Перейти к содержанию

Помогите, шифровальщик da_vinci_code

vvaterfox
 Share Подписчики 0

Рекомендуемые сообщения

vvaterfox

vvaterfox 0

Опубликовано
Опубликовано

Добрый день!

 

Зашифрованы все офисные и текстовые файлы в виде mJC13dOHPNuKgQoLM8auqw==.04A0A0F254DC47C59B99.da_vinci_code и конечно же появились файлы README.

 

С огромным уважением))

CollectionLog-2016.05.16-15.26.zip

README.zip

Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

Ну и кто на сервере запустил шифровальщик?

 

Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы, выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните лог в формате txt и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

Как маленькие дети прям. 

 

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Quarantine" ("Карантин" - смотрите, что удаляете).
 
Файлы: 20
Worm.AutoRun, C:\WINDOWS\system32\6F786E\dp1.fne, , [10836e68b4e5b97d08cdd5403ec6ae52], 
Worm.AutoRun, C:\WINDOWS\system32\6F786E\eAPI.fne, , [a1f204d2fe9b0a2caf1fee27d52f02fe], 
Trojan.Agent, C:\WINDOWS\system32\6F786E\internet.fne, , [b4df2ea8e2b77db95aabe70753b04ab6], 
Trojan.Agent, C:\WINDOWS\system32\6F786E\krnln.fnr, , [ade66e683a5f0135d4c02fcc5ba86d93], 
Worm.AutoRun, C:\WINDOWS\system32\6F786E\RegEx.fnr, , [a8ebd2045c3d2d095355797f857c2cd4], 
 
Обратите внимание! Для остальных объектов выберете действие "Ignore" ("Игнорировать").
 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
 
 
Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

Хороший у вас бухгалтер с правами админа сидит.

 

Антивирус Касперского 6.0 для Windows Servers (HKLM\...\{1B419CE6-A1AA-4207-8581-A414BE9C7B85}) (Version: 6.0.4.1424 - Лаборатория Касперского)

Антивирус уже давно снят с поддержки. К нему и базы уже не выпускают. Обновляйтесь до KES 10! Переход на новую версию бесплатный.
 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
HKLM\...\Policies\Explorer\Run: [pwldnafvgqer] => C:\DOCUME~1\buh1\LOCALS~1\Temp\ymihysebtkfzkouetzg.exe
HKLM\...\Policies\Explorer\Run: [scupcsathulbiik] => navtjcnjaqkdnqvesx.exe
2016-05-12 21:30 - 2016-05-12 21:30 - 03888054 _____ C:\Documents and Settings\buh1\Application Data\75EDC3D075EDC3D0.bmp
2016-05-12 14:21 - 2016-05-13 11:03 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2012-09-07 09:43 - 2012-09-07 09:43 - 0004088 ____H () C:\Program Files\owmfqekbnynbgeeirrsbjzsdrxoalaotrrv.efo
2012-09-07 09:45 - 2012-09-07 16:39 - 0001016 ____H () C:\Program Files\pwldnafvgqervsrucbbjqfxhuzpakylpml.wvv
2012-09-07 09:44 - 2012-09-07 16:38 - 0000316 ____H () C:\Program Files\scupcsathulbiikqbdgrbtobrzsgtkahhjpac.qas
2012-09-07 09:44 - 2012-09-07 09:44 - 0000073 ____H () C:\Program Files\xibxlclfuiarzadkwzdpatpdudxmasjrsvcorv.slh
2012-09-07 09:43 - 2012-09-07 16:39 - 0000272 ____H () C:\Program Files\fchppsntuuybvixqodtrotbb.zfg
C:\Documents and Settings\buh1\Local Settings\Temp\2SKKKKKKK.exe
Task: C:\WINDOWS\Tasks\At1.job => C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\buh1\LOCALS~1\Temp\31582562aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hostsSYSTEMСоставлено NetScheduleJobAdd.0ߝÙ㹶쀕Ꮳ␿揵勒畮쉯鈂ꨇ鬺἟⁡僗৻篳띏ŰߺⲐ祪쑺ㄶ함㿌蒊围譅㯨ᘻ <==== ATTENTION
Task: C:\WINDOWS\Tasks\At2.job => C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\buh1\LOCALS~1\Temp\31642468aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hostsSYSTEMСоставлено NetScheduleJobAdd.0ߝÙ윉雦显䀀몈ރ桿婝躈赀璟渾ꗮ쮡⡌狺힬ꃣ㘳鉉砂✏覘担촨 <==== ATTENTION
Hosts:
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\owmfqekbnynbg]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\rpcsrv]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\xibxlclfuiarzadk]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ymihysebtkfzkouetzg]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{AB7B4DC3-6E1F-7E15-7235-0AA0D1B36AF8}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{C111931F-A8D0-1824-A1EB-C7159B3A6902}]
StandardProfile\AuthorizedApplications: [C:\WINDOWS\system32\svchost.exe] => Enabled:Windows Debugger 32
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
 
 
Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 093

Опубликовано
Опубликовано

Злоумышленники очень любят таких как Вы потому что с тех, кто халатно относится к информационной безопасности можно стряхнуть неплохие деньги за человеческую глупость. У вас мало того, что антивирус установлен, который уже снят с поддержки, так еще совершенно безобразным образом настроены права у обычных пользователей. Бухгалтер должен сидеть с правами пользователя, а сидит с правами админа. Мне если честно некоторых таких пользователей не жалко. 

 

Пишите запрос  http://forum.kasperskyclub.ru/index.php?showtopic=48525

 

Для повышения уровня компьютерной грамотности ознакомьтесь с этим:
 
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем

  • Похожий контент

    • Дмитрий_Дмитрий
      Помогите удалить вирус
      От Дмитрий_Дмитрий
      Здравствуйте, помогите удалить вирус пожалуйста! Farbar Recovery Scan Tool - результат в файле
      S2 GoogleUpdateTaskMachineQC; C:\ProgramData\Google\Chrome\updater.exe [5327128 2024-04-17] (Google LLC -> ) [Файл не подписан] <==== ВНИМАНИЕ
      Downloads.rar
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Sokolov_
      Дикие фризы при расширении окон и микрофризы при скролинге в браузере
      От Sokolov_
      Приветствую! С недавних пор начались беды: При перетаскивании окон, скролинге в браузере и работе приложениях начались микрофризы и зависания.
       
      Например, при перестакивании открытой папки GPU и CPU могут спокойно до 70% процентов нагрузится на 1-2 секунды, а дальше спад.
       
      Но на этом бедствия не закончились - если развернуть диспетчер задач в полный экран и навести курсор на поиск процессов, все процессы, в том числе и диспетчер задач начнут мигать на долю секунды. В приложениях развёртывание вкладок работает вообще ужасно. Будто фпс падает до 0 кадров, а дальше резко восстанавливается - эта же участь касается браузера. Видео предоставлю чуть попозже. Ещё заметил, что когда в папке много файлов, то очень сильно зависает при перетаскивании меню с названием файла, датой создания и тд. 
      Видео чуть попозже предоставлю. 
       
      К слову, sfc scannow и dism online restore не работают - кучу раз уже делал. Даже восстанавливал пк к исходному состоянию... 
       
      Вот тема на прошлый топик:
       
       
    • larmaswed
      самовосстанавливающийся вирус
      От larmaswed
      Недавно обнаружил на ПК вирус updater.exe, путь: C:\Program Files\Google\Chrome\updater.exe. При попытке удалить, он сразу восстанавливается, перепробовал много способов, скачивал различные программы анти-вирусы, копался в реестре, ничего не помогло. Сканировался через malwarebytes, UnHuckMe, 360 total security.  

    • Jigglypuff
      [РЕШЕНО] Вирус HEUR:Trojan.Multi.GenAdur.gen
      От Jigglypuff
      Здравствуйте, Kaspersky Standard выдал обнаружение вируса HEUR:Trojan.Multi.GenAdur.gen, можете посмотреть пожалуйста логи. Как-то 2 месяца назад была похожая ошибка с Trojian, и мне сказали, что это просто Касперский агрится на Ads Power (антидетект браузер AdsPower для мультиаккаутинга, СММ, арбитража). Сейчас такая же проблема, или есть какой-то вирус:

      Событие: Объект вылечен
      Пользователь: DESKTOP-LEI20ML\serge
      Тип пользователя: Активный пользователь
      Компонент: Антивирусная проверка
      Результат: Вылечено
      Описание результата: Вылечено
      Тип: Троянское приложение
      Название: HEUR:Trojan.Multi.GenBadur.gena
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Файл
      Имя объекта: SunBrowser.exe
      Путь к объекту: proc:\C:\Users\serge\AppData\Roaming\adspower_global\cwd_global\chrome_115

      И если написано: Результат: Вылечено, может ли он появится снова если его удалило, и вы ничего в логах не найдёте странного? 

      Заранее спасибо
      CollectionLog-2024.04.16-02.03.zip
    • Dmitriyln
      Не могу открыть сайты с антивирусным ПО
      От Dmitriyln
      Не могу открыть сайты с антивирусным ПО. Провел проверку Dr.Web CureIt!, некоторые вирусы ПО не удалило. Компьютер работает не так быстро, как это было раньше. 
      CollectionLog-2024.04.15-22.11.zip
×
×
  • Создать...