000 - Administrator - Enabled) => C:\Users\Admin

ваш? Если нет, заблокируйте или удалите.

 

Смените пароли на RDP.

Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Bruce007
      От Bruce007
      Зараженные файлы.rar Здравствуйте! Подцепили вирус шифровальщик, я не очень разобрался как тему оформлять, пожалуйста, подскажите как систему проанализировать с помощью farbar, могу подсьединить жесткие диски к компьютеру с работоспособной системой (два жестких диска заражены)
      Прикладываю архив с тремя файлами - один - записка о том, как связаться и две зашифрованных скриншота
    • Tyson
      От Tyson
      Всем добрый день! 
       
      Начал постигать все "прелести" полнодискового шифрования касперского и столкнулся с проблемой, когда при загрузке Агента аутентификации не работают либо клавиатура, либо тачпад/мышь (к счастью одновременно пока не попадалось) и если без мыши еще обойтись как-то можно, то без клавиатуры тяжеловато, особенно для рядовых пользователей. С поддержкой контакт держим уже почти месяц, но результатов пока никаких... Может есть кто сталкивался с подобной проблемой? Удавалось ли её решить?
    • I_CaR
      От I_CaR
      Знаю AnyDesk из него ни чего нельзя нажать такого, что под защитой - Dr*eb, Касперского и т.п. и это вроде хорошо, что программы так себя защитили.
      Но почему на дворе 23-ий год третьего тысячелетия, нейронные сети, ИИ, но вот ПО по защите данных (антивирус Касперского) отключается парой скриптов от злоумышленников даже RDP?
      Зачем вообще платить за такой продукт?
      Есть ли смысл?
      Как показывает многолетняя практика, те вирусы, которые не убивают компьютер лечатся постфактум, даже если на ПК не было установлено антивирусное ПО. А вот те вирусы, что убивают ПК полностью - и не лечатся и спокойно проходят защиту от Касперского.
      И? И зачем тогда такое антивирусное ПО?
      Сообщение от модератора kmscom Тема перемещена из раздела Помощь в борьбе с шифровальщиками-вымогателями  
    • Anton Aralov
      От Anton Aralov
      Взломали 11 компьютеров в сети.
      1) на большинстве машин не было админских прав
      2) пароль админа достаточно сложный для взлома( 12 знаков, цифры буквы символы)
      3) Шифровальщик удалил касперского со всех машин где он присутствовал.
      FRST.zip пример файлов.zip
    • Monkkka
      От Monkkka
      Вирус :trojan.ransom.generic зашифровал файлы. Файлы стали иметь расширение , которые представляет собой набор букв и цирф. (.odkf .3y64 .7412 и тп.). Пробовал обращаться в тех. поддержку, юзать разные дешифраторы - не помогло. README.txt ниже. Как расшифровать данные файлы?!


      На китайский язык не обращайте внимания, я поставил его сам, в личных целях

×
×
  • Создать...