Вирус-шифровальщик Enigma

[Dyadya_yasha]

Здравствуйте! Открыли письмо с вложением, и через некоторое время ко всем файлам с известными расширениями (картинки, фотографии, текстовые документы word и таблицы excel и т.д) добавилось расширение .enigma

 

Файл сборщика логов во вложении.

CollectionLog-2016.06.27-20.15.zip

[thyrex]

Открыли письмо с вложением

Вложение сохранилось?

 

Выполните скрипт в AVZ

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ceceffecdafba');
 DeleteFile('C:\Users\32F0~1\AppData\Local\Temp\enigma.hta','32');
ExecuteSysClean;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

[Dyadya_yasha]

 

Открыли письмо с вложением

Вложение сохранилось?

 

Выполните скрипт в AVZ

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ceceffecdafba');
 DeleteFile('C:\Users\32F0~1\AppData\Local\Temp\enigma.hta','32');
ExecuteSysClean;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните ЕЩЕ РАЗ правила и предоставьте НОВЫЕ логи

 

Да, вложение сохранилось, прикрепил к сообщению

CollectionLog-2016.07.05-16.44.zip

[thyrex]

Действующая лицензия на любой из установленных продуктов компании имеется?