Перейти к содержанию

Harmahelp73@gmx.de or Harmahelp73@protonmail.com шифровальщик


Рекомендуемые сообщения

Остался на сервере исполнительный файл который шифрует помогите с этим бедствием.

Изменено пользователем Sandor
Удалил вредонос
Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте.

Порядок оформления запроса о помощи

Логи прикрепите к следующему сообщению в этой теме.

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте.

Порядок оформления запроса о помощи

Логи прикрепите к следующему сообщению в этой теме.

какие логи нужны скажите поточнее 

FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

какие логи нужны скажите поточнее

Пройдите по предложенной ссылке и внимательно прочтите. Что будет непонятно, спрашивайте.
Ссылка на сообщение
Поделиться на другие сайты

 

какие логи нужны скажите поточнее

Пройдите по предложенной ссылке и внимательно прочтите. Что будет непонятно, спрашивайте.

 

CollectionLog-2019.08.06-11.45.zip

Ссылка на сообщение
Поделиться на другие сайты

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Windows\System32\E5M99S_payload.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Windows\System32\E5M99S_payload.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\office\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на сообщение
Поделиться на другие сайты

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Windows\System32\E5M99S_payload.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Windows\System32\E5M99S_payload.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\office\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

 

KLAN-10772302243

CollectionLog-2019.08.06-13.34.zip

Ссылка на сообщение
Поделиться на другие сайты

1. Не цитируйте полностью предыдущее сообщение. Используйте форму быстрого ответа внизу.

2. Номер KL вы сообщили, а ответ нет.

3. Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Уточню, расшифровки этой версии вымогателя нет. Мы удалили активную угрозу и дочищаем хвосты.

Ссылка на сообщение
Поделиться на другие сайты

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В следующих файлах обнаружен вредоносный код:
E5M99S_payload.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_0.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_1.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_2.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_3.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_4.exe - Trojan-Ransom.Win32.Crusis.to

В антивирусных базах информация по присланным вами файлам отсутствует:
Info.hta
Info_0.hta
Info_1.hta
Info_2.hta

В антивирусных базах информация по присланным вами ссылкам отсутствует:
www[.]urupinsk-kran.ru

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
    
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

FRST.txt

Addition.txt

Ссылка на сообщение
Поделиться на другие сайты

Файлы

C:\Users\office\Desktop\FILES ENCRYPTED.txt

C:\FILES ENCRYPTED.txt

удалите вручную.

 

Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • pdgerman
      От pdgerman
      Добрый день! после перезагрузки сервака на одной из учеток зашифровались все личные файлы в названии каждого .id-AC586E9C.[anticrypto@tutanota.com].harma
      прошу помощи. пример мелкого файла прикрепляю
      appointment.fr3.id-AC586E9C.[anticrypto@tutanota.com].zip
    • k.kuleshevich@gmail.com
      От k.kuleshevich@gmail.com
      Доброй ночи.
       
      Сегодня зашел через rdp на сервер (доступ имею только я). Увидел странные вещи: была открыта командная строка, где были результаты сканирования локальной сети и монтирования диска. Был недоступен диспетчер задач (неактивное меню). Сразу выключил сервер. Вытащил диск, вставил его в другой компьютер без доступа по сети. Большая часть диска оказалась зашифрована (кроме двух с половиной последних папок, далеко не самых ценных). 
      На диске нашел два варианта файлов dharma (отличаю их по размеру самих файлов). Оба приложил, расширение переименовал в e_x_e.
       
      В корне диска нашел два файла: info.hta и private.harma. Возможно, чем-то помогут в анализе (приложил в архиве "Дополнительно").
      Остался примонтированным отдельный диск с именем System Reserved, на котором лежало три файла из архива "Дополнительно"
      Addition.txt FRST.txt Дополнительно.rar Зашифрованные файлы.rar Шифровальщик.rar
    • Starikhottabych
      От Starikhottabych
      Добрый день!
      Словил вирус который зашифровал все файлы с окончанием restore_data@gmx.de. harma/
      Прошу помочь в расшифровке. 
    • Nick2312
      От Nick2312
      Добрый день,
      словили вирус шифровальщик. В результате общения со злоумышленниками удалось получить ключик,
      но нет самой программы дешифратора.  Если есть возможность, поделитесь программой. 
       
      ЗЫЖ
      Да, такое бывает. Кто-то заплатил и получил ответ. Кто-то получил программу иными путями. 
    • microran
      От microran
      Сообщение от модератора thyrex Перемещено в Помощь по расшифровке  
      Здравствуйте все файлы были зашифрованы вирусом [helpmedecoding@airmail.cc].harma
       
      Логи:
      CollectionLog-2021.02.12-11.10.zip
×
×
  • Создать...