Перейти к содержимому


Фотография
- - - - -

Шифровальщик Tizer77234 Tizer78224

шифровальщик

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 12

#1 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 04 Май 2018 - 13:31

Добры день.
В ночь с 30.04.2018 на 01.05.2018 на одном из серверов произошла шифровка всех рабочих фалов, включая исполняемые. Откуда взялся не понятно, все компы чистые. При локальной авторизации обнаружил, что последняя авторизация была под учёткой admin, которую никто не использовал (возможно была создана трояном), не исключаю диверсию изнутри. Пароли все изменил. на рабочем столе учётки admin были найдены пакетные файлы Windows (bat), которые указывали на папку с вирусом. Логов нет, понимание куда копать тоже пропало.

В каждой папке инструкция от злодея:

"Hi friend...
    :)
For instructions on how to recovery the files, write to me:
 
Tizer78224@gmx.de
Tizer78224@india.com
Tizer77234@protonmail.com
 
In the letter, indicate your personal ID (see the file format).
If you have not received an answer, write to me again."
 

Прошу оказать содействие в дешифровке файлов.

Прикрепленные файлы


Сообщение отредактировал grimturs: 04 Май 2018 - 13:33

  • 0

#2 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 893

Отправлено 04 Май 2018 - 14:54

Здравствуйте,



AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '');
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '');
 QuarantineFileF('C:\Users\admin\Music\Mozilla Firefox', '*.exe,*.dll,*.sys', false,'', 0, 0);
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '32');
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BatNotepad','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SystemCrp','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите сервер вручную.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)


  • 0

#3 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 04 Май 2018 - 15:33

Отправил.


  • 0

#4 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 893

Отправлено 04 Май 2018 - 16:13

Сообщите результат.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


 


  • 0

#5 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 04 Май 2018 - 21:12

Готово

Прикрепленные файлы

  • Прикрепленный файл  FRST.txt   85,44К   скачиваний 1
  • Прикрепленный файл  Addition.txt   39,55К   скачиваний 1

  • 0

#6 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 893

Отправлено 04 Май 2018 - 21:58

Сообщите результат.


А где результат отправки карантина, ответное письмо?
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
    File: C:\Windows\SysWOW64\srvany.exe
    File: C:\Windows\KMService.exe
    FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET File Security\Mozilla Thunderbird => not found
    File: C:\Windows\System32\slanAccel.exe
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Desktop\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Desktop\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Desktop\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Downloads\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Documents\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\Microsoft\Windows\Start Menu\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\How_return_files.txt
    2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\How_return_files.txt
    Filder: C:\Users\admin\AppData\Roaming\Process Hacker 2
    MSCONFIG\startupreg: BatNotepad => "C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat"
    MSCONFIG\startupreg: SystemCrp => "C:\Users\admin\Music\Mozilla Firefox\svhosts.exe"
    Folder: C:\Users\admin\Music\Mozilla Firefox
    
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что сервер возможен будет перезагружен.

  • 0

#7 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 05 Май 2018 - 01:31

Сделал. Сервер не перезагрузился

Прикрепленные файлы

  • Прикрепленный файл  Fixlog.txt   11,55К   скачиваний 1

  • 0

#8 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 893

Отправлено 05 Май 2018 - 01:52

Могли бы следующий файл архивировать в zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox\config.cfg

 и отправить мне личным сообщением.


  • 0

#9 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 05 Май 2018 - 19:00

Отправил


  • 0

#10 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 893

Отправлено 06 Май 2018 - 01:28

Я Вам ответил в личном сообщение. Сообщите пожалуйста у Вас есть купленная лицензий антивируса Касперского?


  • 0

#11 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 07 Май 2018 - 09:52

Повторно отправил Вам файл. 
Купленной лицензии у нас нет.


  • 0

#12 OFF   SQ

SQ

    Хелпер

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPip
  • Cообщений: 3 893

Отправлено 07 Май 2018 - 15:48

С расшифровкой не поможем. Однако я могу попробовать создать запрос за Вас, для этого мне необходимо все содержимое каталога в архиве zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox

Также полученный карантин утилитой AVZ:
 

quarantine.zip

И 2-3 зашифрованных файлов (не содержащие некакие конфиденциальные данные).

Все эти данные отправьте пожалуйста в личным сообщение как ссылку для скачивания.

P.S. Главное необходимо понимать, что не каких гарантий предоставить не могу, что удачно удастся расшифровать файлы.


  • 0

#13 OFF   grimturs

grimturs

    Новичок

  • Новички
  • Cообщений: 7

Отправлено 11 Май 2018 - 10:35

Да, я понимаю.
Файлы отправил. Спасибо.


  • 0





Темы с аналогичными тегами: шифровальщик

Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных