Вирус зашифровал файлы ОК ООО "Автохолдинг-Ф"

3 августа, 2015

Зашифрованы файлы на компьютере руководителя отдела кадров. Рядом с зашифрованными файлами появился txt файл с текстом:

"Унать стоимость декриптора можно, написав письмо на адрес:soldgreens@gmail.com

В ТЕМЕ письма УКАЖИТЕ ВАШ ID:2797723144

Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.

Вы можете их окончательно испортить и даже оригинальный дешифровщик не поможет.

Обращения принимаются до 06.08.2015

После 06.08.2015 любые обращения будут игнорироваться.

Письма обрабатываются автоматической системой."

Расширение файлов после шифрования .green

Надеемся на скорое решение. Спасибо!

MESSAGE.txt

CollectionLog-2015.08.03-13.59.zip

3 августа, 2015

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Windows\system32\romwln.dll','');
QuarantineFile('C:\ProgramData\Thumbsdb.bat','');
DeleteFile('C:\Windows\system32\romwln.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

5 августа, 2015

Здравствуйте,

Чтобы установить, возможна ли расшифровка данных файлов, нам необходим образец вредоносного ПО, зашифровавшего их. Пожалуйста, пришлите его в архиве с паролем "infected" (без кавычек). Если Вам необходима помощь в поиске вредоносного шифровальщика, пожалуйста, обратитесь в службу технической поддержки: http://support.kaspersky.ru/helpdesk.html?LANG=ru
Также просьба прислать несколько зашифрованных файлов.

Присланный вами dll-файл не имеет шифрующего функционала.

С уважением, антивирусная лаборатория

[KLAN-3026034839]

Каким образом я могу найти шифрующий файл.

И какие мои дальнейшие действия ?

5 августа, 2015

Новые логи где?

5 августа, 2015

Новый лог.

Сообщение от модератора Mark D. Pearlstone

Не выкладывайте quarantine.zip на форум. Файл удалён.

5 августа, 2015

Прикрепленный файл quarantine.zip 1,13К

Обычно требуют:

вложите в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip

6 августа, 2015

Сорри! Я уже запутался. Во вложении.

CollectionLog-2015.08.06-13.31.zip

6 августа, 2015

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

6 августа, 2015

Сделал! Файлы во вложении.

Addition.txt

FRST.txt

6 августа, 2015

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
HKLM\...\Run: [] => [X]
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\Tasks\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\Drivers\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\Drivers\etc\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\config\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:03 - 00000426 _____ C:\Windows\Minidump\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:03 - 00000426 _____ C:\Windows\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Public\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Public\Downloads\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\Downloads\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\Documents\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\Desktop\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\Documents\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\Desktop\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\AppData\Roaming\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:00 - 00000426 _____ C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\Users\Public\Documents\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\Users\Public\Desktop\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Все пользователи\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\AppData\Local\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:02 - 00000426 _____ C:\ProgramData\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 09:57 - 00000426 _____ C:\Users\Admin\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 09:57 - 00000426 _____ C:\Users\Admin\AppData\MESSAGE.txt
2015-08-03 09:13 - 2015-08-03 09:56 - 00000426 _____ C:\Program Files\Common Files\MESSAGE.txt
2015-08-03 09:12 - 2015-08-03 09:57 - 00000426 _____ C:\Users\MESSAGE.txt
Reboot:

Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

7 августа, 2015

Готово!

Fixlog.txt

7 августа, 2015

С расшифровкой не поможем

7 августа, 2015

по техническим причинам ?

7 августа, 2015

С расшифровкой помогут только злодеи

Вирус зашифровал файлы ОК ООО "Автохолдинг-Ф"

Рекомендуемые сообщения

djazzz

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

djazzz

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

djazzz

Ссылка на комментарий

Поделиться на другие сайты

status12

Ссылка на комментарий

Поделиться на другие сайты

djazzz

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

djazzz

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

djazzz

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

djazzz

Ссылка на комментарий

Поделиться на другие сайты

thyrex

Ссылка на комментарий

Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Сайт

Активность

Магазин

Поддержка

Kaspersky Support Forum