Перейти к содержимому


Фотография
- - - - -

Шифровальщик id-5C6490C0.[bitpandacom@qq.com].combo

шифровальщик вирус

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Закрытая тема Тема закрыта
Сообщений в теме: 16

#1 OFF   Viktor100500

Viktor100500

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 14 Август 2018 - 13:47

Добрый день!

В одно прекрасное утро обнаружилось, что на нескольких ПК в компании зашифрованы почти все файлы.

Программы работают, шифрование дальше programsfiles не пошло видимо.

Банальная смена расширений результата не дало. Полегло много полезной информации.

Интернет дал понять что это новый вид(уровень) шифровальщика.

Файлы /примеры заражённых файлов прикрепил

Также инфа из программы Farbar Revocery Scan Tool

Просьба посодействовать в решении.

Прикрепленные файлы


Сообщение отредактировал Viktor100500: 14 Август 2018 - 13:47

  • 0

#2 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 14 Август 2018 - 13:54

Здравствуйте!

новый вид(уровень) шифровальщика

Нет, не новый. Это Dharma (.cezar Family) и расшифровки нет.

Если нужна помощь в очистке следов, выполните Порядок оформления запроса о помощи.
(Нужен CollectionLog, собранный с помощью Автологера).
  • 0
Изображение

#3 OFF   Viktor100500

Viktor100500

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 14 Август 2018 - 14:13

Здравствуйте!
 

новый вид(уровень) шифровальщика

Нет, не новый. Это Dharma (.cezar Family) и расшифровки нет.

Если нужна помощь в очистке следов, выполните Порядок оформления запроса о помощи.
(Нужен CollectionLog, собранный с помощью Автологера).

 

Грустно.

Сделал как написано.

1. Проверил 

2. Собрал лог

3. Прикрепил

Прикрепленные файлы


  • 0

#4 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 14 Август 2018 - 16:03

Смените пароль на RDP. Проверьте уязвимые места:
Выполните скрипт в AVZ при наличии доступа в интернет:
 
var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
+
Дополнительно, пожалуйста:

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 
begin
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Microsoft R Server\Machine-Learning-Admin-Util.lnk', '');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Сообщение отредактировал Sandor: 14 Август 2018 - 16:03

  • 0
  • Спасибо x 1
  • Показать
Изображение

#5 OFF   Viktor100500

Viktor100500

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 14 Август 2018 - 18:13

...

Выполнил скрипт, первый раз ничего не нашёл (Часто используемые уязвимости не обнаружены), перезагрузился, повторил, также всё чисто.

Значит либо самоудалился, либо откуда-то с другого места распространяет.

Второй скрипт выполнил, отправил архив через форму отправки карантина.

 

 

Среди 50пк аналогичная активность выявлена на 3х, буду с ними также проверяться.

Спасибо за советы/ответы

 

 

UPD.

 

Нашёл виновника. Повторяю логи. Может что подскажет.

 

upd2

 

Нашёл в автозапуске собственно файл. могу сюда скинуть если надо

Прикрепленные файлы


Сообщение отредактировал Viktor100500: 14 Август 2018 - 18:24

  • 0

#6 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 15 Август 2018 - 08:23

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\v.alekseev\AppData\Roaming\1taskp.exe', '');
 QuarantineFile('C:\Users\v.alekseev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1taskp.exe', '');
 QuarantineFile('C:\Windows\System32\1taskp.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\admin\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\1taskp.exe', '32');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\1taskp.exe', '64');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1taskp.exe', '');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1taskp.exe', '64');
 DeleteFile('C:\Windows\System32\1taskp.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '1taskp.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', '1taskp.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\admin\AppData\Roaming\Info.hta');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.




Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN).




Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
Прикрепите к следующему сообщению свежий CollectionLog.


могу сюда скинуть если надо

Сюда не надо. Можете отправить на https://newvirus.kaspersky.ru/
  • 0
Изображение

#7 OFF   Viktor100500

Viktor100500

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 15 Август 2018 - 12:10

Выполнил всё как написали.

Ответа на почту пока нет.

Файл прикреплён

Прикрепленные файлы


  • 0

#8 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 15 Август 2018 - 12:15

Свежие логи FRST соберите на этой системе.
  • 0
Изображение

#9 OFF   Viktor100500

Viktor100500

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 15 Август 2018 - 12:24

 

 

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В антивирусных базах информация по присланным вами файлам отсутствует:
Info.hta
Info_0.hta
Info_1.hta

В следующих файлах обнаружен вредоносный код:
1taskp.exe - Trojan-Ransom.Win32.Crusis.to
1taskp_0.exe - Trojan-Ransom.Win32.Crusis.to
1taskp_1.exe - Trojan-Ransom.Win32.Crusis.to

В антивирусных базах информация по присланным вами ссылкам отсутствует:
https://forum.kasper...=60173&p=893007

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте. 
[KLAN-8557797420]

Свежие логи FRST соберите на этой системе.

 

Прикрепил

Прикрепленные файлы


Сообщение отредактировал Viktor100500: 15 Август 2018 - 12:22

  • 0

#10 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 15 Август 2018 - 12:51

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    HKLM\...\Run: [1taskp.exe] => C:\Windows\System32\1taskp.exe
    HKLM\...\Run: [C:\Windows\System32\Info.hta] => mshta.exe "C:\Windows\System32\Info.hta"
    HKLM\...\Run: [C:\Users\admin\AppData\Roaming\Info.hta] => mshta.exe "C:\Users\admin\AppData\Roaming\Info.hta"
    Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-08-14] ()
    2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\Users\admin\Desktop\FILES ENCRYPTED.txt
    2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\FILES ENCRYPTED.txt
    2018-08-13 23:29 - 2018-08-13 23:29 - 000000170 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

Подробнее читайте в этом руководстве.
  • 0
Изображение

#11 OFF   Viktor100500

Viktor100500

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 15 Август 2018 - 13:00

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    HKLM\...\Run: [1taskp.exe] => C:\Windows\System32\1taskp.exe
    HKLM\...\Run: [C:\Windows\System32\Info.hta] => mshta.exe "C:\Windows\System32\Info.hta"
    HKLM\...\Run: [C:\Users\admin\AppData\Roaming\Info.hta] => mshta.exe "C:\Users\admin\AppData\Roaming\Info.hta"
    Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-08-14] ()
    2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\Users\admin\Desktop\FILES ENCRYPTED.txt
    2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\FILES ENCRYPTED.txt
    2018-08-13 23:29 - 2018-08-13 23:29 - 000000170 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

Подробнее читайте в этом руководстве.

 

Прикрепленные файлы

  • Прикрепленный файл  Fixlog.txt   1,82К   скачиваний 1

  • 0

#12 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 15 Август 2018 - 13:02

К сожалению, расшифровки этого типа вымогателя нет. Но попробуйте:
При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.
  • 0
Изображение

#13 OFF   Roman79

Roman79

    Новичок

  • Новички
  • Cообщений: 1

Отправлено 31 Август 2018 - 14:41

Поймали тоже самое, заплатили, ключи у этой штуки похоже, динамические, нам прислали декриптор, который собрал ключи из наших зашифрованных файлов и после этого к этим ключам прислали фай ответа. Может кому-нибудь поможет, прикладываю декриптор, набор наших ключей и ответы к ним.

Прикрепленные файлы


Сообщение отредактировал Roman79: 31 Август 2018 - 14:42

  • 0

#14 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 670

Отправлено 31 Август 2018 - 14:49

Может кому-нибудь поможет

Нет, не поможет.
  • 0
Изображение

#15 OFF   Hendehog

Hendehog

    Продвинутый

  • Участники
  • PipPip
  • Cообщений: 151

Отправлено 04 Сентябрь 2018 - 07:16

[#10171]

Здравствуйте.

 

У вас не достаточно прав для загрузки данного прикрепленного файла.

Почему скачать не могу?

 

Не поможет потому-что все файлы индивидуально шифруются?


  • 0





Темы с аналогичными тегами: шифровальщик, вирус

Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных