spora По электронной почте пришло письмо с шифровальщиком

[Сергей Мануйлов]

Пришло письмо с шифровальщиком. зашифрованы документы Офиса , картинки, PDF.

Вирус не успел все зашифровать.Писем никаких не обнаружено.файлы вируса прикрепляю . пароль123

образец зашифрованного файла.

и логи HijackThis.exe,FRST.exe,adwcleaner_6.042.exe

 

образец файла

 

образец файла

Addition.txt

AdwCleanerC0.txt

AdwCleanerS0.txt

FRST.txt

hijackthis.log

ПЕРЕЧЕНЬ-ДОКУМЕНТОВ-ДЛЯ-ПОЛУЧЕНИЯ-ГРЕЧЕСКОЙ-ВИЗЫ-ГРАЖДАНАМИ-РОССИИ.docx

Изменено 27 января, 2017 пользователем Sandor
Убрал подозрительный файл

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[Сергей Мануйлов]

drweb, autologger

CollectionLog-2017.01.27-16.51.zip

cureit.log

[Sandor]

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\documents and settings\admin\0.5575855648820083.exe', '');
 DeleteFile('c:\documents and settings\admin\0.5575855648820083.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\explorer','command');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(10);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[Сергей Мануйлов]

лог

CollectionLog-2017.01.27-17.30.zip

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Сергей Мануйлов]

этот вирус удален еще года 4 назад , видимо хвост 

 

Re: "Выполняется запрос хэлпера [KLAN-5712112925]

 

От Вас получено письмо, не содержащее файлов.

Возможно, антивирус на почтовом сервере удалил Ваш файл как инфицированный.

 

Если Вы нам посылали файл, пожалуйста, заархивируйте файл с паролем infected и пришлите снова.

 

Вы также можете загрузить файлы на любой популярный файловый хостинг или FTP-сервер.

[mike 1]

Где логи, которые у вас просили в 6 сообщении?

[Сергей Мануйлов]

пока нет связь оборвалась

[Сергей Мануйлов]

логи

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Включите Восстановление системы.

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKU\S-1-5-21-602162358-1275210071-682003330-500\...\Winlogon: [Shell] c:\documents and settings\admin\0.5575855648820083.exe <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\.DEFAULT -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-602162358-1275210071-682003330-500 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
2017-01-26 11:07 - 2017-01-26 11:12 - 16131144 _____ () C:\Documents and Settings\Admin\Application Data\2752435927
2011-05-12 17:52 - 2013-05-30 16:45 - 0000672 _____ () C:\Documents and Settings\Admin\Application Data\ex_log.txt
2017-01-26 11:12 - 2017-01-26 11:12 - 0001088 ___RH () C:\Documents and Settings\Admin\Application Data\RU4B7-20RAA-GATFX-XFTEE-FTAKR-TAKEZ-ATKGZ.KEY
C:\Windows\Tasks\At2.job
C:\Windows\Tasks\At3.job
Task: C:\WINDOWS\Tasks\At2.job => C:\DOCUME~1\Admin\APPLIC~1\DealPly\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: C:\WINDOWS\Tasks\At3.job => C:\DOCUME~1\NETWOR~1\APPLIC~1\DealPly\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Сергей Мануйлов]

лог

Fixlog.txt

Изменено 30 января, 2017 пользователем Сергей Мануйлов

[Sandor]

С расшифровкой помочь не сможем, увы.