Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

файлы расширением .better_call_saul

nicita
 Поделиться

Рекомендуемые сообщения

nicita

nicita

Опубликовано
Опубликовано

Здраствуйте.

Прошу помощи в расшифровке файлов расширением .better_call_saul.

Сегодня утром сотрудник организации открыл файл с неизвестного источника, в последствии все файлы документов на ее компьютере и часть файлов, включая очень важные офисные документы и граф.файлы компьютере - сервере зашифровались расширением .better_call_saul.

 

Лицензия антивир. Касперского (копоративная) выписана на организацию

 

 

 

FRST.txt

CollectionLog-2016.04.25-14.00.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы, выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните лог в формате txt и прикрепите его к следующему посту.

Самостоятельно ничего не удаляйте!!!

Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Ссылка на комментарий
Поделиться на другие сайты
nicita

nicita

Опубликовано
  • Автор
Опубликовано

 

Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы, выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните лог в формате txt и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

 

Подскажите пожалуйста - я логи прикреплял с зараженного пк- сервера, который заразился при обращении к нему изначально зараженного компьютера сотрудника.

Нужны логи именно с того пк , который изначально был заражен ? 

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано

Сервер тоже заражен. По компьютеру сотрудника создайте новую тему и прикрепите только стандартные логи Автологгера. 

Ссылка на комментарий
Поделиться на другие сайты
nicita

nicita

Опубликовано
  • Автор
Опубликовано

Мне важны документы именно сервера, компьютер сотрудника не очень важен.

Логи были прикреплены сервера- вот серверные документы очень важны!!!


 

Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы, выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните лог в формате txt и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

 

 Прикрепил лог.

лог.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано

В MBAM удалите все, кроме:

Файлы: 192
HackTool.AutoKMS, C:\Документы\Программист\Активаторы\KMSAuto Net.exe, , [72944c67940593a35be513f850b2ab55], 
Trojan.FakePDF, C:\Документы\Программист\драйвера\Xerox Phaser 3125\Phaser3125_2K_Vista_PCL6_v3.04.05.03\DATA\SSOpen.exe, , [d135fdb629707bbb427e03d2926e5fa1], 
Trojan.FakePDF, C:\Документы\Программист\драйвера\Xerox Phaser 3125\Phaser3125_2K_Vista_PS_v1.12\DATA\SSOpen.exe, , [ee189c17039692a4bf01ece9b74930d0],
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

 

 

Мне важны документы именно сервера, компьютер сотрудника не очень важен.

У вас сетевые ресурсы могут шифроваться, которые доступны тому сотруднику.

Ссылка на комментарий
Поделиться на другие сайты
nicita

nicita

Опубликовано
  • Автор
Опубликовано (изменено)

@mike 1, В MBAM удалите все, кроме:

Файлы: 192
HackTool.AutoKMS, C:\Документы\Программист\Активаторы\KMSAuto Net.exe, , [72944c67940593a35be513f850b2ab55],
Trojan.FakePDF, C:\Документы\Программист\драйвера\Xerox Phaser 3125\Phaser3125_2K_Vista_PCL6_v3.04.05.03\DATA\SSOpen.exe, , [d135fdb629707bbb427e03d2926e5fa1],
Trojan.FakePDF, C:\Документы\Программист\драйвера\Xerox Phaser 3125\Phaser3125_2K_Vista_PS_v1.12\DATA\SSOpen.exe, , [ee189c17039692a4bf01ece9b74930d0],

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
 
по ошибке удалил все,включая записи выше, извините
прикрепил лог

лог 24042016.txt

Изменено пользователем nicita
Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
nicita

nicita

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

 

Сделал. Прикрепил.

FRST.txt

Addition.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

GroupPolicy: Restriction - Chrome <======= ATTENTION

GroupPolicyScripts: Restriction <======= ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

Task: {4C64BCBF-A65F-4CE5-8C5B-253C18616BEA} - \Funmoods -> No File <==== ATTENTION

Task: {A7DB00ED-F52A-4C46-B490-CB8B2C88FE32} - \SmartWeb Upgrade Trigger Task -> No File <==== ATTENTION

Task: {B902B5CB-C060-49C9-B164-44177E777A45} - \DealPlyUpdate -> No File <==== ATTENTION



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты
nicita

nicita

Опубликовано
  • Автор
Опубликовано (изменено)

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Task: {4C64BCBF-A65F-4CE5-8C5B-253C18616BEA} - \Funmoods -> No File <==== ATTENTION
Task: {A7DB00ED-F52A-4C46-B490-CB8B2C88FE32} - \SmartWeb Upgrade Trigger Task -> No File <==== ATTENTION
Task: {B902B5CB-C060-49C9-B164-44177E777A45} - \DealPlyUpdate -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

После выполнения вышеуказанных действий ПК перегрузился автоматически!!!

 

Fixlog.txt - прикрепил.

upload.zip  - не был создан на Рабочем столе

Fixlog.txt

Изменено пользователем nicita
Ссылка на комментарий
Поделиться на другие сайты
nicita

nicita

Опубликовано
  • Автор
Опубликовано

С сервером закончили. Теперь делайте логи с рабочей станции сотрудника.

 файлы на сервере как были с расширением .better_call_saul, так и остались с этим же расширением !!!Ничего не изменилось!!!

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Fantamax
      Шифровальщик - вымогатор поменял расширение файлов на i54m390g5b4
      Автор Fantamax
      Добрый день. Сегодня в 6 утра вирус поменял расширение у многих файлов и зашифровал. 
      Похожая тема была, но у меня есть бекапы некоторых файлов, можно ли расшифровать (файл бекапа тоже прикрепил в архив):
       
      Addition.txt FRST.txt files.rar
    • rancol347
      [РЕШЕНО] Появляются рекламные вирусы по мнению КВРТ в файлах расширений для хрома и называются bg.js. Хром не использую
      Автор rancol347
      Иногда проверяю компьютер КВРТ и он выдал 2 рекламных вируса/расширения. После лечения с перезагрузкой всё вроде нормально, но если через 2-3 дня проверить снова появляется 1-2 расширения (not-a-virus:HEUR:AdWare.js.extredirect.gen и ещё какой-то, но по названию самый обычный адварь). И могу ли запустить автологгер вместе с защитником виндовс? (я не понял как выгрузить) и компьютер теоретически должен выдержать.
    • Alexxxxx
      У меня РАТ файл
      Автор Alexxxxx
      Я установил РАТ файл случайно 
      По ту сторону вируса со мной связался человек он говорит что у меня установлен dropper и bootkit вместе с rat вирусом он пытался получить доступ к аккаунтам , у некоторых я поменял пароль и отключил интернет кабель, что мне делать
    • Serhio0606
      Проверка файла
      Автор Serhio0606
      Здравствуйте, хотел скачать игру, но «Касперский» посчитал, что в файле-установщике есть вирус ( UDS:DangerousObject.Multi.Generic ). Я почитал про это в интернете и узнал, что он не всегда бывает вирусом, и чтобы проверить, можно отправить файл на форум, где специалисты вручную проверят его на наличие вирусов. Помогите, пожалуйста!
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Компьютерная помощь".
       
      Строгое предупреждение от модератора Mark D. Pearlstone На форуме запрещено размещать вредоносные и потенциально вредоносные файлы и ссылки на них.
       
    • KL FC Bot
      Как вредоносные расширения из Open VSX воровали криптовалюту | Блог Касперского
      Автор KL FC Bot
      Наши исследователи обнаружили в магазине Open VSX несколько поддельных расширений, адресованных разработчикам на Solidity, с вредоносной нагрузкой внутри. Как минимум одна компания стала жертвой злоумышленников, распространяющих эти расширения, и потеряла криптоактивы на сумму около $500 000.
      Об угрозах, связанных с распространением зловредов в open-source-репозиториях, известно давно. Несмотря на это, пользователи редакторов кода с поддержкой искусственного интеллекта — таких как Cursor и Windsurf — вынуждены использовать магазин open-source-решений Open VSX, поскольку другого источника необходимых расширений для этих платформ у них нет.
      Однако в Open VSX расширения не проходят такие же тщательные проверки, как в Visual Studio Code Marketplace, и это дает злоумышленникам возможность распространять под видом легитимных решений зловредное ПО. В этом посте мы расскажем подробности об исследованных экспертами «Лаборатории Касперского» вредоносных расширениях из Open VSX и о том, как предотвратить подобные инциденты в вашей организации.
      Чем рискуют пользователи расширений из Open VSX
      В июне 2025 года блокчейн-разработчик, у которого злоумышленники похитили криптоактивы на сумму около $500 000, обратился к нашим экспертам с просьбой расследовать инцидент. В процессе изучения образа диска с зараженной системой исследователи обратили внимание на компонент расширения Solidity Language для среды разработки Cursor AI, который запускал PowerShell-скрипт — явный признак наличия вредоносной активности.

      Это расширение было установлено из магазина Open VSX, где оно имело десятки тысяч загрузок (предположительно такое количество объясняется накруткой). Согласно описанию, оно якобы помогало оптимизировать работу с кодом на языке для смарт-контрактов Solidity. Однако анализ расширения показал, что никакой полезной функциональности у него не было вообще. Установившие его разработчики посчитали невыполнение заявленных функций багом, не стали разбираться с ним сразу и продолжили работать.
       
      View the full article
×
×
  • Создать...