Перейти к содержимому


Фотография
- - - - -

файлы зашифрованы @cock.li.ver-CS1.6.id-.fname-имя файла.cs16

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


Сообщений в теме: 16

#1 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 04 Сентябрь 2019 - 12:20

Здравствуйте, имеющие возможность помочь!

Файлы на компьютере зашифрованы и имеют вид email-mryoba@cock.li.ver-CS1.6.id-.fname-имяфайла.cs16
Есть файл README с текстом "descrypt files? write to mryoba@cock.li or telegram @helprestore"

К компьютеру имелся доступ по RDP.

Заблокированы пароли учетных записей пользователей компьютера кроме одной.

После сброса административного пароля в диспетчере задач обнаружено запущенное приложение EaseFilter Folder Locker(V4.5.1.0) Эту программу я не устанавливал.

Сейчас компьютер отключили от LAN и интернета.

Файлы, по аналогии с похожими темами, прилагаю.

Что-то можно сделать?

Прикрепленные файлы


  • 0

#2 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 788

Отправлено 04 Сентябрь 2019 - 13:06

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','64');
 DeleteSchedulerTask('Microsoft\Windows\EntityFramework2\NetFramework');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','32');
ExecuteSysClean;
 ExecuteRepair(9);
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:
 
begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KL-).


Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
Прикрепите к следующему сообщению свежий CollectionLog.

Дополнительно:
  • Загрузите GMER по одной из указанных ссылок:
    Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
  • Временно отключите драйверы эмуляторов дисков.
  • Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
  • Начнется экспресс-проверка. Если появится окно с сообщением о деятельности руткита, нажмите No.
  • Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
  • Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
  • После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробную инструкцию читайте в руководстве.

Сообщение отредактировал Sandor: 04 Сентябрь 2019 - 13:07

  • 0
Изображение

#3 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 04 Сентябрь 2019 - 19:43

На момент заражения на компьютере был установлен антивирус ESET. Я так понял, что с него и начали)))

Сейчас, для решения проблемы и предотвращения её появления в будущем, куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки.

Файл quarantine.zip отправлен на newvirus@kaspersky.com Ответ ниже.

Прикладываю новые логи.

Да, если это имеет значение, то атакованная операционная система Windows7 была установлена в раздел Bootcamp на MAC, и если загрузить компьютер в MacOS, то появляется доступ к папкам, которые недоступны в настоящий момент на Windows.
Возможно, какие-то файлы могут помочь?


ОТВЕТ Лаборатории Касперского

Re: файл quarantine.zip [KLAN-10980885254]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы и ссылки были проверены в автоматическом режиме
В перечисленных файлах обнаружена программа Riskware, которая может причинить вред вашему устройству:
Nciye.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen
Mvixa.exe - not-a-virus:HEUR:RiskTool.MSIL.BitCoinMiner.gen
В антивирусных базах информация по присланным вами файлам отсутствует:
lnterrupts.exe
 

Прикрепленные файлы


Сообщение отредактировал Komboskyni: 04 Сентябрь 2019 - 19:43

  • 0

#4 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 788

Отправлено 05 Сентябрь 2019 - 08:25

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
  • 0
Изображение

#5 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 05 Сентябрь 2019 - 08:50

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

Сделать это ещё раз, или подойдут файлы, прикрепленные в первом посте?


  • 0

#6 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 788

Отправлено 05 Сентябрь 2019 - 08:57

Конечно еще раз. В системе ведь были изменения.
  • 0
Изображение

#7 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 05 Сентябрь 2019 - 09:19

Вот новые файлы

Прикрепленные файлы

  • Прикрепленный файл  Addition.txt   40,91К   скачиваний 1
  • Прикрепленный файл  FRST.txt   68,28К   скачиваний 1

  • 0

#8 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 788

Отправлено 05 Сентябрь 2019 - 09:31

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION
    HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION
    HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION
    Task: {19AAC6B6-70EA-46EC-B7F7-C1671CC35010} - System32\Tasks\Microsoft\Windows\EntityFramework\NetFramework => C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe
    2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\README.txt
    2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Downloads\README.txt
    2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Documents\README.txt
    2019-08-31 16:12 - 2019-08-31 16:12 - 000000082 _____ C:\Users\SergM\Desktop\README.txt
    2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\Roaming\README.txt
    2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\README.txt
    2019-08-31 15:48 - 2019-08-31 15:48 - 000000082 _____ C:\Users\SergM\AppData\LocalLow\README.txt
    2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\SergM\AppData\Local\README.txt
    2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\Public\README.txt
    2019-08-31 15:07 - 2019-08-31 15:07 - 000000795 _____ C:\Users\Public\Downloads\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Downloads\README.txt
    2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Documents\README.txt
    2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\README.txt
    2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Downloads\README.txt
    2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Documents\README.txt
    2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Desktop\README.txt
    2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\README.txt
    2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\README.txt
    2019-08-31 15:01 - 2019-08-31 15:01 - 000000795 _____ C:\Users\Buhgalter\AppData\LocalLow\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-31 15:01 - 2019-08-31 15:01 - 000000082 _____ C:\Users\Buhgalter\AppData\LocalLow\README.txt
    2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Все пользователи\README.txt
    2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\README.txt
    2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\ProgramData\README.txt
    2019-08-31 14:49 - 2019-08-31 15:06 - 000000795 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-31 14:34 - 2019-08-31 14:51 - 000000795 _____ C:\Users\Buhgalter\AppData\Local\Apps\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-31 14:34 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\Apps\README.txt
    AlternateDataStreams: C:\.fseventsd:Mac_Metadata [42]
    AlternateDataStreams: C:\.Trashes:AFP_AfpInfo [130]
    AlternateDataStreams: C:\.Trashes:Mac_Metadata [42]
    AlternateDataStreams: C:\Windows\system32\termsrv.dll:AFP_AfpInfo [130]
    AlternateDataStreams: C:\Windows\system32\termsrv.dll:Mac_Metadata [42]
    FirewallRules: [{7D4FB6E5-48E0-4339-B248-E39222156D8F}] => (Allow) C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe No File
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
  • 0
Изображение

#9 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 05 Сентябрь 2019 - 09:40

Готово

Прикрепленные файлы

  • Прикрепленный файл  Fixlog.txt   10,26К   скачиваний 1

  • 0

#10 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 788

Отправлено 05 Сентябрь 2019 - 09:43

куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки

До окончания работы с ТП не удаляйте папку C:\FRST
Результат сообщите здесь, пожалуйста.

Проверьте уязвимые места:
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

  • 0
Изображение

#11 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 05 Сентябрь 2019 - 09:59

Зашифрованный компьютер мы отключили от LAN и Интернета, поэтому SecurityCheck выдал предупреждение, что проверка будет проводится из локальных баз.

Прикрепленные файлы


  • 0

#12 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 10 788

Отправлено 05 Сентябрь 2019 - 10:44

------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.0.9600.17358 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя включен (Уровень 4)
Автоматическое обновление отключено
Дата установки обновлений: 2014-11-07 15:58:50
------------------------------- [ HotFix ] --------------------------------
HotFix KB3020369 Внимание! Скачать обновления
HotFix KB3125574 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4474419 Внимание! Скачать обновления
HotFix KB4490628 Внимание! Скачать обновления
HotFix KB4484071 Внимание! Скачать обновления
HotFix KB4512486 Внимание! Скачать обновления
HotFix KB4512506 Внимание! Скачать обновления
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft .NET Framework 4.5.1 v.4.5.50938 Внимание! Скачать обновления
PuTTY release 0.71 (64-bit) v.0.71.0.0 Внимание! Скачать обновления
Microsoft Office Access 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком.
Microsoft Office Стандартный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office Standard 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
--------------------------- [ AppleProduction ] ---------------------------
iTunes v.12.7.4.80 Внимание! Скачать обновления
^Для проверки новой версии используйте приложение Apple Software Update^
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 24 NPAPI v.24.0.0.186 Внимание! Скачать обновления
Adobe Reader XI (11.0.12) - Russian v.11.0.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.
----------------------------- [ EmailClient ] -----------------------------
The Bat! Professional v4.2.10 v.4.2.10 Внимание! Скачать обновления


Перечисленное желательно исправить/обновить.

Читайте Рекомендации после удаления вредоносного ПО
  • 0
Изображение

#13 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 06 Сентябрь 2019 - 11:45

Ответ службы тех.поддержки: "Уважаемый пользователь, приносим извинения за длительное время обработки вашего запроса. Файлы зашифрованы Trojan-Ransom.Win32.Cryakl. Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной."


  • 0

#14 OFF   Komboskyni

Komboskyni

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 06 Сентябрь 2019 - 15:03

Образцы зашифрованных файлов (с атакованного компьютера)  и их незашифрованных оригиналов.  

Прикрепленные файлы

  • Прикрепленный файл  crypted.zip   168,73К   скачиваний 2

  • 0
  • Спасибо x 1
  • Показать

#15 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 535

Награды

           

Отправлено 13 Сентябрь 2019 - 18:52

Пришлите другие образцы зашифрованных файлов без оригиналов.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif




Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных