Перейти к содержанию
Викторина по домашним продуктам "Лаборатории Касперского"

Вирус зашифровал файлы .xtbl

SergeyAO
 Share Подписчики 1

Рекомендуемые сообщения

SergeyAO

SergeyAO 0

Опубликовано
Опубликовано

Приветсвую всех.

Нужна помощь, вчера вирус зашифровал все файлы в основном документы office, на 4 дисках.

Человеку пришло на почту письмо с документом по работе, но неизвестно от кого, открыли документ пустая страница ничего нет, и через некоторое время на экране сообщение, ваши файлы зашифрованы отправьте код на почту.

 

Файл был "Здравствуйте.docx" KAV никак не отреагировал, на другой машине где были ограничены права пользователя док не открылся, KAV увидел в "здравствуйте.docx/word/embeddings/oleObject1.bin/C:/Users/836D~1/AppData/Local/Temp/PEWER POINT PRESENTATION.exe".

 

Kaspersky Virus Removal Tool нашел Trojan-Ransom.Win32.Shade.ur.

Утилита TDSSKiller для борьбы с руткитами ничего не обнаружил.

 

Очень много информации, и важных документов, жду помощи, спасибо.

CollectionLog-2015.09.22-11.30.zip

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 047

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на сообщение
Поделиться на другие сайты
SergeyAO

SergeyAO 0

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

 

Отчеты

FRST.txt

Addition.txt

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 047

Опубликовано
Опубликовано
Деинсталлируйте:
 

Search App by Ask
Shopping App by Ask
 
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKLM\...\Run: [ApnTBMon] => C:\Program Files\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe [1934744 2015-01-31] (APN)
HKU\S-1-5-21-107623766-188462150-4226987160-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.search.ask.com/?tpid=ORJ-ST-SPE&o=APN11461&pf=V7&trgb=IE&p2=%5EBE7%5EOSJ000%5EYY%5ERU&gct=hp&apn_ptnrs=BE7&apn_dtid=%5EOSJ000%5EYY%5ERU&apn_dbr=ie_8.0.7601.17514&apn_uid=96AEECC7-52C4-46DB-BC67-2D6B4E1222C6&itbv=12.24.1.53&doi=2015-03-03&psv=&pt=tb
URLSearchHook: HKU\S-1-5-21-107623766-188462150-4226987160-1000 - SearchHook Class - {D8278076-BC68-4484-9233-6E7F1628B56C} - C:\Program Files\AskPartnerNetwork\Toolbar\searchhook.dll (APN LLC.)
SearchScopes: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> DefaultScope {D0765D3F-59FD-4096-A66F-74C71EACA5E9} URL = hxxp://www.search.ask.com/web?tpid=ORJ-ST-SPE&o=APN11461&pf=V7&p2=^BE7^OSJ000^YY^RU&gct=sb&itbv=12.24.1.53&apn_uid=96AEECC7-52C4-46DB-BC67-2D6B4E1222C6&apn_ptnrs=BE7&apn_dtid=^OSJ000^YY^RU&apn_dbr=ie_8.0.7601.17514&doi=2015-03-03&trgb=IE&q={searchTerms}&psv=&pt=tb
SearchScopes: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> {D0765D3F-59FD-4096-A66F-74C71EACA5E9} URL = hxxp://www.search.ask.com/web?tpid=ORJ-ST-SPE&o=APN11461&pf=V7&p2=^BE7^OSJ000^YY^RU&gct=sb&itbv=12.24.1.53&apn_uid=96AEECC7-52C4-46DB-BC67-2D6B4E1222C6&apn_ptnrs=BE7&apn_dtid=^OSJ000^YY^RU&apn_dbr=ie_8.0.7601.17514&doi=2015-03-03&trgb=IE&q={searchTerms}&psv=&pt=tb
BHO: Search App by Ask -> {4F524A2D-5350-4500-76A7-7A786E7484D7} -> C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll [2014-10-11] (APN LLC.)
BHO: Shopping App by Ask -> {4F524A2D-5354-2D53-5045-7A786E7484D7} -> C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-ST-SPE\Passport.dll [2015-01-31] (APN LLC.)
Toolbar: HKLM - Search App by Ask - {4F524A2D-5350-4500-76A7-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll [2014-10-11] (APN LLC.)
Toolbar: HKLM - Shopping App by Ask - {4F524A2D-5354-2D53-5045-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-ST-SPE\Passport.dll [2015-01-31] (APN LLC.)
Toolbar: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> Search App by Ask - {4F524A2D-5350-4500-76A7-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll [2014-10-11] (APN LLC.)
Toolbar: HKU\S-1-5-21-107623766-188462150-4226987160-1000 -> Shopping App by Ask - {4F524A2D-5354-2D53-5045-7A786E7484D7} - C:\Program Files\AskPartnerNetwork\Toolbar\ORJ-ST-SPE\Passport.dll [2015-01-31] (APN LLC.)
R2 APNMCP; C:\Program Files\AskPartnerNetwork\Toolbar\apnmcp.exe [177560 2015-01-31] (APN LLC.)
2015-09-21 09:21 - 2015-09-21 09:21 - 03932214 _____ C:\Users\BUH1\AppData\Roaming\C58873A9C58873A9.bmp
2015-09-18 16:02 - 2015-09-22 10:30 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-09-18 16:02 - 2015-09-22 10:30 - 00000000 __SHD C:\ProgramData\Windows
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
 
 

 

 

Файл был "Здравствуйте.docx" KAV никак не отреагировал

А должен был? 

Ссылка на сообщение
Поделиться на другие сайты
SergeyAO

SergeyAO 0

Опубликовано
  • Автор
Опубликовано
 

 

 

Файл был "Здравствуйте.docx" KAV никак не отреагировал

А должен был? 

 

 

Не знаю, если на одной машине куда изначально на почту пришло не открылся документ и система сообщила что нет прав "на этой машине в основном с документами работают", за тем они скинули на общий сервер где он благоплучно существовал около часа, и далее они скинули на другую машину где запустили и произошло заражение. После уже на сервере был просканирован и удален.

 

лог

Fixlog.txt

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 047

Опубликовано
Опубликовано

Антивирус Касперского 6.0 для Windows Workstations (HKLM\...\{8F023021-A7EB-45D3-9269-D65264C81729}) (Version: 6.0.4.1424 - Лаборатория Касперского)

http://support.kaspersky.ru/support/lifecycle

 

Ну как бы антивирус снят официально с поддержки. Базы к нему уже не выпускаются, а если и выпускаются, то они не тестируются. Безнадежно устаревшее антивирусное ПО не способно бороться против шифровальщиков. Как-то так. 

 

По расшифровке:

 

Лаборатория Касперского оказывает индивидуальную помощь с этим шифровальщиком, поэтому для создания запроса на расшифровку нужна коммерческая лицензия на наш антивирус. Если у вас есть лицензия на наш антивирус, то тогда вам нужно написать письмо на newvirus@kaspersky.com. Структура вашего сообщения должна быть такой:
 
1. Несколько зашифрованных файлов в архиве.
2. Вложение из письма (желательно)
3. Номер вашей коммерческой лицензии (обязательно).
4. Файл Readme.txt

 

 

Ссылка на сообщение
Поделиться на другие сайты
SergeyAO

SergeyAO 0

Опубликовано
  • Автор
Опубликовано

 

Антивирус Касперского 6.0 для Windows Workstations (HKLM\...\{8F023021-A7EB-45D3-9269-D65264C81729}) (Version: 6.0.4.1424 - Лаборатория Касперского)

http://support.kaspersky.ru/support/lifecycle

 

Ну как бы антивирус снят официально с поддержки. Базы к нему уже не выпускаются, а если и выпускаются, то они не тестируются. Безнадежно устаревшее антивирусное ПО не способно бороться против шифровальщиков. Как-то так. 

 

По расшифровке:

 

Лаборатория Касперского оказывает индивидуальную помощь с этим шифровальщиком, поэтому для создания запроса на расшифровку нужна коммерческая лицензия на наш антивирус. Если у вас есть лицензия на наш антивирус, то тогда вам нужно написать письмо на newvirus@kaspersky.com. Структура вашего сообщения должна быть такой:
 
1. Несколько зашифрованных файлов в архиве.
2. Вложение из письма (желательно)
3. Номер вашей коммерческой лицензии (обязательно).
4. Файл Readme.txt

 

Хорошо, понятно. Спасибо.

Да лицензия есть,

2. Вложение из письма (желательно) это что?

И тему письма какую писать?

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 047

Опубликовано
Опубликовано

Если шифровальщика поймали через почту, то желательно вложение из такого письма. Если нет, то тогда желательно найти сам шифровальщик. 

Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • zoic
      Зашифровали все файлы (Support.team@onionmail.org, Backup.team@cyberfear.com)
      От zoic
      Добрый день! 
      можно ли что-то сделать? 
       
      Добралась до моего рабочего компьютера какая-то "гадость".
      Зашифровала все файлы.
      Написал на указанные адреса, пришел ответ ниже на англ. Прибыльный у них бизнес...)
      Система запускается, но все рабочие файлы и программы "похерены" (((( 
       
      Hello,
      The price for the recovery of your files is (2500 $).
      the payment should be make in BTC

      2500 $ includes the following items:

      1) you will receive the decryption tool and its usage guide,
      2) we will delete all the data we have downloaded from your system,
      3) We will teach you how to secure your system from other ransomware attack,
      4) We will teach your system vulnerabilities tn order to fix them.
       
      your decryption key is ready.

      If the ransom is not paid, the information will be made public on internet.
       
      FRST64_логи.zip требования+файлы.zip
    • Slog_gkh
      Файлы зашифрованы Trojan.Encoder.29750
      От Slog_gkh
      Зашифровали все данные на двух серверах.
      vir.zip Addition.txt FRST.txt
    • IDler
      Расшифровка Wannacash
      От IDler
      Друзья, добрый день!
      Достаточно давно поймали вирус (судя по дате файлов, февраль 2019), после чего сказать сложно. Файлы так и лежали зашифрованными, решили попытать удачу и попробовать найти решение проблемы.
      Переустановки ОС не было. Как объясняет получатель данного вируса, никаких окон блокировок не было, что удивительно. Просто в какой-то момент захотели просмотреть фоточки - однако увы.
      Заранее благодарен.
      Запрос о помощи оформляю впервые, надеюсь без ошибок. 
      Addition.txt FRST.txt kaspersky запрос.zip
    • kiddr
      Вирус-шифровальщик.xtbl, decodefile001@gmail.com или decodefile002@gmail.com
      От kiddr
      Добрый день! Получил по почте письмо от "Бухгалтерии" с прикрепленным архивом (акт передачи и какой то длинный номер), после скачки и извлечения запустил файл. В следствии чего в течении 15 минут на компьютере были зашифрованы все картинки и текстовые файлы-Word в формат .xtbl, а на рабочем столе появилась заставка с координатами вымогателя и сообщение о том что файлы, описанные выше, зашифрованы, плюс текстовый файл формата .txt со следующим текстом:   "Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 1E05A087200D94333D18|0 на электронный адрес decodefile001@gmail.com или decodefile002@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации."   All the important files on your computer were encrypted. To decrypt the files you should send the following code: 1E05A087200D94333D18|0 to e-mail address decodefile001@gmail.com or decodefile002@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.   Еще последствия: в реестре появились ветки с белебердовым именем, которых до этого не существовало. Файл boot.ini отсутствовал, но вместо него был boot.ini.backup, в котором добавлена еще одна строчка связанная с диском "С", но при этом загрузка Windows происходит в обычном режиме за исключением того что при загрузке Доса показана та самая "допонительная" строчка из boot.ini.backup. Возможность загрузки и восстановления, выбора операционки затенена, плюс выдает ошибку о том что не может найти файл boot.ini, зато может создать новый.    Прикрепляю файлы логов, отчет антивируса и ветку реестра.  
      Так же у меня имеется сам вирус-шифровальщик, при необходимости могу прикрепить "эту программу"
      CollectionLog-2015.09.25-10.15.zip
      cureit.rar
      Подозрительная вещь.Ветка того самого Вируса (Самурай-имя фотографий кота).rar
    • Виктория513
      Все ваши файлы зашифрованы AES256 (WannaCash)
      От Виктория513
      Высветилось сообщение, что все значимые  файлы на вашем компьютере были упакованы в архивы при использовании aes-256 битного шифрования. Необходимо связаться по эл. почте для расшифровке за 10000 рублей.
×
×
  • Создать...