Перейти к содержанию

Шифровальщик .no_more_ransom

_Mihail
 Share

Рекомендуемые сообщения

_Mihail Новичок

_Mihail

Опубликовано
Опубликовано (изменено)

День добрый собственно после прочтения письма и запуска вложенного файла подхватил эту дрянь "no_more_ransom" 

Фалы были зашифрованы и переименованы по типу "6f6sie-cltKTzNNmgvuG0AJDGcaJJfG6bvNzrW6vGJmWOkxWUNEf4dl-vrVdXaYm1HDzncjZV2ovHSVIUq1XDw==.36AE04E7B8A506F0E3E2.no_more_ranso"

 

 

P.S. При прикреплении файла лога не нажал кнопку "загрузить" исправил.

CollectionLog-2017.01.10-10.45.zip

Изменено пользователем _Mihail
Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

HiJackThis (из каталога автологгера) профиксить

O4 - HKCU\..\StartupApproved\Run: [Client Server Runtime Subsystem] "C:\ProgramData\Windows\csrss.exe" (2017/01/10)
O18 - Protocol: osf - {D924BDC6-C83A-4BD5-90D0-095128A113D1} - (no file)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - (no file)
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - (no file)

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты
_Mihail Новичок

_Mihail

Опубликовано
  • Автор
Опубликовано

Андрей, прошу ответить на мое сообщение. Ноутбук рабочий, на нем висит система "Клиент-Банк" информация важна и решение проблемы хотелось бы ускорить

 

С Уважением, Михаил

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
FF Extension: (No Name) - C:\Users\трн\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-09]
FF Extension: (No Name) - C:\Users\трн\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-09]
FF Extension: (No Name) - C:\Users\трн\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-01-09]
CHR HKLM-x32\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [necfmkplpminfjagblfabggomdpaakan] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfigaoamnncijbgomifamkmkidnnlikl] - hxxp://clients2.google.com/service/update2/crx
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\Users\Все пользователи\services
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\ProgramData\services
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\ProgramData\Csrss
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README9.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README8.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README7.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README6.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README5.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README4.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README3.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README2.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README10.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README9.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README8.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README7.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README6.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README5.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README4.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README3.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README2.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README10.txt
2017-01-09 10:50 - 2017-01-10 11:18 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-09 10:50 - 2017-01-10 11:18 - 00000000 __SHD C:\ProgramData\Windows
File: C:\Windows\SysWOW64\parser2ndflm.dll
2015-05-25 11:45 - 2015-05-25 11:45 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
2016-08-06 21:20 - 2016-08-06 21:20 - 0000016 _____ () C:\ProgramData\mntemp
2016-08-06 21:20 - 2016-08-06 21:20 - 0005116 _____ () C:\ProgramData\rxsmznjf.zcp
C:\Users\трн\AppData\Local\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
C:\Users\трн\AppData\Local\Temp\amigo_setup.exe
C:\Users\трн\AppData\Local\Temp\Setup-yabrowser.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update0469515492.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update1161213653.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update1434788374.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update2868997621.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update4812135762.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update6072029677.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update6662537669.exe
C:\Users\трн\AppData\Local\Temp\yupdate-exec-yabrowser.exe
AlternateDataStreams: C:\Users\трн:id [32]
HKU\S-1-5-21-1714610031-3630629653-4219008541-1001\...\StartupApproved\Run: => "Client Server Runtime Subsystem"
HKU\S-1-5-21-1714610031-3630629653-4219008541-1001\...\StartupApproved\Run: => "Windows Session Manager"
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты
_Mihail Новичок

_Mihail

Опубликовано
  • Автор
Опубликовано

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
FF Extension: (No Name) - C:\Users\трн\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-09]
FF Extension: (No Name) - C:\Users\трн\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-09]
FF Extension: (No Name) - C:\Users\трн\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-01-09]
CHR HKLM-x32\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [necfmkplpminfjagblfabggomdpaakan] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfigaoamnncijbgomifamkmkidnnlikl] - hxxp://clients2.google.com/service/update2/crx
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\Users\Все пользователи\services
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\ProgramData\services
2017-01-09 11:17 - 2017-01-10 10:01 - 00000000 __SHD C:\ProgramData\Csrss
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README9.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README8.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README7.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README6.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README5.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README4.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README3.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README2.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\трн\Desktop\README10.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README9.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README8.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README7.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README6.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README5.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README4.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README3.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README2.txt
2017-01-09 11:16 - 2017-01-09 11:16 - 00004186 _____ C:\Users\Public\Desktop\README10.txt
2017-01-09 10:50 - 2017-01-10 11:18 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-09 10:50 - 2017-01-10 11:18 - 00000000 __SHD C:\ProgramData\Windows
File: C:\Windows\SysWOW64\parser2ndflm.dll
2015-05-25 11:45 - 2015-05-25 11:45 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
2016-08-06 21:20 - 2016-08-06 21:20 - 0000016 _____ () C:\ProgramData\mntemp
2016-08-06 21:20 - 2016-08-06 21:20 - 0005116 _____ () C:\ProgramData\rxsmznjf.zcp
C:\Users\трн\AppData\Local\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
C:\Users\трн\AppData\Local\Temp\amigo_setup.exe
C:\Users\трн\AppData\Local\Temp\Setup-yabrowser.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update0469515492.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update1161213653.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update1434788374.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update2868997621.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update4812135762.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update6072029677.exe
C:\Users\трн\AppData\Local\Temp\VkontakteDJ_update6662537669.exe
C:\Users\трн\AppData\Local\Temp\yupdate-exec-yabrowser.exe
AlternateDataStreams: C:\Users\трн:id [32]
HKU\S-1-5-21-1714610031-3630629653-4219008541-1001\...\StartupApproved\Run: => "Client Server Runtime Subsystem"
HKU\S-1-5-21-1714610031-3630629653-4219008541-1001\...\StartupApproved\Run: => "Windows Session Manager"
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

 

Сделано

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Если есть лицензия на продукты ЛК, пробуйте создать запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525

P.S. Не удаляйте каталог C:\FRST пока не решите вопрос с расшифровкой.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
_Mihail Новичок

_Mihail

Опубликовано
  • Автор
Опубликовано

Если есть лицензия на продукты ЛК, пробуйте создать запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525

 

P.S. Не удаляйте каталог C:\FRST пока не решите вопрос с расшифровкой.

Благодарю.

С Уважением Михаил

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • BOBO
      Шифровальщик WantToCry
      От BOBO
      Попросили создать новую тему не знаю почему ту закрыли вот создаю. Меня тоже взломали 25 числа hdd весит на роутере, smb открыт был. Покапалься в файлах были несколько оригинальных файлов и вроде шифрование AES в режиме ECB. Встал вопрос можно ли найти ключ шифрования если например нашел зашифрованный блок пробелов 16 байт. 
    • FineGad
      Шифровальщик WantToCry
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      Шифровальщик BlackBit
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
×
×
  • Создать...