da_vinci_code необходимо удалить последствия

[vedrokompot]

Добрый день! Бухгалтер открыла 21 октября, 11:41 письмо из почты с темой для бухгалтеров, в этом письме был вирус. Письмо пришло с адреса <hks_2345@yahoo.co.jp> с темой "Бухгалтер" в письме содержалась ссылка на вирус шифровальщик. Эта ссылка работает и сеголня, если надо могу ее запостить. Сегодня на тестовой системте при попытке открыть ссылку антивирус пишет:

Запрашиваемый URL-адрес не может быть предоставлен

URL-адрес объекта:

Причина:

объект заражен HEUR:Trojan.Script.Agent.gen
Сообщение создано: 28.10.2016 17:58:41

 

Неделю назад, антивирус просто дал открыть ссылку и естественно ПК заразился.

Неделю назад был запущен DrWeb Cureit он нашел Trojan.Encoder.858:1 в файле C:\programdata\windows\csrss.exe это файл он поместил в карантин. Могу прислать файл если надо (для анализа или хз, в коллекцию может).

1. Помогите устранить последствия работы вируса.

2. Почему при работающем антивирусе и обновленных базах, антивирус дал открыть ссылку? Антивирус работал в этот момент, чтобы его отключить нужно ввести пароль, естественно пользователи этот пароль не знают. Установлен KSOS 15.0.2.361(f) с базами на день заражения 21.10.2016 10:43. Напомню письмо пришло 21 октября, 11:41.

Уточню вопрос 2: Почему утилита от Др Веба нашла этот шифратор, а KSOS его не увидел? Это печалит, учитвая, что везде стоит лиценз Касперский и всем знакомым я рекомендую его.

CollectionLog-2016.10.28-17.51.zip

Изменено 28 октября, 2016 пользователем vedrokompot

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[vedrokompot]

Просканировал, файлы прилагаю

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"

CreateRestorePoint:

2016-10-21 15:25 - 2016-10-21 15:25 - 03148854 _____ C:\Users\Бухгалтерия\AppData\Roaming\0FABE3D90FABE3D9.bmp

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README9.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README8.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README7.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README6.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README5.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README4.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README3.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README2.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README10.txt

2016-10-21 15:25 - 2016-10-21 15:25 - 00004178 _____ C:\Users\Бухгалтерия\Desktop\README1.txt

2016-10-21 12:57 - 2016-10-21 20:28 - 00000000 __SHD C:\Users\Все пользователи\Windows

2016-10-21 12:57 - 2016-10-21 20:28 - 00000000 __SHD C:\ProgramData\Windows

2016-10-21 12:57 - 2016-10-21 12:57 - 00950980 _____ (ThamiZha! community - thamizha.com) C:\Users\Бухгалтерия\AppData\Roaming.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[vedrokompot]

Спасибо! Просканировал, архив upload.zip не создался.

Fixlog.txt

[mike 1]

Пришлите в архиве содержимое папки C:\ProgramData\Kaspersky Lab\AVP15.0.2\SysWHist

[vedrokompot]

Содержимое папки в архиве

SysWHist.zip

[mike 1]

 

2. Почему при работающем антивирусе и обновленных базах, антивирус дал открыть ссылку? Антивирус работал в этот момент, чтобы его отключить нужно ввести пароль, естественно пользователи этот пароль не знают. Установлен KSOS 15.0.2.361(f) с базами на день заражения 21.10.2016 10:43. Напомню письмо пришло 21 октября, 11:41.

Итак, что мы с вами имеем:

 

По логам видно, что шифровальщика запустили 21 октября примерно в 12:57. Ключевой модуль "Мониторинг активности" против шифровальщиков в антивирусе был включен только где-то в 13:26 того же дня. 

 

 

 

Какие выводы можно сделать из всего этого? Вывод: модуль "Мониторинг активности" был отключен на момент заражения, а это ключевой модуль защиты против свежих шифровальщиков. Более подробную информацию смогут дать только в техподдержке, т.к. логи антивируса зашифрованы. 

[vedrokompot]

я начал работу по этому вопросу в 19ч этого дня (вкоторый запустился шифратор). Бухгалтер мне позвонила в 16-17 ч этого дня и на тот момент на рабочем столе уже было сообщение, что файлы зашифрованы. Я ее попросил срочно выключить ПК и более его не включать, пока я не посмотрю. Отключить, ровно как и включить этот модуль в антивирусе она не могла (потому что настройки антивируса защищены паролем). я также не включал и не отключал этот модуль в это время, потмоу как начала работу в 19ч с ПК. Какой можно сделать вывод? Шифровальщики умеют дезактивировать модули антивируса? Или как это (отключение и включение модуля) произошло вообще?

 

И еще вопрос: данный модуль гарантирует защиту от всех новых шифровальщиков (при условии, что он работает в системе, конечно)? Или все же нет? И как ведет себя машина, когда шифратор пытается запуститься (какие пользователь видит сообщения или модуль просто жестко блокирует запуск и заносить инфу в лог или он спрашивает запустить или нет)? Или как это вообще происходит?

 

По поводу заражения этого ПК: что еще нужно сделать, чтобы гарантировать, что вирус-шифратор и его следы удален? Осталась куча файлов с расширением "давинчи". Ну и может что-то еще?

 

И вы пишете: "логи антивируса зашифрованы". Антивирус же запускается от системной учетной записи, а вирус был запущен от юзера с ограниченными правами из группы "пользователь". Как это могло произойти? Как вирус запустившись с ограниченными правами (ведь запись файлов была возможна, только которые доступны именно этому пользователю) смог изменить файлы, к которым по идее доступа на запись быть не должно? Или я что-то не понимаю?

Изменено 2 ноября, 2016 пользователем vedrokompot

[mike 1]

 

 

И еще вопрос: данный модуль гарантирует защиту от всех новых шифровальщиков (при условии, что он работает в системе, конечно)? Или все же нет? И как ведет себя машина, когда шифратор пытается запуститься (какие пользователь видит сообщения или модуль просто жестко блокирует запуск и заносить инфу в лог или он спрашивает запустить или нет)? Или как это вообще происходит?

Примерно так:

 

 

 

 

Шифровальщики умеют дезактивировать модули антивируса? Или как это (отключение и включение модуля) произошло вообще?

Не умеют. Самозащита антивируса не даст этого сделать. В папке C:\ProgramData\Kaspersky Lab есть какие-нибудь файлы с расширением DMP или другие какие логи?

 

 

 

По поводу заражения этого ПК: что еще нужно сделать, чтобы гарантировать, что вирус-шифратор и его следы удален? Осталась куча файлов с расширением "давинчи". Ну и может что-то еще?

Вирус удален и находится в папке C:\FRST\Quarantine. 

 

 

 

И вы пишете: "логи антивируса зашифрованы".

Под словом "Зашифрованы" я имею ввиду то, что их смогут расшифровать только в техподдержке Лаборатории Касперского. Чтобы разобраться почему так произошло, нужно создать https://forum.kasperskyclub.ru/index.php?showtopic=48525 запрос согласно инструкции и прикрепить архив из сообщения №7. Можете так же упаковать в архив содержимое папки C:\FRST. Будет здорово, если вы процитируйте их ответ почему это произошло, т.к. мне самому интересно. 

[vedrokompot]

Добрый день! Еще раз спасибо за помощь! Не было времени, но сегодня создал запрос в касперски компани. Что ответят я сюда отправлю

[mike 1]

Хорошо. Будем ждать вашего ответа.