Перейти к содержанию

ISHTAR шифратор

Антон Коркин
 Share

Рекомендуемые сообщения

Антон Коркин Новичок

Антон Коркин

Опубликовано
Опубликовано (изменено)

Приветствую, на компьютер попал шифратор, который файлам присвоил имя ishtar. Прошу подскажите и помогите побороть его. Первый раз с таким столкнулся. Я прикрепил зашифрованный файл и файлы от программы AVZ.

KL_syscure.zip

KL_syscure.xml

KL_syscure.htm

пример зашифрованного файла.zip

Изменено пользователем Антон Коркин
Ссылка на комментарий
Поделиться на другие сайты
Антон Коркин Новичок

Антон Коркин

Опубликовано
  • Автор
Опубликовано

Появился шифратор ISHTAR и зашифровал все файла на ПК. Проверил KVR не чего не обнаружил. Вирус пришел предположительно по почте. Кто-то из открыл письмо и вирус попав в ПК. 

CollectionLog-2016.12.05-17.19.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на комментарий
Поделиться на другие сайты
Антон Коркин Новичок

Антон Коркин

Опубликовано
  • Автор
Опубликовано

[member=

 

Здравствуйте!

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

Не могу отправить на почту файл quarantine.zip  приходит сообщение что файл был удален антивирусом на почтовом сервере.

], 


Не могу отправить на почту файл quarantine.zip  приходит сообщение что файл был удален антивирусом на почтовом сервере.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Продолжайте

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
Антон Коркин Новичок

Антон Коркин

Опубликовано
  • Автор
Опубликовано

Я смог отключить антивирус. И прикрепляю новый сборщик логов. При отключенном антивирусе выполняемые скрипты привели к синиму экрану. Сразу не отключил антивирус так как не знал пароль от него. Пришлось удалить из реестра. 


Здравствуйте!

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

Я смог отключить антивирус. И прикрепляю новый сборщик логов. При отключенном антивирусе выполняемые скрипты привели к синиму экрану. Сразу не отключил антивирус так как не знал пароль от него. Пришлось удалить из реестра. 

Прикрепленные файлы

CollectionLog-2016.12.08-18.10.zip

CollectionLog-2016.12.08-18.10.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-1060284298-2000478354-1801674531-1005 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
2016-12-02 09:46 - 2016-12-02 09:46 - 00003225 _____ C:\Documents and Settings\1\Рабочий стол\ISHTAR.DATA
2016-12-02 09:46 - 2016-12-01 15:03 - 00001830 _____ C:\Documents and Settings\1\Рабочий стол\README-ISHTAR.txt
2016-12-01 15:03 - 2016-12-02 09:46 - 00003225 _____ C:\ISHTAR.DATA
2016-12-01 15:03 - 2016-12-02 09:46 - 00003225 _____ C:\Documents and Settings\1\Application Data\ISHTAR.DATA
2016-12-01 15:03 - 2016-12-01 15:03 - 00001830 _____ C:\README-ISHTAR.txt
2016-11-30 08:45 - 2016-11-30 08:45 - 01183180 _____ C:\Documents and Settings\1\Application Data\goR4C.tmp
Task: C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job => C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe <==== ATTENTION
MSCONFIG\startupreg: {6B269236-2A0D-D97C-FCAF-54C2A3D326C2} => "C:\Documents and Settings\User\Application Data\Fecixi\ozxag.exe"
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Pavel Morozov
      Поймал вирус шифратор Black Bit
      От Pavel Morozov
      На протяжении некоторого времени, мой компьютер находился во включенном состоянии. Ранее я баловался с удаленным доступом к компьютеру через удаленный рабочий стол. Сегодня вывел компьютер из спящего режима и увидел на рабочем столе изображение с надписью "BLACK BIT и т.д", изображение с полным текстом в архиве, также я написал сообщение на указанный почтовый адрес изображение с ответом также есть в архиве. По инструкции в архив были добавлены зашифрованные файлы и их оригиналы, а также файлы которые создал вирус, это два файла "Cpriv.BlackBit", "Cpriv2.BlackBit", "info.hta" и "Restore-My-Files.txt". Также в инструкции было написан про "Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool" данная программа не запускается от слова совсем не в обычном режиме не в режиме администратора.
      файлы.rar
    • organism
      шифратор jinxishere@onionmail.org
      От organism
      в выходные зашифровались все файлы, включая 1с
      установленный касперский больше не работает
      прилагаю образцы файлов и  сообщение от вируса
      пароль архива 32768
      эквилибриум.zip
    • KrivosheevYS
      Поймали шифратор Neshto, зашифрованы файлы в корне папок диска (вложенные папки остались не повреждены)
      От KrivosheevYS
      Здравствуйте!
      Поймали шифратор Neshto, зашифрованы файлы в корне папок диска (вложенные папки остались не повреждены)! расширение .XEXK просим о помощи в расшифровке.
      Файл с логами прилагается.
      Neshta.rar
    • Galem333
      сестра скачала шифратор на ноутбук
      От Galem333
      Всем здравствуйте, Опишу в кратце что произошло. Прихожу домой я с тренировки и вижу на мамином ноутбуке такою картину (фото приклал) Моя сестра сказала что захотела поиграть в роблокс (детская игра) но не просто поиграть в игру а поиграть с читами некий друг по игре (которого она вообще в реальности не знает) скидывает ей файлик с этим так называемым читом ну она его открыла и компьютер перезагрузился а шифратор удалил все данные на мамином ноутбуке ну так вот дело в том что это не просто какой-то шифратор а самый настоящее зло которое сломала виндовс и не даëт что либо сделать с ОС прошу помогите!!!!!! (Логи я не могу предоставить т.к вирус превратил всю виндовс в блокнот) 


      Ноутбук сломан вариант с безопасным режимом сразу можно отмести
    • Vyacheslv B.
      Шифратор Zeppelin
      От Vyacheslv B.
      Здравствуйте. Пострадал от действий вируса-шифровальщика. Возможно ли восстановить файлы?
       
       
       
      encrypt.zipFRST.zip
×
×
  • Создать...