Перейти к содержанию

Шифровальщик Shuriken

Ivannnnnn
 Share

Рекомендуемые сообщения

Ivannnnnn Новичок

Ivannnnnn

Опубликовано
Опубликовано (изменено)

Здравствуйте, подцепил вирус Shuriken зашифровал файлы, сделали сканирование с помощью программы FRST, после сканирования прога выдала эти файлы, что они значат и что можно сделать?

 

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
safety Ветеран

safety

Опубликовано
Опубликовано (изменено)

Файлы логов FRST либо битые, либо модифицированные - нечитабельные.

 

Возможно в системе есть активные файлы шифровальщика.

 

Добавьте дополнительно образ автозапуска системы в uVS.

(по возможности, сделайте из безопасного режима системы - SafeMode.)

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
safety Ветеран

safety

Опубликовано
Опубликовано (изменено)

Выполняем очистку системы в uVS:

 

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу без перезагрузки. 

;uVS v4.15.3v [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\PICTURES\S\C.EXE
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\PICTURES\WMI\X64\MIMIDRV.SYS
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WVTYMCOW.BAT
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\READ-ME-SHURKEWIN.TXT
ZOO %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\APPDATA\ROAMING\WINLOGON.EXE
ZOO %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WINLOGON.EXE

;---------command-block---------
delref %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\PICTURES\WMI\X64\MIMIDRV.SYS
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[DECRYPTION@COCK.LU][E00FDE43]DESKTOP.INI.SHURIKEN
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[DECRYPTION@COCK.LU][E00FDE43]WINLOGON.EXE.SHURIKEN
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\READ-ME-SHURKEWIN.TXT
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WVTYMCOW.BAT
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\PICTURES\S\C.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\APPDATA\ROAMING\WINLOGON.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-MURLTS1HQQM\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WINLOGON.EXE
apply
czoo
QUIT

Архив ZOO_дата_время.7z из папки, откуда запускали uVS загрузите на облачный диск и дайте ссылку на скачивание в ЛС.

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

 

Далее,

 

Удалите из папки, откуда запускаете FRST все ранее созданные логи.

 

Подготовьте еще раз логи анализа системы при помощи Farbar Recovery Scan Tool.

Загрузите в ваше сообщение файлы FRST.txt, Addition.txt

 

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
safety Ветеран

safety

Опубликовано
Опубликовано (изменено)

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки. 

Start::
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2024-05-13] () [Файл не подписан] <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Task: {6CF6641F-CE6B-46B8-819C-50BA97F5FD62} - System32\Tasks\Shuriken => C:\Windows\system32\config\systemprofile\AppData\Roaming\winlogon.exe  (Нет файла) <==== ВНИМАНИЕ
2024-05-13 08:40 - 2024-05-13 08:40 - 000529920 ___SH C:\ProgramData\winlogon.exe
2024-05-13 08:40 - 2024-05-13 08:40 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
2024-05-13 08:40 - 2024-03-15 21:17 - 000529408 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-05-10 22:49 - 2024-03-15 21:17 - 000529408 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-05-13 08:40 - 2024-05-13 08:40 - 000529920 ___SH () C:\ProgramData\winlogon.exe
2024-05-10 22:49 - 2024-03-15 21:17 - 000529408 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-05-13 08:40 - 2024-03-15 21:17 - 000529408 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-05-13 08:40 - 2024-05-13 08:40 - 000529920 ___SH C:\ProgramData\winlogon.exe
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение.

 

Сделайте после этого еще раз свежие логи FRST для контроля.

 

Файлы с Cpriv  не удаляйте, они необходимы для расшифровки (но при наличие приватного ключа, которого у нас нет)

 

2024-05-13 08:40 - 2024-05-13 08:40 - 000003328 _____ C:\Windows\SysWOW64\Cpriv.Shuriken
2024-05-13 08:40 - 2024-05-13 08:40 - 000003328 _____ C:\ProgramData\Cpriv.Shuriken
2024-05-13 08:40 - 2024-05-13 08:40 - 000003328 _____ C:\Cpriv.Shuriken

 

Важные зашифрованные файлы сохраните на отдельный носитель, возможно в будущем расшифровка станет доступной.
 

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
safety Ветеран

safety

Опубликовано
Опубликовано (изменено)

winlogon.exe

https://www.virustotal.com/gui/file/107100827884e3fbf29c3618891dd173df6e31ecb0cee35f8be89fa500727979?nocache=1

 

Хорошо, судя по fixlog очистка прошла успешно, но сделайте новые логи FRST для контроля+ проверьте ЛС.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
  • 1 month later...
  • Sandor закрыл тема
Гость
Эта тема закрыта для публикации ответов.
 Share
Перейти к списку тем

  • Похожий контент

    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • FineGad
      Шифровальщик WantToCry
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      Шифровальщик BlackBit
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
    • kiso
      Шифровальщик 1C-FILES
      От kiso
      Добрый день, во такого "друга" поймали. Можно что-то предпринять? 
      11.rar FRST_27-12-2024 20.52.38.txt
×
×
  • Создать...