Перейти к содержанию

ISHTAR шифратор

Антон Коркин

Автор Антон Коркин,
в Помощь в борьбе с шифровальщиками-вымогателями

 Share Подписчики 1

Рекомендуемые сообщения

Антон Коркин

Антон Коркин 0

Опубликовано
Опубликовано (изменено)

Приветствую, на компьютер попал шифратор, который файлам присвоил имя ishtar. Прошу подскажите и помогите побороть его. Первый раз с таким столкнулся. Я прикрепил зашифрованный файл и файлы от программы AVZ.

KL_syscure.zip

KL_syscure.xml

KL_syscure.htm

пример зашифрованного файла.zip

Изменено пользователем Антон Коркин
Ссылка на сообщение
Поделиться на другие сайты
Антон Коркин

Антон Коркин 0

Опубликовано
  • Автор
Опубликовано

Появился шифратор ISHTAR и зашифровал все файла на ПК. Проверил KVR не чего не обнаружил. Вирус пришел предположительно по почте. Кто-то из открыл письмо и вирус попав в ПК. 

CollectionLog-2016.12.05-17.19.zip

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Здравствуйте!

 

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Ссылка на сообщение
Поделиться на другие сайты
Антон Коркин

Антон Коркин 0

Опубликовано
  • Автор
Опубликовано

[member=

 

Здравствуйте!

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

Не могу отправить на почту файл quarantine.zip  приходит сообщение что файл был удален антивирусом на почтовом сервере.

], 


Не могу отправить на почту файл quarantine.zip  приходит сообщение что файл был удален антивирусом на почтовом сервере.

Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 471

Опубликовано
Опубликовано

Продолжайте

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

  • Спасибо (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
Антон Коркин

Антон Коркин 0

Опубликовано
  • Автор
Опубликовано

Я смог отключить антивирус. И прикрепляю новый сборщик логов. При отключенном антивирусе выполняемые скрипты привели к синиму экрану. Сразу не отключил антивирус так как не знал пароль от него. Пришлось удалить из реестра. 


Здравствуйте!

На время сбора логов антивирус отключали? Автологер ошибок не показывал?

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\_ex-08.exe', '');
 QuarantineFile('C:\WINDOWS\TEMP\tmp.exe', '');
 QuarantineFile('C:\Documents and Settings\User\Application Data\uvguw.exe','');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job" /F', 0, 15000, true);
 DeleteFile('C:\Documents and Settings\User\Application Data\uvguw.exe','32');
 DeleteFile('C:\Documents and Settings\1\Application Data\goR4C.exe', '32');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe', '32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\_ex-08.exe', '32');
 DeleteFile('C:\WINDOWS\TEMP\tmp.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\M5T8QL3YW3','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Regedit32','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sniffer','command');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tweak Tool');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

Я смог отключить антивирус. И прикрепляю новый сборщик логов. При отключенном антивирусе выполняемые скрипты привели к синиму экрану. Сразу не отключил антивирус так как не знал пароль от него. Пришлось удалить из реестра. 

Прикрепленные файлы

CollectionLog-2016.12.08-18.10.zip

CollectionLog-2016.12.08-18.10.zip

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-1060284298-2000478354-1801674531-1005 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
2016-12-02 09:46 - 2016-12-02 09:46 - 00003225 _____ C:\Documents and Settings\1\Рабочий стол\ISHTAR.DATA
2016-12-02 09:46 - 2016-12-01 15:03 - 00001830 _____ C:\Documents and Settings\1\Рабочий стол\README-ISHTAR.txt
2016-12-01 15:03 - 2016-12-02 09:46 - 00003225 _____ C:\ISHTAR.DATA
2016-12-01 15:03 - 2016-12-02 09:46 - 00003225 _____ C:\Documents and Settings\1\Application Data\ISHTAR.DATA
2016-12-01 15:03 - 2016-12-01 15:03 - 00001830 _____ C:\README-ISHTAR.txt
2016-11-30 08:45 - 2016-11-30 08:45 - 01183180 _____ C:\Documents and Settings\1\Application Data\goR4C.tmp
Task: C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job => C:\DOCUME~1\User\LOCALS~1\Temp\Sh1.exe <==== ATTENTION
MSCONFIG\startupreg: {6B269236-2A0D-D97C-FCAF-54C2A3D326C2} => "C:\Documents and Settings\User\Application Data\Fecixi\ozxag.exe"
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 1
Перейти к списку тем
×
×
  • Создать...