Перейти к содержанию
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

Шифровальщик .no_more_ransom

DeAlexWin
 Поделиться

Рекомендуемые сообщения

DeAlexWin Новичок

DeAlexWin

Опубликовано
Опубликовано (изменено)

Здравствуйте. Бухгалтер словила шифровальщик. Данных немного. В сеть слава linux не утекло.

Показало код и просит отправить письмо на vladimirscherbinin1991@gmail.com для получения дальнейших указаний к расшифровке.

 

CollectionLog-2017.01.13-11.59.zipПолучение информации...

Изменено пользователем DeAlexWin
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('c:\programdata\windows\csrss.exe', '');
 DeleteFile('c:\programdata\windows\csrss.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл CheckBrowserLnk.log

из папки

  Цитата

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Ссылка на комментарий
Поделиться на другие сайты
DeAlexWin Новичок

DeAlexWin

Опубликовано
  • Автор
Опубликовано

KLAN-5649364439:

  Показать контент

 

 

ClearLNK-13.01.2017_14-18.log:

  Показать контент

 

 

Есть какая-либо возможность вытащить нужные файлы?

Кроме оплаты злоумышленнику конечно.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

Отчеты, пожалуйста, прикрепляйте, а не вставляйте в сообщение.

Ссылка на комментарий
Поделиться на другие сайты
DeAlexWin Новичок

DeAlexWin

Опубликовано
  • Автор
Опубликовано (изменено)

Результат сканирования Farbar Recovery Scan Tool x64

Shortcut.txtПолучение информации...

FRST.txtПолучение информации...

Addition.txtПолучение информации...

Изменено пользователем DeAlexWin
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-2881143301-604074257-2044702860-1185 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README9.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README8.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README7.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README6.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README5.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README4.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README3.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README2.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README10.txt
2017-01-13 10:16 - 2017-01-13 10:16 - 00004186 _____ C:\Users\Public\Desktop\README1.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README9.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README8.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README7.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README6.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README5.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README4.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README3.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README2.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README10.txt
2017-01-13 08:36 - 2017-01-13 08:36 - 00004186 _____ C:\README1.txt
2017-01-13 08:35 - 2017-01-13 13:04 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-13 08:35 - 2017-01-13 13:04 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
DeAlexWin Новичок

DeAlexWin

Опубликовано
  • Автор
Опубликовано
  В 13.01.2017 в 10:22, Sandor сказал:

Теперь порядок. При наличии лицензии на антивирус Касперского создайте запрос на расшифровку.

 

а если нет лицензии?

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Из FAQ:

  Цитата

Вопрос: Могу ли я использовать лицензию друга, который пользуется Антивирусом Касперского для создания запроса на расшифровку?

Ответ: Да, можете.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KOMK
      Шифровальщик zimmer1488
      Автор KOMK
      Доброго времени суток.
      Поймали шифровальщик.Атакована вся организация. Выясняем источник откуда и как,но раскидался он по рдп на как минимум 7 рабочих мест, включая серв  АД и 1С. Так же на одном из предполагаемых источников заражения была обнаружена программа Everything API и крипто-программа КАРМА,мб оно как-то даст какую-то полезность?
      А так же папка с файлами именованная как "automim1"?
      Скажите вообще есть ли надежда что как-то можно найти остатки шифровальщика? Шифрованные файлы и файл записку прилагаю в архиве с паролем "virus":
      Остальное не знаю как добавить,вес больше 5мб получается.
       
      sekr_2.7z
    • Игорь_Белов
      Шифровальщик AES
      Автор Игорь_Белов
      Доброго времени суток. 
      Прошу помощи, словил вирус шифровальщик, недавно созданный сервер для теста 1с, поймал вирус, файлы баз данных зашифровались. 
      Прошу помочь в определение вируса, по возможности расшифровать. И как его побороть.
       
      scan.zip
    • __Михаил__
      Шифровальщик IxehUe8Rg
      Автор __Михаил__
      Добрый! 
      Пожалуйста, помогите расшифровать файлы на компьютере.
      Шифровальщик IxehUe8Rg.
      Файлы образцы и требование выкупа во вложении.
      Анализ_2.xlsx.rar
       
      Я так понимаю это CriptomanGizmo и с ним проблема.
      У меня есть несколько копий файлов не зашифрованных , с другого устройства.
      Может это поможет?
    • Stanislav42
      шифровальщик .Elons
      Автор Stanislav42
      Добрый день! Пострадало несколько windows-устройств от действий шифровальщика и вымогает за расшифровку деньги.
      Прошу оказать помощь в расшифровке файлов.
      Отправляю архив с образцами файлов и с текстом требований, а также логи FRST.
      Шифрование произошло в ночное время. Журнал событий Windows очищен. Устройства перезагружались.
      Системы изолированы на данный момент. Исполняемый файл найден и подготовлен к отправке. 
      образцы файлов.zip Addition.txt FRST.txt
    • foroven
      Шифровальщик @FEAR.PW
      Автор foroven
      Добрый день. Схватили шифровальщика. Предположительно взломали подбором пароля к RDP. В сети Logs$files.7zна компьютере с установленным антивирусом Касперского, выдал предупреждение об атаке, брутфорс на порт 3389
×
×
  • Создать...