Перейти к содержимому


Фотография
- - - - -

[РЕШЕНО] Файлы с расширением .doubleoffset

doubleoffset 3nity@tuta.io tuta.io

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 11

#1 OFF   Sahar

Sahar

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 25 Июнь 2019 - 19:25

Добрый день!

Днем шифровальщик в хаотичном порядке зашифровал файлы (включая БД) на одном сервере с расширением .doubleoffset

Касперский имел последние обновление и работал в это время.

 

Лог файлы прилагаю, включая пример зараженного файла и сопроводительного файла с контактами .txt (email-3nity@tuta.io...rar)

 

 

Прикрепленные файлы


  • 0

#2 OFF   mike 1

mike 1

    Мурзик

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 13 476

Отправлено 25 Июнь 2019 - 20:04

Здравствуйте.

 

Пофиксите в HiJackThis следующие строчки:

O26 - Debugger: HKLM\..\360Safe.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360rp.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360rps.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360sd.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360tray.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KSWebShield.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KVMonXP.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KVMonXP.kxp: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KVSrvXp.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KsafeTray.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\Kwatch.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\QQPCRTP.EXE: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\QQPCTray.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\RSTRAY.EXE: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\SHSTAT.EXE: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\Storm.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\avcenter.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\avgnt.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\avguard.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\cfp.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\cmdagent.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\kavstart.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\kissvc.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\kvxp.kxp: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\ravmond.exe: [Debugger] = C:\Windows\system32\taskkill.exe

Сделайте такой лог  https://safezone.cc/...ware-v-3.28958/ . Самостоятельно ничего не удаляйте!


  • 0
  • Согласен x 2
  • Показать

#3 OFF   Sahar

Sahar

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 25 Июнь 2019 - 20:34

Здравствуйте.

 

Пофиксите в HiJackThis следующие строчки:

O26 - Debugger: HKLM\..\360Safe.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360rp.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360rps.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360sd.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\360tray.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KSWebShield.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KVMonXP.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KVMonXP.kxp: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KVSrvXp.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\KsafeTray.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\Kwatch.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\QQPCRTP.EXE: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\QQPCTray.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\RSTRAY.EXE: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\SHSTAT.EXE: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\Storm.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\avcenter.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\avgnt.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\avguard.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\cfp.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\cmdagent.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\kavstart.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\kissvc.exe: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\kvxp.kxp: [Debugger] = C:\Windows\system32\taskkill.exe
O26 - Debugger: HKLM\..\ravmond.exe: [Debugger] = C:\Windows\system32\taskkill.exe

Сделайте такой лог  https://safezone.cc/...ware-v-3.28958/ . Самостоятельно ничего не удаляйте!

 

Сделал согласно инструкции в HiJackThis, но списке нет O26, только O2, O4, O8. O9, O10, O11, O16, O17, O18, O23


  • 0

#4 OFF   akoK

akoK

    Ёж птица гордая.

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPip
  • Cообщений: 1 944

Отправлено 25 Июнь 2019 - 20:39

HJT использовали версии 2.9.0.19?


  • 0
  • Согласен x 1
  • Показать

Microsoft MVP 2012, 2013, 2014, 2015 Consumer Security
Windows Insider MVP 2016-2019


#5 OFF   Sahar

Sahar

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 25 Июнь 2019 - 21:22

HJT использовали версии 2.9.0.19?

 

Скачал свежую версию с гитхаба, сразу нашлась секция О26 - пофиксил.

 

лог Malwarebytes в закрепе.


.


При необходимости попробую поискать нетронутые бекапы с оригинальными файлами завтра. 

Прикрепленные файлы


  • 0

#6 OFF   mike 1

mike 1

    Мурзик

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 13 476

Отправлено 25 Июнь 2019 - 22:15

C:\USERS\MOCUSERCAXARTERM\DESKTOP\DOSTUP.EXE
C:\WINDOWS\SYSTEM\LSASS.EXE

Упакуйте в zip архив с паролем и именем virus и пришлите карантин через данную форму  https://virusinfo.in...s.php?tid=37678


+ Пришлите еще зашифрованный файл более 100 КБ и его незашифрованную копию в архиве.


  • 0
  • Согласен x 1
  • Показать

#7 OFF   akoK

akoK

    Ёж птица гордая.

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPip
  • Cообщений: 1 944

Отправлено 25 Июнь 2019 - 22:18

+++ а мне пришлите пару файлов зашифрованный и его оригинал, спасибо.


  • 0
  • Согласен x 1
  • Показать

Microsoft MVP 2012, 2013, 2014, 2015 Consumer Security
Windows Insider MVP 2016-2019


#8 OFF   Sahar

Sahar

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 26 Июнь 2019 - 09:37

C:\USERS\MOCUSERCAXARTERM\DESKTOP\DOSTUP.EXE
C:\WINDOWS\SYSTEM\LSASS.EXE

Упакуйте в zip архив с паролем и именем virus и пришлите карантин через данную форму  https://virusinfo.in...s.php?tid=37678


+ Пришлите еще зашифрованный файл более 100 КБ и его незашифрованную копию в архиве.

 

 

Карантин выслал. Файлы зараженные+оригинал выложил на обменник. Ссылку отправил Вам в лс.


  • 0

#9 OFF   akoK

akoK

    Ёж птица гордая.

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPip
  • Cообщений: 1 944

Отправлено 26 Июнь 2019 - 09:58

Проверьте ЛС


  • 0
  • Согласен x 1
  • Показать

Microsoft MVP 2012, 2013, 2014, 2015 Consumer Security
Windows Insider MVP 2016-2019


#10 OFF   Sahar

Sahar

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 26 Июнь 2019 - 14:38

Выражаю благодарность консультантам akoK и mike 1 за оперативную техническую поддержку. На данный момент проблема устранена полностью. :pioner:


  • 0
  • Согласен x 1
  • Показать

#11 OFF   akoK

akoK

    Ёж птица гордая.

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPip
  • Cообщений: 1 944

Отправлено 26 Июнь 2019 - 18:26

Мы были рады Вам помочь!
Надеемся, что Вы остались довольны результатом.
На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить компьютерные технологии, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно!
Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы!
Будем рады видеть Вас в наших рядах!
Всегда ваш, фан-клуб "Лаборатории Касперского".


  • 0

Microsoft MVP 2012, 2013, 2014, 2015 Consumer Security
Windows Insider MVP 2016-2019


#12 OFF   mike 1

mike 1

    Мурзик

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 13 476

Отправлено 27 Июнь 2019 - 23:28

В MBAM удалите все найденное. Смените все пароли. Смените пароль от RDP. Закройте подключение извне по RDP, сделайте чтобы можно было подключаться только через VPN к серверу. 


  • 0





Темы с аналогичными тегами: doubleoffset, 3nity@tuta.io, tuta.io

Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных