Перейти к содержанию

Попался на DA_VINCI_CODE

Артём Бычков

Автор Артём Бычков,
в Помощь в борьбе с шифровальщиками-вымогателями

 Share Подписчики 0

Рекомендуемые сообщения

Артём Бычков

Артём Бычков 0

Опубликовано
Опубликовано (изменено)

Доброе утро.
Вчера попался на такой шифровальщик как DA_VINCI_CODE, все файлы имеют такой тип (пример) 0GrNSAgu44ae-TVB-l+sOKVxZtRZA8ksqh0JaV-e-r47rZbTAQMjEqu8g7gRDL2K.86EA63893814186FC2D9.da_vinci_code
Возникло в следствии установки с программой какого файла с расширения .js (точно не помню) быстро появилось и исчезло.

CollectionLog-2016.09.09-08.14.zip

Изменено пользователем Артём Бычков
Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Здравствуйте,


AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files\NetPanel\IEHelper.dll','');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe','');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe','');
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe','32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)



- Подготовьте лог AdwCleaner и приложите его в теме.
 
Ссылка на сообщение
Поделиться на другие сайты
Артём Бычков

Артём Бычков 0

Опубликовано
  • Автор
Опубликовано (изменено)

KLAN-4989527017

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

IEHelper.dll

Получен неизвестный файл, он будет передан в Вирусную Лабораторию.

csrss.exe - Trojan.Win32.Agent.neumtu
csrss_0.exe - Trojan.Win32.Agent.nevnwq
csrss_1.exe - Trojan.Win32.Fsysna.dwvo

Детектирование файлов будет добавлено в следующее обновление.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"
 

AdwCleanerS0.txt

Изменено пользователем Артём Бычков
Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Ссылка на сообщение
Поделиться на другие сайты
Артём Бычков

Артём Бычков 0

Опубликовано
  • Автор
Опубликовано

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Высылаю Вам отчет об удалении

AdwCleanerC0.txt

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


 

Ссылка на сообщение
Поделиться на другие сайты
Артём Бычков

Артём Бычков 0

Опубликовано
  • Автор
Опубликовано

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

FRST.txt

Addition.txt

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
ShortcutTarget: Sidebar295.lnk ->  (No File)
FF Plugin: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
FF HKU\S-1-5-21-437444882-448683861-2593522589-1000\...\SeaMonkey\Extensions: [mozilla_cc2@internetdownloadmanager.com] - C:\Program Files (x86)\Internet Download Manager\idmmzcc2.xpi => not found
Folder: C:\sh4ldr
2016-09-08 20:15 - 2016-09-09 14:18 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-09-08 20:15 - 2016-09-09 14:18 - 00000000 __SHD C:\ProgramData\Csrss
2016-09-08 20:14 - 2016-09-08 20:14 - 03148854 _____ C:\Users\Бычков-Артем\AppData\Roaming\6439643164396431.bmp
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README9.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README8.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README7.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README6.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README5.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README4.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README3.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README2.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README10.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README1.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-09-08 20:14 - 2016-09-08 20:14 - 00000000 __SHD C:\ProgramData\System32
2016-09-08 17:22 - 2016-09-09 14:18 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-08 17:22 - 2016-09-09 14:18 - 00000000 __SHD C:\ProgramData\Windows
Zip: C:\Users\Бычков-Артем\AppData\RoamingFBX69.exE
2016-09-08 17:22 - 2016-09-08 17:22 - 01053476 _____ C:\Users\Бычков-Артем\AppData\RoamingFBX69.exE
Folder: C:\ProgramData\FLEXnet
Folder: C:\Program Files\Tableau
Folder: C:\Users\Бычков-Артем\AppData\Roaming\Calculator
2016-06-19 10:38 - 2016-06-19 10:38 - 0000000 _____ () C:\Users\Бычков-Артем\AppData\Local\{1DF9BACE-9329-4F10-AA72-368E77BB9189}
2016-01-23 13:49 - 2016-01-23 13:49 - 0000016 _____ () C:\ProgramData\mntemp
Task: {1BCB6FDC-A1F5-4C4D-BFA8-823221D7E351} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {24F7D1F5-C3B3-4653-B502-89A9E49B6B4D} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {3C5225D5-A503-4BC3-A5A2-FAE23AD01C95} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {59343E46-8D7D-41F8-AE89-B66F429BA65A} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {A1DD1D96-11A5-450A-A9FE-C4C0887BFD24} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {A8E4FD6D-1C1A-4940-95CF-8577747BCB1F} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {B6F62AAC-27AB-4F5E-B393-F8C202E6E1CD} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {C18E5BEE-D6B4-444B-8F4E-5BCBC7063FA5} - \Microsoft\Windows\E8735C08-1481-4484-A592-B4D61A83A831 -> No File <==== ATTENTION
Task: {CAC7F58B-C240-4ECB-B920-5416D7F7D417} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {F103D02A-C10C-4C52-8AC8-A75CD57B620B} - \CCleanerSkipUAC -> No File <==== ATTENTION
Task: {F7E2187A-1EA1-4805-A0D9-966DF718DFC3} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {F85BA4A6-7316-4183-AA89-C9299E1BEA33} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {F90AC730-D343-4C96-9FAC-F0BD38C15D97} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
ShortcutWithArgument: C:\Users\Бычков-Артем\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk ->
C:\Windows\explorer.exe (Microsoft Corporation) -> "hxxp://etranka.ru/?utm_source=startlink03&utm_term=1C51DE264095B121B3A38F326D8493CE"
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [136]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [136]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

     

    Файл Upload.zip с рабочего стола отправьте на newvirus@kaspersky.com.

Ссылка на сообщение
Поделиться на другие сайты
Артём Бычков

Артём Бычков 0

Опубликовано
  • Автор
Опубликовано

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
ShortcutTarget: Sidebar295.lnk ->  (No File)
FF Plugin: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
FF HKU\S-1-5-21-437444882-448683861-2593522589-1000\...\SeaMonkey\Extensions: [mozilla_cc2@internetdownloadmanager.com] - C:\Program Files (x86)\Internet Download Manager\idmmzcc2.xpi => not found
Folder: C:\sh4ldr
2016-09-08 20:15 - 2016-09-09 14:18 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-09-08 20:15 - 2016-09-09 14:18 - 00000000 __SHD C:\ProgramData\Csrss
2016-09-08 20:14 - 2016-09-08 20:14 - 03148854 _____ C:\Users\Бычков-Артем\AppData\Roaming\6439643164396431.bmp
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README9.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README8.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README7.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README6.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README5.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README4.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README3.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README2.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README10.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00002722 _____ C:\Users\Бычков-Артем\Desktop\README1.txt
2016-09-08 20:14 - 2016-09-08 20:14 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-09-08 20:14 - 2016-09-08 20:14 - 00000000 __SHD C:\ProgramData\System32
2016-09-08 17:22 - 2016-09-09 14:18 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-08 17:22 - 2016-09-09 14:18 - 00000000 __SHD C:\ProgramData\Windows
Zip: C:\Users\Бычков-Артем\AppData\RoamingFBX69.exE
2016-09-08 17:22 - 2016-09-08 17:22 - 01053476 _____ C:\Users\Бычков-Артем\AppData\RoamingFBX69.exE
Folder: C:\ProgramData\FLEXnet
Folder: C:\Program Files\Tableau
Folder: C:\Users\Бычков-Артем\AppData\Roaming\Calculator
2016-06-19 10:38 - 2016-06-19 10:38 - 0000000 _____ () C:\Users\Бычков-Артем\AppData\Local\{1DF9BACE-9329-4F10-AA72-368E77BB9189}
2016-01-23 13:49 - 2016-01-23 13:49 - 0000016 _____ () C:\ProgramData\mntemp
Task: {1BCB6FDC-A1F5-4C4D-BFA8-823221D7E351} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {24F7D1F5-C3B3-4653-B502-89A9E49B6B4D} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {3C5225D5-A503-4BC3-A5A2-FAE23AD01C95} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {59343E46-8D7D-41F8-AE89-B66F429BA65A} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {A1DD1D96-11A5-450A-A9FE-C4C0887BFD24} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {A8E4FD6D-1C1A-4940-95CF-8577747BCB1F} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {B6F62AAC-27AB-4F5E-B393-F8C202E6E1CD} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {C18E5BEE-D6B4-444B-8F4E-5BCBC7063FA5} - \Microsoft\Windows\E8735C08-1481-4484-A592-B4D61A83A831 -> No File <==== ATTENTION
Task: {CAC7F58B-C240-4ECB-B920-5416D7F7D417} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {F103D02A-C10C-4C52-8AC8-A75CD57B620B} - \CCleanerSkipUAC -> No File <==== ATTENTION
Task: {F7E2187A-1EA1-4805-A0D9-966DF718DFC3} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {F85BA4A6-7316-4183-AA89-C9299E1BEA33} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {F90AC730-D343-4C96-9FAC-F0BD38C15D97} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
ShortcutWithArgument: C:\Users\Бычков-Артем\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk ->
C:\Windows\explorer.exe (Microsoft Corporation) -> "hxxp://etranka.ru/?utm_source=startlink03&utm_term=1C51DE264095B121B3A38F326D8493CE"
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [136]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [136]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

     

    Файл Upload.zip с рабочего стола отправьте на newvirus@kaspersky.com.

 

 

Прикрепляю файл

Письмо с архивом отправил на почту

Fixlog.txt

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

При наличии лицензии на продукты Лаборатории Касперского создайте заявку согласно инструкции, но гарантий никто не даст о том, что помогут с расшифровкой.

Ссылка на сообщение
Поделиться на другие сайты
Артём Бычков

Артём Бычков 0

Опубликовано
  • Автор
Опубликовано

При наличии лицензии на продукты Лаборатории Касперского создайте заявку согласно инструкции, но гарантий никто не даст о том, что помогут с расшифровкой.

Спасибо.

Вопрос: а у кого-нибудь восстанавливались файлы? не знаете? 

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Вопрос: а у кого-нибудь восстанавливались файлы? не знаете?

По данному типу шифровальщика, нет информации о положительных случаях расшифровки.
  • Согласен 1
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем
×
×
  • Создать...