Перейти к содержимому


Фотография
- - - - -

[РЕШЕНО] Шифровальщик Коронавирус

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Закрытая тема Тема закрыта
Сообщений в теме: 8

#1 OFF   MasterGray

MasterGray

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 17 February 2020 - 04:01

Доброго времени суток! по RDP поймали аналогичный шифровальщик, комп изолировали, вирус все еще работает, AutoLogger запустил в безопасном режиме, прикладываю архив с зашифрованным и оригинальным файлом и логи.

 

[mod='thyrex']Перенесено из темы https://forum.kasper...showtopic=64706[/mod]

Прикрепленные файлы


  • 0

#2 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 15060

Награды

           

Отправлено 17 February 2020 - 07:09

Здравствуйте.

Выполните скрипт в AVZ из папки Autologger
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Ксения\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winhost.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winhost.exe','');
 QuarantineFile('C:\Windows\System32\winhost.exe','');
 DeleteFile('C:\Users\Ксения\AppData\Roaming\Info.hta','32');
 DeleteFile('C:\Windows\System32\Info.hta','32');
 DeleteFile('C:\Windows\System32\winhost.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winhost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C:\Windows\System32\Info.hta');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C:\Users\Ксения\AppData\Roaming\Info.hta');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winhost.exe','32');
 DeleteFile('C:\Users\Ксения\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta','32');
 DeleteFile('C:\Users\Ксения\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winhost.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip загрузите по ссылке https://virusinfo.in...s.php?tid=37678
Полученный после загрузки ответ сообщите здесь.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger (скачайте актуальную версию по ссылке в правилах) в ОБЫЧНОМ режиме загрузки; прикрепите к следующему сообщению НОВЫЕ логи.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#3 OFF   MasterGray

MasterGray

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 17 February 2020 - 09:12

Скрипт в AVZ выполнил, Файл карантина загрузил получив такой ответ

 

 

 

Результат загрузки Файл сохранён как 200217_060932_quarantine_5e4a2e1c91747.zip Размер файла 216119 MD5 ff2e5dcc64f515f342406d851db7bda2 Файл закачан, спасибо!

 

лог после скрипта прилагается

Прикрепленные файлы


  • 0

#4 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 15060

Награды

           

Отправлено 17 February 2020 - 17:17

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.
  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3munStB.png
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#5 OFF   MasterGray

MasterGray

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 18 February 2020 - 02:53

Выполнил по инструкции

Прикрепленные файлы


  • 0

#6 OFF   MasterGray

MasterGray

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 18 February 2020 - 05:20

Жаль что расшифровки нет, буду переустанавливать ОС


  • 0

#7 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 15060

Награды

           

Отправлено 18 February 2020 - 15:16

т.е. в дальнейшей чистке мусора нет необходимости?


  • 0
  • Спасибо x 1
  • Показать
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#8 OFF   MasterGray

MasterGray

    Новичок

  • Новички
  • Cообщений: 6

Отправлено 19 February 2020 - 02:50

Думаю нет, в итоге большинство даже системных файлов зашифровано, спасибо за помощь)


  • 0

#9 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 15060

Награды

           

Отправлено 19 February 2020 - 05:39

Мы были рады Вам помочь!
Надеемся, что Вы остались довольны результатом.
На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить компьютерные технологии, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно!
Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы!
Будем рады видеть Вас в наших рядах!
Всегда ваш, фан-клуб "Лаборатории Касперского".


  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif




Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных