Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Вирус зашифровал файлы ОК ООО "Автохолдинг-Ф"

djazzz
 Поделиться

Рекомендуемые сообщения

djazzz

djazzz

Опубликовано
Опубликовано

Зашифрованы файлы на компьютере руководителя отдела кадров. Рядом с зашифрованными файлами появился txt файл с текстом: 

 

"Унать стоимость декриптора можно, написав письмо на адрес:soldgreens@gmail.com

В ТЕМЕ письма УКАЖИТЕ ВАШ ID:2797723144
Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.
Вы можете их окончательно испортить и даже оригинальный дешифровщик не поможет.
Обращения принимаются до 06.08.2015
После 06.08.2015 любые обращения будут игнорироваться.
Письма обрабатываются автоматической системой."
 
Расширение файлов после шифрования .green
 
Надеемся на скорое решение. Спасибо!

MESSAGE.txt

CollectionLog-2015.08.03-13.59.zip

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Windows\system32\romwln.dll','');
QuarantineFile('C:\ProgramData\Thumbsdb.bat','');
DeleteFile('C:\Windows\system32\romwln.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

djazzz

djazzz

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

Чтобы установить, возможна ли расшифровка данных файлов, нам необходим образец вредоносного ПО, зашифровавшего их. Пожалуйста, пришлите его в архиве с паролем "infected"  (без кавычек). Если Вам необходима помощь в поиске вредоносного шифровальщика, пожалуйста, обратитесь в службу технической поддержки: http://support.kaspersky.ru/helpdesk.html?LANG=ru
Также просьба прислать несколько зашифрованных файлов.

Присланный вами dll-файл не имеет шифрующего функционала.

С уважением, антивирусная лаборатория

 

[KLAN-3026034839]

 

Каким образом я могу найти шифрующий файл. 

И какие мои дальнейшие действия ?

djazzz

djazzz

Опубликовано
  • Автор
Опубликовано

Новый лог.

 

Сообщение от модератора Mark D. Pearlstone
Не выкладывайте quarantine.zip на форум. Файл удалён.
status12

status12

Опубликовано
Опубликовано

 

 


Прикрепленный файл quarantine.zip 1,13К

Обычно требуют:

вложите в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip

thyrex

thyrex

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

B92LqRQ.png

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
HKLM\...\Run: [] => [X]
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\Tasks\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\Drivers\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\Drivers\etc\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system32\config\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:06 - 00000426 _____ C:\Windows\system\MESSAGE.txt
2015-08-03 09:32 - 2015-08-03 10:03 - 00000426 _____ C:\Windows\Minidump\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:03 - 00000426 _____ C:\Windows\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Public\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Public\Downloads\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\Downloads\MESSAGE.txt
2015-08-03 09:31 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\Documents\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\Desktop\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:29 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Personal\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\kiaadmin\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\izatop\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\Documents\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\Desktop\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Roaming\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Default User\AppData\Local\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\Downloads\MESSAGE.txt
2015-08-03 09:28 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\Documents\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\Desktop\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\AppData\Roaming\MESSAGE.txt
2015-08-03 09:23 - 2015-08-03 10:00 - 00000426 _____ C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\Users\Public\Documents\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\Users\Public\Desktop\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:03 - 00000426 _____ C:\ProgramData\Microsoft\Windows\Start Menu\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Все пользователи\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:02 - 00000426 _____ C:\Users\Admin\AppData\Local\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 10:02 - 00000426 _____ C:\ProgramData\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 09:57 - 00000426 _____ C:\Users\Admin\MESSAGE.txt
2015-08-03 09:15 - 2015-08-03 09:57 - 00000426 _____ C:\Users\Admin\AppData\MESSAGE.txt
2015-08-03 09:13 - 2015-08-03 09:56 - 00000426 _____ C:\Program Files\Common Files\MESSAGE.txt
2015-08-03 09:12 - 2015-08-03 09:57 - 00000426 _____ C:\Users\MESSAGE.txt
Reboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

thyrex

thyrex

Опубликовано
Опубликовано

С расшифровкой помогут только злодеи

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • vadimsh
      Вирус шифровальщик green
      Автор vadimsh
      Добрый день!
       
      На компьютер попал вирус шифровальщик, зашифровал практически все форматы файлов (новое расширение .green).
      Есть варианты решения проблемы? Логи в прицепе.
      Addition.txt
      FRST.txt
    • Наталья Пархоменко
      Вирус зашифровал файлы, как решить проблему?
      Автор Наталья Пархоменко
      Добрый день! 
      Сегодня сотрудник принял письмо в котором было резюме в вордовском файле. А в нем был ярлык "два раза кликнуть" картинка под формат pdf, нужно было нажать и открылось резюме в формате pdf. И так запустился вирус. Все файлы с расширение doc, xls, jpg переименовались в "названиефайла.docx.green"
       
      И добавлены текстовые документы с таким текстом:
       
      Унать стоимость декриптора можно, написав письмо на адрес:soldgreens@gmail.com В ТЕМЕ письма УКАЖИТЕ ВАШ ID:4918577755   Убедительная просьба не пытаться расшифровать файлы сторонними инструментами. Вы можете их окончательно испортить и даже оригинальный декриптор не поможет. Обращения принимаются до 14.08.2015 После 14.08.2015 любые обращения будут игнорироваться.   Письма обрабатываются автоматической системой.   Подскажите, пожалуйста - можно восстановить файлы, очень нужно!    CollectionLog-2015.08.11-18.00.zip
    • Ярослав Чеботарёв
      Поймал шифровальщик .neitrino. Что можно предпринять?
      Автор Ярослав Чеботарёв
      Поймал шифровальщик .neitrino. Заметил не сразу, т.к. нужные файлы просматривал редко. Что можно предпринять?
    • gmaxbu
      Помогите расшифровать. Все файлы с .neitrino
      Автор gmaxbu
      Помогите расшифровать. 
      Все файлы зашифрованы с расширением .neitrino
      Есть mesage:
      Запросить стоимость декриптора можно, написав письмо на адрес: mr.anders@protonmail.com 
      В ТЕМЕ письма укажите ваш ID: 7755294152
      Письма без указания ID игнорируются.
      Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.
      Вы можете их окончательно испортить и даже оригинальный декриптор не поможет.
      Приобрести декриптор можно до 14.11.2016
      Заявки обрабатываются автоматической системой.
       
      По логам drweb вирус или trojan.encoder 398 
      или trojan.installcore1903
      CollectionLog-2016.11.15-14.15.zip
    • pro100jludin
      зашифрованы файлы в .neitrino, .vault
      Автор pro100jludin
      после открытия файла с почты зашифровались файлы с раширением .neitrino, .vault
      скан Dr.Web Curelt обнаружил вирус с Trojan.Inject1.34981;
      скан Kaspersky Virus Removal Tool обнаружил вирусы Trojan.Win32.Rector/VBKrypt
      virusinfo_autoquarantine.zip
      CollectionLog-2016.10.26-09.53.zip
×
×
  • Создать...