Перейти к содержанию

Поймал шифровальщика

Andy58
 Share

Рекомендуемые сообщения

Andy58 Новичок

Andy58

Опубликовано
Опубликовано

теперь все нужные файлы имеют название "email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-RVZDGJNQUXAEHKORVYBFILOSVYCGILOQTWZD-10.09.2015 4@02@334670505.randomname-AEHKOSVYBFILOSVYBFILPSVYCFILPS.WYC" или подобное.

CollectionLog-2015.09.14-11.53.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Первый пункт выполняйте в безопасном режиме.

 

 
Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('BdSandBox');
 StopService('BDSafeBrowser');
 StopService('BDMWrench');
 StopService('BDMNetMon');
 StopService('BDFileDefend');
 StopService('BDEnhanceBoost');
 StopService('BDDefense');
 StopService('BDArKit');
 StopService('bd0004');
 StopService('bd0003');
 StopService('bd0002');
 StopService('bd0001');
 QuarantineFile('C:\Program Files\IObit\Driver Booster\DriverBooster.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BDSWShellExt.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BDShellExt.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BdSandBox.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','');
 QuarantineFile('C:\Windows\system32\drivers\BDDefense.sys','');
 QuarantineFile('C:\Windows\System32\Drivers\BDArKit.SYS','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0004.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0003.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0002.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0001.sys','');
 QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.622\BaiduProtect.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','');
 QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','');
 QuarantineFile('C:\Program Files\punto.bat', '');
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('C:\Users\Aleksey\AppData\Local\Yandex.bat','');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.622\BaiduProtect.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS','32');
 DeleteFile('C:\Windows\system32\drivers\BDDefense.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BDShellExt.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BDSWShellExt.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll','32');
 DeleteFile('C:\Program Files\IObit\Driver Booster\DriverBooster.exe','32');
 DeleteFile('C:\Program Files\punto.bat', '32');
 DeleteFile('C:\iexplore.bat', '32');
 DeleteFile('C:\Users\Aleksey\AppData\Local\Yandex.bat','32');
 ExecuteFile('schtasks.exe', '/delete /TN "Driver Booster SkipUAC (Aleksey)" /F', 0, 15000, true);
 DeleteService('BdSandBox');
 DeleteService('BDSafeBrowser');
 DeleteService('BDMWrench');
 DeleteService('BDMNetMon');
 DeleteService('BDFileDefend');
 DeleteService('BDEnhanceBoost');
 DeleteService('BDDefense');
 DeleteService('BDArKit');
 DeleteService('bd0004');
 DeleteService('bd0003');
 DeleteService('bd0002');
 DeleteService('bd0001');
 DeleteService('BDSGRTP');
 DeleteService('BDMRTP');
 DeleteService('BDKVRTP');
 DeleteService('BaiduHips');
 DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
 DelCLSID('{11292110-6F8D-4D56-863C-44902A1E7880}');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(2);
 ExecuteRepair(3);
 ExecuteRepair(4);
RebootWindows(true);
end.
 
 
Компьютер перезагрузится. После перезагрузки, уже в обычном режиме выполните такой скрипт:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com
 
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Файл CheckBrowserLnk.log
из папки

 

...\AutoLogger\CheckBrowserLnk
перетащите на утилиту ClearLNK.
 
move.gif
 
Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 
 
 
Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
Прикрепите отчет к своему следующему сообщению.

 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты
Andy58 Новичок

Andy58

Опубликовано
  • Автор
Опубликовано

Добрый день.

Ответ от newvirus@kaspersky.com:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.   

BdSandBox.sys,
BDMWrench.sys,
BDMNetMon.sys,
BDFileDefend.sys,
BDEnhanceBoost.sys,
bd0003.sys,
bd0002.sys,
bd0001.sys
punto.bat,
Yandex.bat

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

BDSafeBrowser.sys,
BDDefense.sys,
BDArKit.SYS,
bd0004.sys

Вредоносный код в файлах не обнаружен.

С уважением, Лаборатория Касперского

 

 

ClearLNK-14.09.2015_15-27.log

AdwCleanerS3.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).

В меню Настройки отметьте:


Сброс политик IE

Сброс политик Chrome


[*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.

[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.

[*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

Очистите средствами AdwCleaner всё, кроме папок от mail.ru и AVG. Если программами от mail.ru не пользуетесь, то их тоже очистите.

 

 

Далее:


Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочками также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

AdwCleaner приложили не тот лог. Нужен

 

 


C:\AdwCleaner\AdwCleaner[C1].txt

 

Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
start
CreateRestorePoint:
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} ->  No File
Toolbar: HKU\S-1-5-21-1856389700-104378137-3428220523-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF NewTab: yafd:tabs
FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\3.0.0.4605\explugin\npBaiduSDDetectPlug.dll [No File]
2015-04-10 11:24 - 2015-04-10 11:24 - 0000117 ____H () C:\Program Files\diary.bat
2015-04-10 11:24 - 2011-11-14 16:28 - 0204136 ____H (ООО Яндекс) C:\Program Files\diаry.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000119 ____H () C:\Program Files\layouts.bat
2015-04-10 11:24 - 2011-11-14 16:29 - 0033128 ____H (ООО Яндекс) C:\Program Files\lаyоuts.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000114 ____H () C:\Program Files\ps.bat
2015-04-10 11:24 - 2011-11-14 16:29 - 1121640 ____H (ООО Яндекс) C:\Program Files\puntо.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000120 ____H () C:\Program Files\WelcomeToPunto.bat
Reboot:
end
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.
Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

В логах порядок. С расшифровкой, увы, не поможем.

 

Для проверки уязвимого софта:

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • yarosvent
      поймали шифровальщика
      От yarosvent
      Доброго,
      просим помочь расшифровать данные
    • LeraB
      Поймали шифровальщика на несколько серверов
      От LeraB
      Приветствую.
      Поймали шифровальщика, который работает до сих.
      Ничего не переустанавливали и не трогали, проверяем только доступность компьютеров, их работу и ищем, где он еще может работать. Если понятно, что шифровальщик еще где-то работает, то отключаем этот сервер/компьютер.
      Все, что можно спасти, копируем.
      Пострадала почти вся сеть, не только лок.пк и сервера, но и NAS (именно smb)
      Шифровальщик затронул большинство нужных файлов, но не все.
      Логи собрали с одного сервера, примеры файлов с него же.
      Файл шифровальщика пока найти не удалось, как и выяснить все остальное, кроме того, как оно работает с ночи примерно с 00:00 12.12.2024
      FRST.txt Addition.txt архив.zip
    • Алексей Андронов
      Поймали по почте шифровальщик-вымогатель
      От Алексей Андронов
      Добрый день!
       
      Поймали шифровальщика, который работает до сих пор на отключенном от интернета ПК.
      Ничего не переустанавливали и не трогали.
      Все, что можно спасти, копируем.
      Пострадал один ПК и один резервный сменный накопитель.
      Шифровальщик затронул большинство файлов.
      Предположительно получен по почте 02.12.24 под видом акта сверки расчетов
       
      Прошу помощи в излечении и расшифровке
       
      Во вложении логи FRST, архив с документами и запиской вымогателей и, предположительно, дроппер с которого произошло заражение и резидентный модуль
      архив.zip virus.zip Addition.txt FRST.txt
    • DeepX
      Поймали шифровальщика ELPACO-team
      От DeepX
      Прилетел шифровальщик elpaco-team. Зашифровал несколько серверов. Удалил теневые копии. Бэкапы Acronis зашифровал. Сервера в основном Windows Server 2008.
      Логи и примеры зашифрованных файлов прикладываю. Требований не обнаружили пока. Спасибо за помощь!
      Addition.txt FRST.txt files.zip
×
×
  • Создать...