Перейти к содержанию

Шифровальщик no_more_ransom

alexnv1976
 Share Подписчики 0

Рекомендуемые сообщения

SQ

SQ 831

Опубликовано
Опубликовано

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~2\Mozilla\sawelca.dll','');
 QuarantineFile('C:\Windows\system32\drivers\jrnccalw.sys','');
 DeleteFile('C:\PROGRA~2\Mozilla\sawelca.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(10);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Подготовьте лог AdwCleaner и приложите его в теме.

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Зашифрованные документы после выполнения скриптов не удалятся?

Персональные данные скрипт AVZ не затрагивает, поэтому не должны ничего кроме вредоносного ПО удалиться.

Ссылка на сообщение
Поделиться на другие сайты
alexnv1976

alexnv1976 0

Опубликовано
  • Автор
Опубликовано

Не получается отправить файл Quarantin, возвращается письмо с указанием, что письмо без вложенных файлов. Что возможно почтовый сервер его удалил с подозрением на вирус.

Пароль поставил, все-равно та же история. В Облаке майла я его вижу и ссылка есть

Вот ссылка:

https://cloud.mail.ru/public/Dmea/ZagyRCc81

 

Что делать дальше? Подскажите.

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Пожалуйста, не прикладываете ссылки и карантин (даже пустые) к сообщениям, только отправляйте на адрес newvirus@kaspersky.com, результат прикрепляте к следующему сообщению.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


 

Ссылка на сообщение
Поделиться на другие сайты
alexnv1976

alexnv1976 0

Опубликовано
  • Автор
Опубликовано

Я вам пишу что видимо сам почтовик касперского удаляет файл карантина. Как его отправить не знаю, может кто столкнулся с той же проблемой. Подскажите.

Отправляю файлы отчетов Фарбара (только зачем они нужны?)

 

 

Addition.txt

FRST.txt

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Подскажите.Отправляю файлы отчетов Фарбара (только зачем они нужны?)

Для зачистки, того чтобы другие антивирусные утилиты не видят.

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-961471569-1968420889-2979697651-1001\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2972672 2016-08-29] (Microsoft Corporation) <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]
FF Plugin HKU\S-1-5-21-961471569-1968420889-2979697651-1001: ksks.com/XCrypt -> C:\Users\пользователь\Desktop\XCrypt\npXCrypt.dll [No File]
CHR Plugin: (Shockwave Flash) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\PepperFlash\pepflashplayer.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32_11_7_700_224.dll => No File
CHR Plugin: (Native Client) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\pdf.dll => No File
CHR Plugin: (Download Master integration plugin) - C:\Users\пользователь\AppData\Local\Google\Chrome\User Data\Default\Extensions\ehfanjejklfmnldbbclpocdbceaeemkn\1.2_0\npDownloadMasterPlugin.dll => No File
CHR Plugin: (Adobe Acrobat) - C:\Program Files\Adobe\Acrobat 7.0\Reader\Browser\nppdf32.dll => No File
CHR Plugin: (Google Update) - C:\Program Files\Google\Update\1.3.21.153\npGoogleUpdate3.dll => No File
CHR Plugin: (XCrypt) - C:\Program Files\Keysystems\XCrypt 1.0.6.25\npXCrypt.dll => No File
File: C:\Windows\system32\drivers\jrnccalw.sys
Folder: C:\Users\пользователь\AppData\Roaming\gnupg
2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\Users\Все пользователи\services
2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\ProgramData\services
2016-12-12 13:15 - 2016-12-12 13:15 - 04320054 _____ C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README9.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README8.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README7.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README6.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README5.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README4.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README3.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README2.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README10.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README1.txt
2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\ProgramData\Windows
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README9.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README8.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README7.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README6.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README5.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README4.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README3.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README2.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README10.txt
2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README1.txt
2016-12-12 13:15 - 2016-12-12 13:15 - 4320054 _____ () C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
File: C:\ProgramData\cf
Task: {AD3CCD89-1849-45A5-86AD-C5EEE1A0928F} - \rypelck -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [129]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [129]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на сообщение
Поделиться на другие сайты
alexnv1976

alexnv1976 0

Опубликовано
  • Автор
Опубликовано

А как бы восстановить базы и файлы, если (к большому сожалению :cray: ) нет сохраненных копий? Даже R-Studio и RS-Рикавери не помогли

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Уточните пожалуйста если выполняли фикс?

Пробуйте создать запрос:https://forum.kasperskyclub.ru/index.php?showtopic=48525

P.S. Не удаляйте каталог C:\FRST пока не решите вопрос с расшифровкой.

Ссылка на сообщение
Поделиться на другие сайты
alexnv1976

alexnv1976 0

Опубликовано
  • Автор
Опубликовано (изменено)

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

 

Вот Фикслог:

Fixlog_15-12-2016 15.42.48.txt

Изменено пользователем alexnv1976
Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 831

Опубликовано
Опубликовано

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

Согласно логу, обращение плагина идет на несуществующую библиотеку, обратите внимание на "No File"

FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]

Также фикс это показал:

 

C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll => not found.
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем

  • Похожий контент

    • AndrusBelarus
      [РЕШЕНО] Нужна помощь, не могу удалить GLUPTEBA
      От AndrusBelarus
      Доброй ночи! Подхватил какую-то фигню:
       - никак не удаляется, новые процессы в итоге выводят каждый раз в новые папки. Сразу после оповещения от дефендера винды вырубил инет на всякий случай, вот что показал дефендер, сам он удалить не может:
       
      Trojan:Win64/Glupteba!MTB
      Trojan:Win32/Acll
       
      P.S. после перезагрузки теперь на пол экрана идёт спам консольных окон и на каждую ошибка что "файл не обнаружен"
       
      UPD. 
      Вскакивают периодически такие процессы как: 
      QMEmulatorService - процесс есть, удалить файл (.txt) не даёт 
      AppMarket / GameLoop (синий круг на иконке)
      - аппмаркет появился и на панели внизу но при нажатии на нем ПКМ - его всплывающее окно зависает в виде черного прямоугльника
       
      UPD2.
       
      Какой-то процесс *китайские символы*32 бита
    • Borova
      [РЕШЕНО] Trojan RenderCraft и нагрузка озу fc.exe помогите пожалуйста!
      От Borova
      Прошу помощи , на виндовс 7 пк заразился трояном RenderCraft а также неправильно ведет себя утилита fc.exe , оба процесса запускаются после 30 секунд от включения пк и начинают грузить систему ( и ОЗУ и ЦП )  , RenderCraft работает пару десятков секунд ( примерно 40) и исчезает из процессов ,  а fc.exe стабильно грузит систему никуда не уходит. изначально попробовал решить проблему самостоятельно с помощью KVRT и AV BR ,  но ничего не помогло , в итоге начал искать решение в интернете , нашел только один сайт на этом же форуме где было предоставлено решение от господина Sandor . Начал делать все как в случае с Дамир 95 . 
      Но к сожелению ничего не помогло , (  строго додерживался всех инструкций  ) но без положительного результата. Ни один процес не ушел . ПРОШУ ПОМОГИТЕ !
      Все максимально подробно описать не могу ( имеется в виду мое полное исполнение действий и рекомендаций от Sandor  , не все получалось так как в писал Sandor , к примеру так не вышло если в Farbar Recovery Scan Tool я нажал кнопку исправить и в человека вышло все нормально а в меня выдало ошибку " не удается найти файл fixlist.txt " а автоматически у меня ничего не создало . если сам создам текстовый файл напишу то понятно , что там начнет исправлять и исправит пустоту , ведь там в списке ничего нет , а я не знаю что туда вводить , в итоге исправить ничего не вышло . помогите пожалуйста . 
    • FokinZ
      Словил Trojan.Autolt.1224 и Tool.BtcMine.2733 Никак не могу решить проблему
      От FokinZ
      Добрый день,помогите решить проблему,столкнулся с  Trojan.Auto lt.1224 и Tool.BtcMine.2733,прогнал через CureIT!,Hitman и другие,ничего не помогло,вкладки сразу закрывает,настройки компьютера закрывает и браузер тоже.Уже не знаю что и делать,буду признателен за внимание!

    • eeerok0411
      удаление троянов
      От eeerok0411
      при запуске dr.web нужно было его обновить, при загрузке сайта написало, а сайт выдал ошибку из-за вируса, один из вирусов был удален, но в последующих действиях я нашел еще 2 трояна минимум (trojan.multi.lockedfolder.a, trojan.multi.genautorunreg.a), я попытался удалить эти вирусы, но у меня это не получилось и при перезагрузке ПК на несколько секунд появляется 3 окна с командными строками (cmd и powershell), а также отсутствует точка восстановления и не устанавливается антивирус malwarebytes, ещё на пк присутствует John, как я понял после прочтения пары тем на форуме.
    • wiseacre
      Скрытый майнер, переустановка виндовс не помогает
      От wiseacre
      Добрый день!
      Сложилась следующая ситуация - подхватили на компьютер майнер, процессор и видеокарта нагреваются до критических отметок в состоянии простоя, компьютер очень громко шумит из-за того, что вентиляторы пытаются охладить пк. При этом стоит только открыть диспетчер задач - компьютер затихает, температуры начинают падать. Из чего и был сделан вывод, что подцепили майнер. Диспетчер задач просматривали в течение нескольких минут, ничего подозрительного не обнаружили.
      Первым же делом попробовали возврат к точке восстановления, сброс винды до исходного состояния, затем вообще полностью переустановили виндовс - проблема никуда не ушла.
      Следом начали испробовать советы из интернета, скачивать программы, такие как dr.web curelt и прочие, которые должны помочь обнаружить майнер. При запуске проверки выдает, что никаких угроз не найдено.
      Помогите, пожалуйста, найти решение проблемы.
      CollectionLog-2023.03.27-19.42.zip
×
×
  • Создать...