Перейти к содержанию
Интервью с экспертом: задай вопрос Евгению Козлову, руководителю направления подбора персонала

Помогите с шифровальщиком no_more_ransom

Maxadmin
 Поделиться

Рекомендуемые сообщения

Maxadmin

Maxadmin

Опубликовано
Опубликовано

День добрый форумчане и Мастера борьбы с вирусами! Поймал шифровальщик no_more_ransom, прошу Вашей помощи в борьбе с этой "чумой".

Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFileF('c:\program files\contentprotector', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Program Files\contentprotector\condefclean.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectordrv.sys', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotector.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorupdate.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\libeay32.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\nspr4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\nss3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\plc4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\plds4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\smime3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\softokn3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\ssleay32.dll', '');
 DeleteFile('C:\Program Files\contentprotector\condefclean.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectordrv.sys', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotector.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorupdate.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\libeay32.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\ssleay32.dll', '32');
 DeleteFileMask('c:\program files\contentprotector', '*', true);
 DeleteDirectory('c:\program files\contentprotector');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Sandor

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
Toolbar: HKU\S-1-5-21-964404175-735955425-3058488048-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/7993/"
CHR Extension: (Mail.Ru) - C:\Users\Котенок\AppData\Local\Google\Chrome\User Data\Default\Extensions\bgcifljfapbhgiehkjlckfjmgeojijcb [2016-05-31]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Котенок\AppData\Local\Google\Chrome\User Data\Default\Extensions\ehfjihahbphdpljpiadbkmgmhnfehhgi [2016-05-31]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\Котенок\AppData\Local\Google\Chrome\User Data\Default\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-11-16]
CHR Extension: (Mail.Ru) - C:\Users\Котенок\AppData\Local\Google\Chrome\User Data\Default\Extensions\phkdcinmmljblpnkohlipaiodlonpinf [2016-09-07]
2016-12-07 14:13 - 2016-12-08 12:19 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-12-07 14:13 - 2016-12-08 12:19 - 00000000 __SHD C:\ProgramData\Csrss
2016-12-07 14:13 - 2016-12-07 14:13 - 06220854 _____ C:\Users\Котенок\AppData\Roaming\170E16D8170E16D8.bmp
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README9.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README8.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README7.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README6.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README5.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README4.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README3.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README2.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README10.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Котенок\Desktop\README1.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README9.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README8.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README7.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README6.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README5.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README4.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README3.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README2.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README10.txt
2016-12-07 14:13 - 2016-12-07 14:13 - 00004170 _____ C:\Users\Public\Desktop\README1.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README9.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README8.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README7.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README6.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README5.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README4.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README3.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README2.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README10.txt
2016-12-07 13:08 - 2016-12-07 13:08 - 00004170 _____ C:\README1.txt
2016-12-07 13:07 - 2016-12-08 12:22 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-07 13:07 - 2016-12-08 12:22 - 00000000 __SHD C:\ProgramData\Windows
2014-04-22 13:58 - 2014-04-22 13:58 - 0000006 _____ () C:\Users\Котенок\AppData\Roaming\smw_inst
C:\Users\Котенок\AppData\Local\Temp\amigo_setup.exe
C:\Users\Котенок\AppData\Local\Temp\condefclean.exe
C:\Users\Котенок\AppData\Local\Temp\MailRuUpdater.exe
Google Update Helper (Version: 1.3.23.0 - BonanzaDeals) Hidden <==== ATTENTION
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

 

В перечне установленных программ появится

Google Update Helper

удалите.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...