Перейти к содержанию

Рекомендуемые сообщения

Словил на сервере вирус, файлы из программы FRST прикрепил

Есть ли шансы на расшифровку?

Добрый день,

 

Похоже на разновидность Dharna, для нее к сожалению расшифровки нет.

 

Для удаление шифровальщик и хвостов, выполните следущий фикс.

 

  • Закройте и сохраните все открытые приложения.
  • Выделите следующий код::

    Start::
    CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
    CreateRestorePoint:
    CloseProcesses:
    File: C:\Windows\System32\1btc.exe
    HKLM\...\Run: [1btc.exe] => C:\Windows\System32\1btc.exe [94720 2020-03-19] () [File not signed]
    Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1btc.exe [2020-03-19] () [File not signed]
    Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2020-03-19] () [File not signed]
    Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\1btc.exe [2020-03-19] () [File not signed]
    2020-03-19 16:49 - 2020-03-19 16:49 - 000000166 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
    2020-03-19 16:49 - 2020-03-19 16:49 - 000000166 _____ C:\ProgramData\Desktop\FILES ENCRYPTED.txt
    2020-03-19 16:49 - 2020-03-19 16:49 - 000000166 _____ C:\FILES ENCRYPTED.txt
    2020-03-19 16:26 - 2020-03-19 16:34 - 000094720 _____ C:\Windows\system32\1btc.exe
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST/FRST64 (от имени администратора).
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). .
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Anatoliy  Murtazin
      От Anatoliy Murtazin
      сервер поймал шифровальщика, пример заражённого файла   
      TeamViewerQS.exe.id-8216B2FD.[bitcoin@email.tg].ncov
      Samsung_SCX-4x24_Series_Scan.exe.id-8216B2FD.[bitcoin@email.tg].ncov
      есть ли лекарство от него???
      премного благодарен, в серваке документы отдела закупок , я их уже обрадовал что шансов нет   , но все же...

      забыл файлы приложить

      AutoLogger-test  

      поставил самантек, он нашел в учётке вирусню, через которую и заполз вирус. C:\Users\elizovo\AppData\Roaming\ . он его детектировал как Ransom.Crysis
      он пока сидит в него в карантине, если он поможет при восстановлении файлов, могу выслать, или что можно сделать.

      скрин
      Addition.rar
      FRST.rar
      CollectionLog-2020.03.10-11.39.zip

    • alexshav
      От alexshav
      Добрый день!
      Увидел на диске файлы с расширением 
      [bitcoin@email.tg].ncov
      Выключил комп, пока не пойму откуда произошло заражение и шифрование.
      В режиме восстановления утилитой FRST собрал лог, прикрепил.
      Дальше не пойму как действовать, какой утилитой все попробовать удалить... На компьютере работает "Kaspersky Internet Security 2020", но есть ли у них помощь в удалении вирусов пока тоже не понял.

      Извиняюсь сразу не прикрепит логи, исправляюсь
      FRST.txt
      CollectionLog-2020.04.01-16.44.zip
    • Станислав Абелев
      От Станислав Абелев
      сервер поймал шифровальщика, логи прикрепляю
      заранее спасибо!
      CollectionLog-2020.03.10-16.54.zip
    • Абркадабр
      От Абркадабр
      На рабочей машине вирус с расширением ncov
       
      Текст шифровальщика:
      all your data has been locked us
      You want to return?
      Write email bitcoin@email.tg
       
      После скана kvrt результат:


       
      Файлы FRST во вложении
      FRST.txtAddition.txt
       
      Есть ли шансы на расшифровку, если да, то какие?
    • VID1234
      От VID1234
      Здравствуйте. Шифровальщик проник во все документы, базы 1С и программы с подобным нож.jpg.id-E77697FB.[bitcoin@email.tg].ncov расширением. 
      CollectionLog-2020.03.02-15.09.zip
×
×
  • Создать...