Перейти к содержимому


Фотография
- - - - -

Шифровальщик bentleysali@india.com

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 7

#1 OFF   Anagramma

Anagramma

    Новичок

  • Новички
  • Cообщений: 4

Отправлено 04 Январь 2018 - 22:59

Зашифрованы данные на файловом сервере Win 2008 R2 . Антивируса на этой машине нет.
Файлы имеют вид - "C:\file_name.file_extension.{bentleysali@india.com}XX".
Сообщение от злоумышленников лежит в файле "how_to_back_files.html", в каждой папке(файл прикрепил).
Журналы ОС очищены.
 
 

Логи FRST

Прикрепленные файлы


Сообщение отредактировал Anagramma: 04 Январь 2018 - 22:59

  • 0

#2 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 796

Награды

           

Отправлено 05 Январь 2018 - 00:59

Порядок оформления запроса о помощи
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#3 OFF   Anagramma

Anagramma

    Новичок

  • Новички
  • Cообщений: 4

Отправлено 06 Январь 2018 - 11:03

сервер всетаки Win 2012 R2 Standart, если это важно

Прикрепляю логи

Прикрепленные файлы


  • 0

#4 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 796

Награды

           

Отправлено 06 Январь 2018 - 15:04

Запуск утилиты wget в Планировщике заданий сами прописали?

Выполните скрипт в AVZ
begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SetServiceStart('MailRuCloud', 4);
 DeleteService('MailRuCloud');
 TerminateProcessByName('C:\MailRuCloud\nssm.exe');
 QuarantineFile('C:\MailRuCloud\nssm.exe','');
 DeleteFile('C:\MailRuCloud\nssm.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.
  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную.
Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN).

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#5 OFF   Anagramma

Anagramma

    Новичок

  • Новички
  • Cообщений: 4

Отправлено 06 Январь 2018 - 16:50

Спасибо за ответ, но судя по всему nssm это программа для создания службы из обычного GUI приложения https://nssm.cc/. Он запускал облако мэйла как службу.

Действительно нужно послать этот файл для анализа? wget, да сами создавали.


  • 0

#6 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 796

Награды

           

Отправлено 06 Январь 2018 - 17:00

Это GlobeImposter2 с высокой долей вероятности. Расшифровки нет.

C:\Users\Администратор\Documents\svchost.exe заархивируйте с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#7 OFF   Anagramma

Anagramma

    Новичок

  • Новички
  • Cообщений: 4

Отправлено 06 Январь 2018 - 17:10

svchost.exe запаковал( вирус, да похоже. )
[скачал, удалил]
Из под учетки Администратор локального шифровщик похоже и работал
 
 
эх, жаль

Сообщение отредактировал thyrex: 06 Январь 2018 - 18:23

  • 0

#8 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 796

Награды

           

Отправлено 06 Январь 2018 - 18:29

Да, предположение подтвердилось
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif




Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных