Поймали шифровальщик .no_more_ransom

[Дмитрий Долганов]

Добрый день. Вчера один из сотрудников открыл письмо от "налоговой". В итоге документы на компьютере зашифровало, и теперь у них расширение .no_more_ransom. Какую информацию необходимо предоставить для удаления следов зловреда и предотвращения его дальнейшего запуска. 

Стоит ли опасаться распространения шифровальщика по локальной сети (шара до которой он смог дотянуться с "нулевого пациента " тоже зашифрована). Можно ли продолжать работу на этом компьютере и создавать новые файлы, не запустится ли шифрование повторно?

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Дмитрий Долганов]

Прошу прощения, поддался панике.

Прикрепил лог.

CollectionLog-2017.01.11-20.05.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\users\elena\appdata\local\temp\7ed6e7cd.exe');
 QuarantineFile('c:\users\elena\appdata\local\temp\7ed6e7cd.exe', '');
 DeleteFile('c:\users\elena\appdata\local\temp\7ed6e7cd.exe', '32');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

• Загрузите GMER по одной из указанных ссылок:

  Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

• Временно отключите драйверы эмуляторов дисков.
• Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
• Начнется экспресс-проверка. Если появится окно с сообщением о деятельности руткита, нажмите No.
• Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
• Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
• После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

  !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

• Подробную инструкцию читайте в руководстве.

[Дмитрий Долганов]

Ответ на сообщение с карантином::

 

 

Thank you for sending a file for analysis to the Anti-Virus Lab.

Kaspersky Anti-Virus has scanned files.

No malware detected in files:
quarantine.zip

We will thoroughly analyze files. If the result of the analysis is different from this scan result, you will be notified via email within 5 days.

This is an automatically generated message. Please, do not reply to it.

 

 

Лог GMER в приложении.

 

GMER_Log.log

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[DeAlexWin]

Перенесено в отдельную тему

Изменено 13 января, 2017 пользователем DeAlexWin

[Sandor]

@DeAlexWin, здравствуйте!

 

Не пишите в чужой теме, создайте свою и прикрепите там лог.

[Дмитрий Долганов]

Прошу прощения за такую задержку.

 

Прикладываю нужные файлы.

 

FRST.txt

Addition.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
URLSearchHook: HKU\S-1-5-21-2594808539-1566990769-4242308488-1000 - (No Name) - {00000000-6E41-4FD3-8538-502F5495E5FC} - No File
Toolbar: HKU\S-1-5-21-2594808539-1566990769-4242308488-1000 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
CHR HomePage: Default -> inline.go.mail.ru/homepage?inline_comp=hp&inline_hp_cnt=21071633
2017-01-11 10:09 - 2017-01-11 18:06 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-01-11 10:09 - 2017-01-11 18:06 - 00000000 __SHD C:\ProgramData\Csrss
2017-01-10 15:38 - 2017-01-11 18:06 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-10 15:38 - 2017-01-11 18:06 - 00000000 __SHD C:\ProgramData\Windows
2017-01-11 17:34 - 2016-09-14 10:03 - 00000000 ____D C:\Users\Elena\AppData\Local\Mail.Ru
2017-01-11 17:33 - 2016-09-14 10:27 - 00000000 ____D C:\Users\Elena\AppData\Local\Amigo
2017-01-11 17:32 - 2016-09-14 15:06 - 00000000 ____D C:\Windows\system32\appmgmt
2017-01-11 10:08 - 2017-01-11 10:08 - 3932214 _____ () C:\Users\Elena\AppData\Roaming\5995E41C5995E41C.bmp
FirewallRules: [{6D091D3F-7EB6-4C4B-AA14-4FA02C883EBA}] => C:\Users\Elena\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{61280BBA-C32C-4ADF-8D4E-21C72304EBCD}] => C:\Users\Elena\AppData\Local\MediaGet2\mediaget.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Дмитрий Долганов]

Прикрепил отчет.

Fixlog.txt

[Sandor]

Адварь и следы вымогателя очищены. С расшифровкой помочь не сможем.

[Дмитрий Долганов]

Спасибо большое. Где можно следить за информацией о появлении методов расшифровки файлов? И какую программу для восстановления удаленных файлов лучше применять, что бы попытаться восстановить хотя бы что-то?

 

Еще раз признателен за помощь.

[Sandor]

Следите здесь.

Этот вымогатель обычно удаляет контрольные точки и теневые копии, поэтому и советовать особо нечего.

Важные пароли смените, могли быть украдены. Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.