Перейти к содержанию

Поймал шифровальщика

Andy58
 Поделиться

Рекомендуемые сообщения

Andy58

Andy58

Опубликовано
Опубликовано

теперь все нужные файлы имеют название "email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-RVZDGJNQUXAEHKORVYBFILOSVYCGILOQTWZD-10.09.2015 4@02@334670505.randomname-AEHKOSVYBFILOSVYBFILPSVYCFILPS.WYC" или подобное.

CollectionLog-2015.09.14-11.53.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Первый пункт выполняйте в безопасном режиме.

 

 
Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('BdSandBox');
 StopService('BDSafeBrowser');
 StopService('BDMWrench');
 StopService('BDMNetMon');
 StopService('BDFileDefend');
 StopService('BDEnhanceBoost');
 StopService('BDDefense');
 StopService('BDArKit');
 StopService('bd0004');
 StopService('bd0003');
 StopService('bd0002');
 StopService('bd0001');
 QuarantineFile('C:\Program Files\IObit\Driver Booster\DriverBooster.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BDSWShellExt.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BDShellExt.dll','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BdSandBox.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','');
 QuarantineFile('C:\Windows\system32\drivers\BDDefense.sys','');
 QuarantineFile('C:\Windows\System32\Drivers\BDArKit.SYS','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0004.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0003.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0002.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0001.sys','');
 QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.622\BaiduProtect.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','');
 QuarantineFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','');
 QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','');
 QuarantineFile('C:\Program Files\punto.bat', '');
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('C:\Users\Aleksey\AppData\Local\Yandex.bat','');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnSvc.exe','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.622\BaiduProtect.exe','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
 DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS','32');
 DeleteFile('C:\Windows\system32\drivers\BDDefense.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BDShellExt.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BDSWShellExt.dll','32');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll','32');
 DeleteFile('C:\Program Files\IObit\Driver Booster\DriverBooster.exe','32');
 DeleteFile('C:\Program Files\punto.bat', '32');
 DeleteFile('C:\iexplore.bat', '32');
 DeleteFile('C:\Users\Aleksey\AppData\Local\Yandex.bat','32');
 ExecuteFile('schtasks.exe', '/delete /TN "Driver Booster SkipUAC (Aleksey)" /F', 0, 15000, true);
 DeleteService('BdSandBox');
 DeleteService('BDSafeBrowser');
 DeleteService('BDMWrench');
 DeleteService('BDMNetMon');
 DeleteService('BDFileDefend');
 DeleteService('BDEnhanceBoost');
 DeleteService('BDDefense');
 DeleteService('BDArKit');
 DeleteService('bd0004');
 DeleteService('bd0003');
 DeleteService('bd0002');
 DeleteService('bd0001');
 DeleteService('BDSGRTP');
 DeleteService('BDMRTP');
 DeleteService('BDKVRTP');
 DeleteService('BaiduHips');
 DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
 DelCLSID('{11292110-6F8D-4D56-863C-44902A1E7880}');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(2);
 ExecuteRepair(3);
 ExecuteRepair(4);
RebootWindows(true);
end.
 
 
Компьютер перезагрузится. После перезагрузки, уже в обычном режиме выполните такой скрипт:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com
 
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Файл CheckBrowserLnk.log
из папки

 

...\AutoLogger\CheckBrowserLnk
перетащите на утилиту ClearLNK.
 
move.gif
 
Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 
 
 
Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
Прикрепите отчет к своему следующему сообщению.

 
Подробнее читайте в этом руководстве.
 
Andy58

Andy58

Опубликовано
  • Автор
Опубликовано

Добрый день.

Ответ от newvirus@kaspersky.com:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.   

BdSandBox.sys,
BDMWrench.sys,
BDMNetMon.sys,
BDFileDefend.sys,
BDEnhanceBoost.sys,
bd0003.sys,
bd0002.sys,
bd0001.sys
punto.bat,
Yandex.bat

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

BDSafeBrowser.sys,
BDDefense.sys,
BDArKit.SYS,
bd0004.sys

Вредоносный код в файлах не обнаружен.

С уважением, Лаборатория Касперского

 

 

ClearLNK-14.09.2015_15-27.log

AdwCleanerS3.txt

Sandor

Sandor

Опубликовано
Опубликовано

Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).

В меню Настройки отметьте:


Сброс политик IE

Сброс политик Chrome


[*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.

[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.

[*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

Очистите средствами AdwCleaner всё, кроме папок от mail.ru и AVG. Если программами от mail.ru не пользуетесь, то их тоже очистите.

 

 

Далее:


Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочками также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Sandor

Sandor

Опубликовано
Опубликовано (изменено)

AdwCleaner приложили не тот лог. Нужен

 

 


C:\AdwCleaner\AdwCleaner[C1].txt

 

Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
start
CreateRestorePoint:
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} ->  No File
Toolbar: HKU\S-1-5-21-1856389700-104378137-3428220523-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF NewTab: yafd:tabs
FF Plugin: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files\Baidu\BaiduSd\3.0.0.4605\explugin\npBaiduSDDetectPlug.dll [No File]
2015-04-10 11:24 - 2015-04-10 11:24 - 0000117 ____H () C:\Program Files\diary.bat
2015-04-10 11:24 - 2011-11-14 16:28 - 0204136 ____H (ООО Яндекс) C:\Program Files\diаry.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000119 ____H () C:\Program Files\layouts.bat
2015-04-10 11:24 - 2011-11-14 16:29 - 0033128 ____H (ООО Яндекс) C:\Program Files\lаyоuts.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000114 ____H () C:\Program Files\ps.bat
2015-04-10 11:24 - 2011-11-14 16:29 - 1121640 ____H (ООО Яндекс) C:\Program Files\puntо.bаt.exe
2015-04-10 11:24 - 2015-04-10 11:24 - 0000120 ____H () C:\Program Files\WelcomeToPunto.bat
Reboot:
end
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.
Изменено пользователем Sandor
Sandor

Sandor

Опубликовано
Опубликовано

В логах порядок. С расшифровкой, увы, не поможем.

 

Для проверки уязвимого софта:

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • alexlaev
      Поймали шифровальщик
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • IrinaC
      Поймали шифровальщика
      Автор IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • Insaff
      Поймали Шифровальщика
      Автор Insaff
      Во всех расшареных папках зашифрованы файлы.
      Файлы имеют расширение ELPACO-team-***gCG***
      в некоторых папках лежит письмо с текстом
       
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted by ELPACO-team
      Your decryption ID is *****QR14*ELPACO-team-gCG****
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us
      1) eMail - el_kurva@tuta.io
      2) Telegram - @DataSupport911
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
       
      Написал я им на почту, пришел ответ, что надо заплатить 0,25 биткоина (получается около 1,5 млн)
      Есть ли Возможность у ко-нить за вознаграждение, чуть меньшее)) помочь с этим шифровальщиком.
       
       
      Молотки Можайск.pdf.zip
    • figabra
      Поймал шифровальщик
      Автор figabra
      Добрый день!
       
      Поймал шифровальщик Trojan-Ransom.Win32.Phobos.vho
      Все файлы имеют расширение .deep
      Помогите пожалуйста с расшифровкой.
       
      Заранее спасибо!
       
      Сообщение от модератора kmscom Тема перемещена из раздела Компьютерная помощь  
    • yarosvent
      поймали шифровальщика
      Автор yarosvent
      Доброго,
      просим помочь расшифровать данные
×
×
  • Создать...