Перейти к содержанию

ISHTAR шифратор

Антон Коркин
 Share

Рекомендуемые сообщения

Антон Коркин Новичок

Антон Коркин

Опубликовано
Опубликовано (изменено)

Приветствую, на компьютер попал шифратор, который файлам присвоил имя ishtar. Прошу подскажите и помогите побороть его. Первый раз с таким столкнулся. Я прикрепил зашифрованный файл и файлы от программы AVZ.

KL_syscure.zip

KL_syscure.xml

KL_syscure.htm

пример зашифрованного файла.zip

Изменено пользователем Антон Коркин
Ссылка на комментарий
Поделиться на другие сайты
Антон Коркин Новичок

Антон Коркин

Опубликовано
  • Автор
Опубликовано

Появился шифратор ISHTAR и зашифровал все файла на ПК. Проверил KVR не чего не обнаружил. Вирус пришел предположительно по почте. Кто-то из открыл письмо и вирус попав в ПК. 

CollectionLog-2016.12.05-17.19.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
Антон Коркин Новичок

Антон Коркин

Опубликовано
  • Автор
Опубликовано

[member=

 

Здравствуйте!

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

Не могу отправить на почту файл quarantine.zip  приходит сообщение что файл был удален антивирусом на почтовом сервере.

], 


Не могу отправить на почту файл quarantine.zip  приходит сообщение что файл был удален антивирусом на почтовом сервере.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Продолжайте

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
Антон Коркин Новичок

Антон Коркин

Опубликовано
  • Автор
Опубликовано

Я смог отключить антивирус. И прикрепляю новый сборщик логов. При отключенном антивирусе выполняемые скрипты привели к синиму экрану. Сразу не отключил антивирус так как не знал пароль от него. Пришлось удалить из реестра. 


Здравствуйте!

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

Я смог отключить антивирус. И прикрепляю новый сборщик логов. При отключенном антивирусе выполняемые скрипты привели к синиму экрану. Сразу не отключил антивирус так как не знал пароль от него. Пришлось удалить из реестра. 

Прикрепленные файлы

CollectionLog-2016.12.08-18.10.zip

CollectionLog-2016.12.08-18.10.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-1060284298-2000478354-1801674531-1005 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
2016-12-02 09:46 - 2016-12-02 09:46 - 00003225 _____ C:\Documents and Settings\1\Рабочий стол\ISHTAR.DATA
2016-12-02 09:46 - 2016-12-01 15:03 - 00001830 _____ C:\Documents and Settings\1\Рабочий стол\README-ISHTAR.txt
2016-12-01 15:03 - 2016-12-02 09:46 - 00003225 _____ C:\ISHTAR.DATA
2016-12-01 15:03 - 2016-12-02 09:46 - 00003225 _____ C:\Documents and Settings\1\Application Data\ISHTAR.DATA
2016-12-01 15:03 - 2016-12-01 15:03 - 00001830 _____ C:\README-ISHTAR.txt
2016-11-30 08:45 - 2016-11-30 08:45 - 01183180 _____ C:\Documents and Settings\1\Application Data\goR4C.tmp
Task: C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job => C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe <==== ATTENTION
MSCONFIG\startupreg: {6B269236-2A0D-D97C-FCAF-54C2A3D326C2} => "C:\Documents and Settings\User\Application Data\Fecixi\ozxag.exe"
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...