Перейти к содержанию

Ransomware Spore

July
 Share

Рекомендуемые сообщения

July Новичок

July

Опубликовано
Опубликовано

Занесли шифровальщик Spore через документ из эл. почты, на Win7 восстановили документы с помощью предыдущих версий файла, на ХР естественно ничего не восстановить. Как полностью вычистить ПК от самого шифровальщика?

Ссылка на комментарий
Поделиться на другие сайты
July Новичок

July

Опубликовано
  • Автор
Опубликовано

Вирус распространялся так: пользователем был установлен файл, скачанный из сети. Шифровальщик сделал все папки скрытыми, а вместо них создал файл с названиями папки, при запуске которого открывалась папка и запускался на исполнения файл шифровальщика из Temp. Из-за того, что на машине была общая папка, то шифровальщик протащил себя с ее помощью по всем, кто заходил в общую папку.

CollectionLog-2017.01.15-11.35.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\1C-SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RUE29-16OZA-TKFTZ-TXFKE-THEFX-TKKEY.HTML [2017-01-13] ()
CHR HKU\S-1-5-21-1182055513-950496916-150701665-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\1C-SERVER\AppData\Local\Google\Chrome\User Data\Default\Extensions\mgpdmkkhjffhfkbpeigghejkngiaaike [2016-12-29]
CHR Extension: (Стартовая — Яндекс) - C:\Users\1C-SERVER\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjfkgjlnocfakoheoapicnknoglipapd [2016-12-29]
OPR Extension: (SuperMegaBest.com) - C:\Users\1C-SERVER\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2016-11-09]
2017-01-13 16:51 - 2017-01-13 17:00 - 1544088 _____ () C:\Users\1C-SERVER\AppData\Roaming\1291802171
2016-02-08 08:20 - 2016-02-08 08:20 - 0000968 _____ () C:\Users\1C-SERVER\AppData\Roaming\dj.log
2017-01-13 16:59 - 2017-01-13 16:59 - 0009094 ____R () C:\Users\1C-SERVER\AppData\Roaming\RUE29-16OZA-TKFTZ-TXFKE-THEFX-TKKEY.HTML
2017-01-13 16:56 - 2017-01-13 16:56 - 0001088 ____R () C:\Users\1C-SERVER\AppData\Roaming\RUE29-16OZA-TKFTZ-TXFKE-THEFX-TKKEY.KEY
2017-01-13 16:59 - 2017-01-13 16:59 - 0823712 ____R () C:\Users\1C-SERVER\AppData\Roaming\RUE29-16OZA-TKFTZ-TXFKE-THEFX-TKKEY.LST
2013-09-30 08:11 - 2013-08-01 08:11 - 0000032 ____R () C:\ProgramData\hash.dat
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). Пишите запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • hobbit86
      King Ransomware зашифровал файлы организации
      От hobbit86
      Добрый день!
      На сервер 1С попал шифровальщик King Ransomware. Все файлы зашифрованы по маске <Имя файла>.<Расширение>[king_ransom1@mailfence.com].king.
      Проблема появилась после посещения специалиста обслуживающей 1С компании по Anydesk.
       
      FRST.txt Virus.rar Encrypted.rar
    • LamerMan
      Помощь с расшифровкой Elbie Ransomware
      От LamerMan
      Здравствуйте, 04.10.2022 на комп попал вирус-шифровальщик Elbie Ransomware, все файлы стали с расширением .lnk.id[E2638681-3398].[helprequest@techmail.info].Elbie
      Обратились в компанию по расшифровке, сказали цену 250 тыс. рублей. Сотрудник подключился удаленно и просканировал систему, оставив за собой софт(приложу во вложения)
      На момент заражения был открыт порт 3389 и настроено рдп с несложными паролями, на компе стоял Kaspersky Free (AVP21.3), есть предположение, что злоумышленник ботнетом пинговал айпишники с к классическими портами, затем забрутфорсил пароль
      Программа сотрудника аутсорс компании сканирует файлы, а затем выдает какой-то код, я так и не разобрался что с ним делать, он сказал что этим кодом пишется дешифратор. Так же там есть .exe программа, в которой ей кнопка decrypt, но она требует какой-то ключ, надеюсь, найдется человек, который сможет с этим разобраться
      Elbie Decrypt.zip
    • ksp_user
      Ransomware attack ( id[bMtMPqp].stop ) in my PC and Google drive
      От ksp_user
      Two months ago, suddenly, my Windows 11 PC refused me login. I tried several methods and everything failed and lead to fully format the PC. 
       
      Usually, I keep a copy of my notes in Google Drive so I did not worry much. 
       
      But I have noticed that my Google Drive also infected by a ransomware almost all the files there, renamed them to <filename>.<file extention>.id[bMtMPqp].stop and encrypted. 
       
      Since I couldn't log in to my PC , most probably ransomware encrypted the system files, I did not see any ransom notes or anything.
       
      Is it possible to identify the ransomware and decrypt the files in the Google Drive?
       
      Thanks.  
    • yaregg
      Diamond Ransomware
      От yaregg
      Вчера подключался некий "удалённый специалист" через anydesk.RDP порты были закрыты. Сегодня были проблемы с логином (пароль не походил). Зашёл под администратором, всё зашифровано.
      При помощи KVRT поймал исполняемый файл. Судя по всему, это LockBit V3 black и на расшифровку можно не рассчитывать?
       
       
       
       
      файлы.rarAddition.txtFRST.txt
    • Paulo César
      Infecção de ransomware STOP (Djvu)
      От Paulo César
      Boa tarde...
       
      Estou passando por essa praga que é o ransomware, preciso de ajuda caso alguém o possa fazer. 
      Passei o arquivo pelo site id-ransomware.malwarehunterteam.com e a mensagem que o STOP (Djavu). Alguém conhece?... Tem uma ferramenta para indicar?
×
×
  • Создать...