Перейти к содержанию

DA_VINCI_CODE из почты.

Адонис
 Share

Рекомендуемые сообщения

Адонис Новичок

Адонис

Опубликовано
Опубликовано

Поймали вирус DA_VINCI_CODE из почты.

Если есть возможность - помогите, пожалуйста,  расшифровать файлы.

Сканирование проведено. Результат прикреплен к сообщению.

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
Адонис Новичок

Адонис

Опубликовано
  • Автор
Опубликовано

Сделали все согласно указанной выше инструкции. Файл отчета в приложении

 

CollectionLog-2016.09.10-11.34.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\www\appdata\roaming\aspackage\aspackage.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-7.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-6.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-5.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-4.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-3.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-11.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-10.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-1-7.exe','');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-1-6.exe','');
 DelBHO('{b931a240-e32a-4f2b-97aa-8b01c8e6aa14}');
 QuarantineFile('C:\Program Files (x86)\Super Great\SuperGreatbho.dll','');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe','');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
 QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe','');
 QuarantineFile('C:\Users\www\AppData\Local\Kometa\kometaup.exe','');
 DeleteService('swsedrvr_vt_1_10_0_25');
 DeleteService('wwfd_vt_1_10_0_24');
 QuarantineFile('C:\Windows\system32\drivers\wwfd_vt_1_10_0_24.sys','');
 QuarantineFile('C:\Windows\system32\drivers\swsedrvr_vt_1_10_0_25.sys','');
 DeleteService('dijojyvi');
 DeleteService('dufymoxi');
 DeleteService('globalUpdate');
 DeleteService('globalUpdatem');
 DeleteService('hemidesi');
 DeleteService('peqesozy');
 DeleteService('Update Super Great');
 DeleteService('Util Super Great');
 QuarantineFile('C:\Program Files (x86)\Super Great\bin\utilSuperGreat.exe','');
 QuarantineFile('C:\Program Files (x86)\Super Great\updateSuperGreat.exe','');
 QuarantineFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\jnsz12ED.tmp','');
 QuarantineFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\knsj7922.tmp','');
 QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
 QuarantineFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\knsu7AC5.tmp','');
 QuarantineFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\hnsj301F.tmp','');
 DeleteFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\hnsj301F.tmp','32');
 DeleteFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\knsu7AC5.tmp','32');
 DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
 DeleteFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\knsj7922.tmp','32');
 DeleteFile('C:\Program Files (x86)\00000000-1444824659-0000-0000-D8CB8A54CFB9\jnsz12ED.tmp','32');
 DeleteFile('C:\Program Files (x86)\Super Great\updateSuperGreat.exe','32');
 DeleteFile('C:\Program Files (x86)\Super Great\bin\utilSuperGreat.exe','32');
 DeleteFile('C:\Windows\system32\drivers\swsedrvr_vt_1_10_0_25.sys','32');
 DeleteFile('C:\Windows\system32\drivers\wwfd_vt_1_10_0_24.sys','32');
 DeleteFile('C:\Users\www\AppData\Local\Kometa\kometaup.exe','32');
 DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe','32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarGameBrowser');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Timestasks');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup');
 DeleteFile('C:\Program Files (x86)\Super Great\SuperGreatbho.dll','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-1-6.exe','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-1-7.exe','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-10.exe','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-11.exe','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-3.exe','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-4.exe','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-4.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-3.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-11.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-10_user.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-1-7.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-1-6.job','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-5.exe','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-5.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-5_user.job','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-6.exe','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-6.job','32');
 DeleteFile('C:\Windows\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-7.job','32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV15.10\c3961c62-1963-4aee-a1b9-47aa7e455440-7.exe','32');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-1-6','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-1-7','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-11','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-3','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-4','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-5','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-5_user','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-6','64');
 DeleteFile('C:\Windows\system32\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-7','64');
 DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
 DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
 DeleteFile('C:\Users\www\appdata\roaming\aspackage\aspackage.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Megapolis
      Троян зашифровал файлы (*.DA_VINCI_CODE)
      От Megapolis
      Добрый день!
      На рабочем компьютере с рабочей почты словили трояна, который зашифровал большинство файлов. На рабочем столе появилась заставка с красой надписью на черном фоне:
      Внимание! Все важные файлы на всех ваших дисках компьютера зашифрованы, Подробности вы можете прочитать в файлах readme.txt, которые можно найти на любом из дисков.
      Расширение файлов: DA_VINCI_CODE
      В приложении: сохраненный отчет проверки Касперского и архив с логами.
      CollectionLog-2016.07.15-14.58.zip
      Проверка 15-07-2016.txt
    • ursa
      mike 1, помоги DA_VANCI_CODE дешифровать!
      От ursa
      Помогите вылечить и расшифровать!
      Текст сообщения Давинча:
       
      сделал как вы говорили
      Farbar Recovery Scan Tool:
       
      Результат  прикреплен ниже
      FRST.txt
      Addition.txt
    • Nsmok1987
      Все файлы на компьютере зашифрованы DA_VINCI_CODE
      От Nsmok1987
      Здравствуйте, пожалуйста помогите, на моем компьютере все файлы зашифрованы вирусом, который имеет расширение файла DA_VINCI_CODE. Данная проблема возникла после того как на адрес моей элеронной почты (mail), поступило письмо, которое звучало следующим образом: "Николай, вы имеете задолжность перед бухгалтерией", после чего мной был скачен файл ZIP, разархивирован и запущен какой-то файл, походящий на файл .EXE. После его запуска, я понял, что поймал какой-то вирус, я удалил данный файл и почистил почту, но было уже поздно. Файлы на компьютере стали шифроваться. Пока я принимал меры по поиску вируса и его удалению, все файлы уже были зашифрованы. На рабочем столе возникли текстовые документы, в которых говорилось, "Все файлы на компьютере зашифрованы, не пытайтесь их самостоятельно расшифровать, это приведет к их утере". 
      В настоящее время вирус я удалил, но расшифровать файлы не получается, пробовал разные утилиты, но без толку. 
      Прошу Вашей помощи! За ранее Спасибо!
      С уважением, Николай.
      CollectionLog-2016.12.12-18.22.zip
    • Армен Мурадян
      Беда по имени DA_VINCI_CODE. HELP!
      От Армен Мурадян
      Здравствуйте. Недавно зашёл в свою папку с важным документами и медиафайлами и сюрприз. Оказывается их зашифровал какая-то вредоносная программа по имени DA_VINCI_CODE.

       

      Файл Redme не сохранился по сколку антивирус его удалил его.

      Про сканировал весь комп такими утилитами как:

      Kaspersky Virus Removal Tool;
      Dr.Web CureIt!.
      В результате скана вирусы не были найдены. Видимо антивирус боролся но было поздно, файлы уже были за шифрованы.

      Теперь думаю что делать. Там очень важные файлы были для меня.

       

      Какие варианты есть?

       

      P.s. при любом итоге спасибо. 

       

    • AdMec-Shambler
      шифровальщик da_vinci_code
      От AdMec-Shambler
      Добрый день.
      На ПК поработал шифровальщик da_vinci_code. Есть мнение, что впервые шифровальщик поработал ещё летом этого года.
      На машине установлен Avast - я остановил его службу, брэндмауэр windows отключен.
      Kaspersky Virus Removal Tool 2015 ничего не показал. AutoLogger (версия от 18-11-2015) запускает 2 браузера, работает ещё какое-то время и затем просто вылетает. Создает дамп-файлы в AutoLogger\CrashDumps.
       
      Соответственно, CollectionLogs сделать нет возможности. Запустил HiJack и RSIT - во вложениях. 
      Файлы report1 и report2 от autologger-а.
      Каковы дальнейшие действия?
      HiJackThis.log
      info.txt
      log.txt
      report1.log
      report2.log
×
×
  • Создать...