Перейти к содержанию
Правила раздела

атака всплывающих окон

Станислав Грудцын

От Станислав Грудцын
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

Станислав Грудцын Новичок

Станислав Грудцын

Опубликовано
Опубликовано

появилась проблема после подхода моего ребенка к компьютеру, когда появлялись майл ру ,браузеры амиго, менялись сами по себе поисковики, устанавливались сами по себе разные приложения, всплывают окна  после полной проверки anti-virus последней версии, логи и фото прикрепил.Буду признателен Вам

CollectionLog-2016.07.30-22.00.zip

post-39591-0-24715900-1469905806_thumb.png

post-39591-0-68008900-1469905813_thumb.png

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\Microsoft\Macromed\Flash Player\C9021C91-A1F4-47EC-87D0-A5EF95358260\4E216750-7D98-4B32-B91F-25A663C201D8.exe','');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','');
 QuarantineFile('C:\Users\работа\AppData\Local\Microsoft\Extensions\extsetup.exe','');
 DeleteFile('C:\Users\работа\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\extsetup','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\KRB Updater Utility','64');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\Macromed\Flash Player\C9021C91-A1F4-47EC-87D0-A5EF95358260\4E216750-7D98-4B32-B91F-25A663C201D8.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\C9021C91-A1F4-47EC-87D0-A5EF95358260','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Safebrowser','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

6. Логи, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy-x32: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-999772576-3930151370-2413737337-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{48e14d31-674c-4f4c-b9e5-74057c30d6c0}: [NameServer] 87.118.74.138,8.8.8.8
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKLM - No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKLM-x32 - No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-999772576-3930151370-2413737337-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
CHR HKLM-x32\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-07-08]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-09-18]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\denjcdefjebbmlihdoojnebochnkgcin [2015-11-17]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-11-20]
Task: {04DF1B96-6AF6-48BD-8948-D6C894679E50} - \WindowsUpdater -> No File <==== ATTENTION
Task: {05FB95B1-BD5E-4D8A-9645-1A28EB78BDA9} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {06E6B674-43F8-4EAB-B05A-31177EA2D0B5} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {3E36BCC7-F0BC-472A-9847-3A59545064D4} - \WindowsUpdater4 -> No File <==== ATTENTION
Task: {481A87DE-C2D7-4B8E-80A4-1561A84CC649} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {486C06DC-AAAC-4C64-957C-384A8C7C0C63} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {59469DE7-01BF-4BE2-B868-61B97F5046FB} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {63E3A1E9-E2C2-4E95-907B-9447716593DB} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {6A5788F6-0BB2-4962-8752-D4AEBE0AEF75} - \extsetup -> No File <==== ATTENTION
Task: {75651CE1-2425-4574-A90D-65681B8A985D} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {93C4DAC6-7B1F-497D-9D03-9618E2F416CC} - \Safebrowser -> No File <==== ATTENTION
Task: {9B90FF77-AA0D-40A5-BAAF-122F20F5C5B7} - \KRB Updater Utility -> No File <==== ATTENTION
Task: {A0529DEE-4B3D-4299-A2DC-BA037DBC83F3} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {AC0A6375-DC9F-4D4F-AFB1-02F04D4400A7} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {B448CF68-81AD-4656-A351-D60B6892A015} - \Microsoft\Windows\Setup\gwx\rundetector -> No File <==== ATTENTION
Task: {C20B664C-732A-465D-8720-8774B54027A9} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {C53BCBC3-47A1-4E66-9156-2F8399728374} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {C985DB94-16D5-4750-A95F-25F73F68F81B} - \Sosition Reports -> No File <==== ATTENTION
Task: {D477C4C9-EAB3-4C78-99C9-B01837C5F9FA} - \Microsoft\Windows\C9021C91-A1F4-47EC-87D0-A5EF95358260 -> No File <==== ATTENTION
Task: {DBD15CD6-99B7-48E6-9EDF-2FEFAB918A8A} - System32\Tasks\{FA3C5035-ECB7-4808-A350-752F361BC3FA} => pcalua.exe -a C:\Users\работа\Downloads\SpyHunter-Installer.exe -d C:\Users\работа\Downloads
Task: {E0AAB705-FA17-4D06-9841-44C8C7DEE19E} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {F3EE053B-A765-4954-BEC6-24A9284F60B2} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {F8712B5F-CB05-4AB5-BED2-8D2F671E9140} - \Microsoft\Windows\Setup\GWXTriggers\Time-Weekend -> No File <==== ATTENTION
Task: {F98A576E-E9A6-4A6F-A7CF-1DB93B0FE2F7} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
C:\Users\работа\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Станислав Грудцын Новичок

Станислав Грудцын

Опубликовано
  • Автор
Опубликовано

проблема ушла, но, пишу с телефона ответ, т. к на винде в браузере почему-то исчезла кнопка отправить сообщение и диалоговое окно для сообщения

Что с проблемой?

все гуд, спасибо!!!!  не вижу пока вплывающих окон

Ссылка на комментарий
Поделиться на другие сайты
  • 1 month later...
Станислав Грудцын Новичок

Станислав Грудцын

Опубликовано
  • Автор
Опубликовано

Что с проблемой?

добрый день, нужна опять ваша помощь, при включении ПК автозапуск браузера EDGE c дальнейшими вылазками рекламных баннеров (Win10)

Ссылка на комментарий
Поделиться на другие сайты
  • 3 weeks later...
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','');
 QuarantineFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','');
 TerminateProcessByName('C:\Program Files (x86)\WMI Providers\WMI Providers.exe');
 QuarantineFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','');
 DeleteFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','onpgusexlo');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WMIproviders');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
 DeleteFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
 DeleteFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\280jfsYuj3l7','command');
 DeleteFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
Станислав Грудцын Новичок

Станислав Грудцын

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','');
 QuarantineFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','');
 TerminateProcessByName('C:\Program Files (x86)\WMI Providers\WMI Providers.exe');
 QuarantineFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','');
 DeleteFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','onpgusexlo');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WMIproviders');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
 DeleteFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
 DeleteFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\280jfsYuj3l7','command');
 DeleteFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

 

KLAN-5128346278

CollectionLog-2016.10.06-23.53.zip

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • kirill1
      диспетчер окон рабочего стола грузит видеокарту
      От kirill1
      Диспетчер окон рабочего стола грузит видеокарту, переустанавливал виндовс много раз также форматировал полностью диск, проверял на вирусы. Ничего не помогает. Хелп пожалуйста. 

    • KL FC Bot
      История атаки вымогателей на UnitedHealth | Блог Касперского
      От KL FC Bot
      Примерно год назад произошел масштабнейший ransomware-инцидент — атака на гиганта американского медицинского страхования, компанию UnitedHealth Group. Взлом имел настолько многочисленные и серьезные последствия, что все прошедшее с момента атаки время появлялись новые подробности о ходе атаки и ее итогах. К годовщине инцидента мы решили собрать все теперь уже доступные данные в одном материале.
      Ransomware-атака на UnitedHealth Group
      Сперва дадим контекст, который будет в особенности полезен для тех, кто не очень хорошо знаком с данной организацией. UnitedHealth Group — это крупнейшая компания на рынке медицинского страхования и медицинских услуг США. Ее капитализация составляет примерно $500 миллиардов. При этом UnitedHealth Group занимает девятое место по выручке среди всех корпораций мира, следуя в этом списке сразу после Apple.
      В состав UnitedHealth Group входят две компании. Первая из них, UnitedHealthcare, занимается медицинским страхованием. Вторая, Optum, специализируется на предоставлении разнообразных медицинских услуг — от фармацевтики и собственно медицинского обслуживания до ИТ-систем, используемых в здравоохранении.
      Последним занимается OptumInsight — одно из трех подразделений Optum, причем самое высокомаржинальное из них. Осенью 2022 года в OptumInsight вошла приобретенная UnitedHealth Group платформа Change Healthcare. Эта цифровая площадка обрабатывает заявления на получение страховых выплат, выступая в роли финансового посредника между пациентами, поставщиками медицинских услуг и страховщиками.
      Собственно, Change Healthcare и стала непосредственной целью атаки вымогателей: 21 февраля в ее системах начал работать шифровальщик, из-за чего платформа стала недоступна. Это вызвало настоящий хаос в американской системе здравоохранения: из-за невозможности быстрой обработки заявлений на страховые выплаты многие пациенты вынуждены были оплачивать лекарства и медицинские услуги из своего кармана. А медицинским учреждениям пришлось перейти в ручной режим обработки счетов.
      Восстановление пострадавших систем заняло многие месяцы: к примеру, клиринговый сервис Change Healthcare возобновил работу лишь в ноябре. В UnitedHealth Group даже создали специальный сайт, на котором можно следить за восстановительными работами. Даже сейчас, спустя год после атаки, на этом сайте публикуются регулярные обновления, а некоторые системы до сих пор имеют статус «доступна частично».
       
      View the full article
    • KL FC Bot
      Майнер XMRig атакует корпоративных пользователей | Блог Касперского
      От KL FC Bot
      Начиная с 31 декабря наша телеметрия начала фиксировать масштабную активность криптомайнера XMRig. Причем в большинстве случаев запуск зловреда детектировался домашними решениями, но в некоторых — корпоративными. Тщательное исследование проблемы показало, что некие злоумышленники распространяли зловред в торрентах с играми. Целью атаки, скорее всего, были именно геймеры из разных стран, включая Россию, Бразилию и Германию, однако, вероятно в силу того что некоторые сотрудники компаний используют рабочие компьютеры в личных целях, криптомайнер был обнаружен и в корпоративных сетях.
      Вредоносная кампания
      Кампания, ласково названная нашими аналитиками StaryDobry, была тщательно спланирована: вредоносные дистрибутивы создавались и загружались на торренты начиная с сентября по декабрь 2024 года. Разумеется, игры на торрентах были представлены в виде репаков — то есть модифицированных версий программ, в которые авторы раздачи уже встроили средства обхода проверки подлинности копии игры (иными словами, игры были взломаны).
      Пользователи успешно загружали и устанавливали их. До поры до времени троянизированные игры никак не проявляли себя, но 31 декабря они получили команду с удаленного сервера злоумышленников, начали скачивать майнер и запускать его на зараженном устройстве. Троянизированы были версии популярных компьютерных игр-симуляторов Garry’s Mod, BeamNG.drive, Universe Sandbox и некоторых других.
      Мы внимательно исследовали образец зловреда и вот что обнаружили.
      Перед запуском программа проверяет, запускается она в отладочной среде / «песочнице» или нет. Если да — процедура установки немедленно прекращается. Майнер представляет собой слегка модифицированный исполняемый файл XMRig, подробно о котором мы рассказывали в 2020 году. Если количество процессорных ядер устройства меньше 8, то майнер не запускается. Наши продукты детектируют использованные в этой вредоносной кампании зловреды, такие как Trojan.Win64.StaryDobry.*, Trojan-Dropper.Win64.StaryDobry.*, HEUR:Trojan.Win64.StaryDobry.gen. Больше технических подробностей и индикаторы компрометации можно найти в публикации Securelist.
       
      View the full article
    • KL FC Bot
      Атаки шифровальщиков в 2024 году | Блог Касперского
      От KL FC Bot
      В последние годы в блоге Kaspersky Daily мы стали уделять ransomware заметно меньше внимания, чем в былые времена. Но это вовсе не потому, что атаки вымогателей прекратились. Скорее наоборот — такие инциденты происходят настолько часто, что они уже давно стали привычным, практически фоновым явлением.
      Однако некоторые атаки вымогателей по-прежнему привлекают внимание своей экстраординарностью. В этом посте мы перечислим связанные с шифровальщиками-вымогателями инциденты 2024 года, которые выделялись на общем фоне своим масштабом, последствиями или необычными методами атакующих.
      Январь 2024: атака вымогателей на зоопарк Торонто
      Одним из первых значительных инцидентов 2024 года, связанных с ransomware, стала январская атака на крупнейший канадский зоопарк, расположенный в Торонто. Администрация зоопарка поспешила заверить общественность в том, что атака вымогателей не повлияла на работоспособность систем, связанных с уходом за животными. Более того, веб-сайт организации и сервис продажи билетов также не были затронуты, так что зоопарк продолжил принимать посетителей в обычном режиме.
      Официальный сайт зоопарка Торонто сообщает о кибератаке и уверяет, что с животными все в порядке. Источник
      Через некоторое время после атаки выяснилось, что атакующим удалось похитить значительное количество личной информации сотрудников зоопарка за период с 1989 года до наших дней. Таким образом, данный инцидент послужил очередным напоминанием о том, что даже очень далекие от критических секторов организации могут стать объектами атак вымогателей.
       
      View the full article
    • ООО Арт-Гарант
      Атака ELPACO-team
      От ООО Арт-Гарант
      Здравствуйте на группу компаний ООО "Арт-Гарант" была совершена атака вируса ELPACO-team
      Атаке подвергся сервер компании на ОС Windows Server 2008 или Windows Server 2008 R2
      1-я атака состоялась 26.11.2024 18:45-20:33
      2-я атака состоялась 26.11.2024 22:00-23:45
      Обнаружены с начала рабочего дня в 9:00
      3-я атака состоялась 27.11.2024 в около 10:20 до 10:32
      в это же время мы отключили сервер от питания
      в данный момент прилагаю вложениями только зашифрованные файлы, так как нет возможности на момент обращения собрать логи с помощью "Farbar Recovery Scan Tool" (позднее новым сообщением добавлю, как появится уполномоченное лицо с доступом в систему на сервер)

      К вышеуказанному у нас предположение, что атакован в том числе бухгалтерский сервер с базой 1С, т.к. у лица с высшими полномочиями в базе наблюдались большие проблемы с быстродействием. Данный сервер мы отключили от питания в том числе.

      Так  же вопрос, в правилах оформления п4. "Сохраните в отдельном архиве с паролем (virus) файл шифровальщика, если его удалось найти" сказано если удалось найти, как это сделать?

      Архив с паролем (virus).zip
×
×
  • Создать...