ransom.shade предновогдний подарок дизайнеру. no_more_ransom

[Zheleska]

На почту пришло сообщение дизайнеру от бухгалтера(как оказалось даже не с нашей почты, воспитательная беседа произведена=)). Благополучно было открыто сообщение, через пару дней вылез черный экран с красными надписями. Все файлы с форматом no_more_ransom. Комп дизайнера, соответственно все плохо.

CollectionLog-2016.12.14-15.50.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3878595598-48506872-1474954716-1317\Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3878595598-48506872-1474954716-1317\Software\Microsoft\Windows\CurrentVersion\Run','NetworkSubsystem');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3878595598-48506872-1474954716-1317\Software\Microsoft\Windows\CurrentVersion\Run','CSRSS');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[Zheleska]

Вот файл по нажатию шифта, Я правильно понимаю что из авз папку карантин заархивировать и ее отправить? архивов внутри я не нашел, папку заархивировал и отправил

Нашел файлик, с первого раза просто не создался почему-то

CollectionLog-2016.12.14-16.50.zip

[Sandor]

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

 

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Zheleska]

В приложении запрошенные файлы

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
GroupPolicyScripts: Restriction <======= ATTENTION
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -  No File
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2016-09-14]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-12-06]
CHR Extension: (No Name) - C:\Users\avn\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2016-12-06]
2016-12-14 11:38 - 2016-12-14 15:20 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2016-12-14 11:38 - 2016-12-14 15:20 - 00000000 __SHD C:\ProgramData\Csrss
2016-12-14 11:37 - 2016-12-14 11:37 - 06912054 _____ C:\Users\Gorbacheva_Vi\AppData\Roaming\B84277BAB84277BA.bmp
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README9.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README8.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README7.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README6.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README5.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README4.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README3.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README2.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README10.txt
2016-12-14 11:37 - 2016-12-14 11:37 - 00004154 _____ C:\Users\Gorbacheva_Vi\Desktop\README1.txt
2016-12-12 14:45 - 2016-12-14 15:20 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-12 14:45 - 2016-12-14 15:20 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Gorbacheva_Vi\AppData\Local\Temp\appshat_generic.exe
C:\Users\Gorbacheva_Vi\AppData\Local\Temp\iv_uninstall.exe
C:\Users\User\AppData\Local\Temp\_is6F65.exe
Task: {05DF58E3-CF7D-4C2A-9E57-57D468A31F65} - System32\Tasks\6ea5a660-da80-44b7-8532-24037069fae6-7 => C:\Users\Gorbacheva_Vi\AppData\Local\SensePlus-BrowserExtensionUninstall\6ea5a660-da80-44b7-8532-24037069fae6-7.exe <==== ATTENTION
Task: {4B393F8F-9F22-4473-8B8C-F3998322D6C2} - System32\Tasks\6a0e05a2-a600-41c2-8916-82bef723c4d9-7 => C:\Users\Gorbacheva_Vi\AppData\Local\iWebar-BrowserExtensionUninstall\6a0e05a2-a600-41c2-8916-82bef723c4d9-7.exe <==== ATTENTION
Task: {A74938D6-CCF6-4702-9853-2DE6905F80A2} - System32\Tasks\4860386a-44b8-4f2a-9638-0ba7ba82d634 => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\4860386a-44b8-4f2a-9638-0ba7ba82d634.exe <==== ATTENTION
Task: {C9574FFD-C51D-430C-8DE1-63EB69A763E0} - System32\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-7 => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-7.exe <==== ATTENTION
Task: {D44C29BA-CA38-4E10-AD23-B502FC9E725C} - System32\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-10_user => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-10.exe <==== ATTENTION
Task: C:\Windows\Tasks\4860386a-44b8-4f2a-9638-0ba7ba82d634.job => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\4860386a-44b8-4f2a-9638-0ba7ba82d634.exe <==== ATTENTION
Task: C:\Windows\Tasks\6a0e05a2-a600-41c2-8916-82bef723c4d9-7.job => C:\Users\Gorbacheva_Vi\AppData\Local\iWebar-BrowserExtensionUninstall\6a0e05a2-a600-41c2-8916-82bef723c4d9-7.exe <==== ATTENTION
Task: C:\Windows\Tasks\6ea5a660-da80-44b7-8532-24037069fae6-7.job => C:\Users\Gorbacheva_Vi\AppData\Local\SensePlus-BrowserExtensionUninstall\6ea5a660-da80-44b7-8532-24037069fae6-7.exe <==== ATTENTION
Task: C:\Windows\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-10_user.job => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-10.exe <==== ATTENTION
Task: C:\Windows\Tasks\fc6330b3-a374-466f-8c84-b818fac5a698-7.job => C:\Users\Gorbacheva_Vi\AppData\Local\App Lid-BrowserExtensionUninstall\fc6330b3-a374-466f-8c84-b818fac5a698-7.exe <==== ATTENTION
AlternateDataStreams: C:\Windows:nlsPreferences [0]
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Zheleska]

Спасибо, что отправили файл на исследование в Антивирусную Лабораторию.

 

Антивирус Касперского проверил файлы.

 

Вредоносные программы не найдены в файлах:

license.html

autorun.inf

romwln.dll

 

Мы исследуем эти файлы. Если результат исследования будет отличаться, мы сообщим вам по электронной почте в течение пяти дней.

написали мне на почту

Fixlog.txt

Изменено 15 декабря, 2016 пользователем Zheleska

[Sandor]

Адварь и следы вымогателя очищены. С расшифровкой помочь не сможем.

[Zheleska]

Тоесть никаких путей решения нет? Там у нее работы за полгода было, сдавать до конца декабря=(

Спасибо за адвы

[Sandor]

Увы, это будет печальный урок - вовремя делать резервные копии. Следует также сменить все важные пароли.

 

Можете еще проверить уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Zheleska]

Погодите, у меня пропал в том числе файл ридми в которым была инфа для связи с ним, ее тоже удалила утилита?

[Sandor]

Удаленные файлы находятся в папке C:\FRST

[Zheleska]

Хорошо, если я куплю лицензию касперыча, расшифровкой займутся?

[Sandor]

Да, но пока шансов на успех почти нет. Вот ссылка для запроса на расшифровку.