Перейти к содержимому


Фотография
- - - - -

Помогите. Зашифрован zoro4747@gmx.de

шифровальщик

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 16

#1 OFF   Edik

Edik

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 12 Май 2019 - 19:57

Комп под защитой Касперский FREE 19.0, RDP порт изменен на нестандартный. Windows 7. На компьютере никто не работает, он для удаленки.
Все файлы после расширения имеют:  [zoro4747@gmx.de].zoro
Предыдущие версии файлов уничтожены зловредом.

Внутри файлов все перемешано.
Спасите, кто может. Семейные фотки и т.д. :-(


  • 0

#2 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 12 Май 2019 - 19:59

Здравствуйте.

Порядок оформления запроса о помощи.
Логи прикрепите к следующему сообщению в данной теме.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#3 OFF   Edik

Edik

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 12 Май 2019 - 22:04

Все выполнил.


Списался с шифровальщиком, он расшифровал файл, что бы доказать, что может расшифровать. Такой же но зашифрованный я предоставил вначале


Вот расшифрованный файл и подозрительные файлы обнаруженные CureIt.
Пароль на архив 123, иначе антивирус не дает прикрепить архивный файл.

Прикрепленные файлы


  • 0

#4 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 13 Май 2019 - 00:10

Выполните скрипт в AVZ из папки Autologger
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\user\Music\processhacker-2.39-bin\x64\kprocesshacker.sys','');
 SetServiceStart('KProcessHacker3', 4);
 DeleteService('KProcessHacker3');
 TerminateProcessByName('c:\users\user\appdata\roaming\winupmgr.exe');
 QuarantineFile('c:\users\user\appdata\roaming\winupmgr.exe','');
 DeleteFile('c:\users\user\appdata\roaming\winupmgr.exe','32');
 DeleteFile('C:\Users\user\Music\processhacker-2.39-bin\x64\kprocesshacker.sys','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager','x32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','BtMFfAOPVHouF','x32');
 DeleteFile('C:\Users\user\!!! RESTORE DATA !!!.TXT','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager','x64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','BtMFfAOPVHouF','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip загрузите по ссылке https://virusinfo.in...s.php?tid=37678
Полученный после загрузки ответ сообщите здесь.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#5 OFF   Edik

Edik

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 13 Май 2019 - 04:32

1 - После работы CureIt и перезапуска заработал антивирус (Kaspersky Free 19.0.0). Я его отключил и выполнил AutoLogger-test. Результат его работы в CollectionLog-2019.05.13-08.16.
2 - Предоставленный вами скрипт запускал как до выполнения AutoLogger-test , так и после. В обоих случаях был нулевой размер quarantine, но файл который был получен, я вам высылаю. Правда, в нем ничего нет :-(

Прикрепленные файлы


  • 0

#6 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 13 Май 2019 - 04:40

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.
  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.
3munStB.png
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#7 OFF   Edik

Edik

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 13 Май 2019 - 05:37

Выключил антивирус. Все выполнил. Подошла 64 бит версия.

Прикрепленные файлы


  • 0

#8 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 13 Май 2019 - 05:44

Увы. это Scarab и расшифровки нет. Только зачистка следов вирусов.

1. Выделите следующий код:
Start::
CreateRestorePoint:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\!!! RESTORE DATA !!!.TXT [2019-05-12] () [File not signed]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\!!! RESTORE DATA !!!.TXT [2019-05-12] () [File not signed]
2019-05-12 05:30 - 2019-05-12 05:30 - 000918946 _____ C:\Users\user\BtMFfAOPVHouF.bmp
2019-05-12 05:29 - 2019-05-12 05:30 - 000000740 _____ C:\Users\user\Desktop\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\Все пользователи\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr2\Downloads\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr2\Documents\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr2\Desktop\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr2\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr1\Downloads\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr1\Documents\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr1\Desktop\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\usr1\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\user11\Downloads\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\user11\Documents\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\user11\Desktop\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\user11\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\user\Downloads\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\user\Documents\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\Public\Downloads\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\Public\Documents\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\Public\Desktop\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\Public\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\Default\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\Users\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\ProgramData\Microsoft\Windows\Start Menu\!!! RESTORE DATA !!!.TXT
2019-05-12 05:29 - 2019-05-12 05:29 - 000000740 _____ C:\ProgramData\!!! RESTORE DATA !!!.TXT
2019-05-12 05:27 - 2019-05-12 05:27 - 000000740 _____ C:\Program Files (x86)\!!! RESTORE DATA !!!.TXT
2019-05-12 05:26 - 2019-05-12 05:26 - 000000740 _____ C:\Program Files\!!! RESTORE DATA !!!.TXT
2019-05-12 04:04 - 2014-05-26 22:58 - 000000485 _____ C:\Users\user\Downloads\Clearr.cmd.[zoro4747@gmx.de].zoro
2019-05-12 03:34 - 2019-05-12 03:34 - 000000740 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!!! RESTORE DATA !!!.TXT
2019-05-12 03:34 - 2019-05-12 03:34 - 000000740 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\!!! RESTORE DATA !!!.TXT
2019-05-12 03:34 - 2019-05-12 03:34 - 000000740 _____ C:\Users\user\AppData\Roaming\!!! RESTORE DATA !!!.TXT
2019-05-12 03:33 - 2019-05-12 03:34 - 000000000 ____D C:\Users\user\AppData\Roaming\Process Hacker 2
Reboot:
End::
2. Скопируйте выделенный текст (правая кнопка мышиКопировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#9 OFF   Edik

Edik

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 13 Май 2019 - 05:51

Понятно... А откуда он взялся? И почему антивирус дал ему сработать? Что сделать что бы в будущем такого не было?


Вот...

Прикрепленные файлы

  • Прикрепленный файл  Fixlog.txt   6,77К   скачиваний 0

  • 0

#10 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 13 Май 2019 - 05:56

Судя по времени шифрования был вход по RDP после подбора простого пароля.

Антивирусные решения лишь уменьшают риск заболеть, но 100% гарантии защиты не дает ни один разработчик.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#11 OFF   Edik

Edik

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 13 Май 2019 - 06:25

Пароль был 8 символов, большие маленькие буквы и цифры. Политика блокировки 3 минуты при 3 ошибках в пароле. Простой перебор врядли... Значит чтото еще есть там...
Вы сделали все что могли. Спасибо.
Скажите, Линукс шифруют?


  • 0

#12 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 13 Май 2019 - 06:33

Просто так подобные утилиты C:\Users\user\Music\processhacker-2.39-bin да еще и в указанной папке и в ночное время не появляются. Значит точно был брут.

 

Линукс если и шифруют, то ооочень редко. 


  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#13 OFF   Kostyajil

Kostyajil

    Новичок

  • Новички
  • Cообщений: 2

Отправлено 14 Май 2019 - 10:49

Стояла станция смотрящая в инет чисто для доступа по RDP к другим компам сети... Зашифровали(((( Этот же паразит zoro4747@gmx.de

 

Списался с ним. Договорился на 100$.
Есть смысл оплачивать? Если будет мой код, пример зашифрованного файла и расшифрованного и ключ который он пришлёт за 100$... Это поможет остальным расшифроваться?


  • 0

#14 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 14 Май 2019 - 11:36

Нет. Ключ уникальный для каждого пострадавшего.


  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#15 OFF   Kostyajil

Kostyajil

    Новичок

  • Новички
  • Cообщений: 2

Отправлено 14 Май 2019 - 11:39

Тогда кукиш ему а не 100$ )))
Если бы это позволило вычислить алгоритм шифрования, и помочь многим потом, тогда бы может ещё потратился...


  • 0





Темы с аналогичными тегами: шифровальщик

Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных