Поймали шифровалищика Trojan-Ransom.Win32.Xorist.ln

[Сергей Бульдяев]

Добрый день! Поймали шифровалищика Trojan-Ransom.Win32.Xorist.ln. Зашифровал данные документы, изображения, ярлыки ит.д.  Троян, полагаю, что пришел по почте. Пробовал воспользоваться утилитой XoristDecryptor , но не помогла. Логи приложил.

CollectionLog-2017.01.30-16.08.zip

Изменено 30 января, 2017 пользователем Сергей Бульдяев

[Soft]

Порядок оформления запроса о помощи

[Сергей Бульдяев]

Порядок оформления запроса о помощи

Исправил описание и вложил логи от AutoLogger

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 QuarantineFile('C:\Users\user\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\copidelete.vbs','');
 QuarantineFile('C:\ProgramData\Windows\svchost.VBS','');
 TerminateProcessByName('C:\Users\user\system\64\msconfig.exe');
 QuarantineFile('C:\Users\user\system\64\msconfig.exe','');
 QuarantineFile('c:\users\user\appdata\local\nss\mychat client\mcclient.exe','');
 DeleteFile('C:\Users\user\system\64\msconfig.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MinerGateGui');
 DeleteFile('C:\ProgramData\Windows\svchost.VBS','32');
 DeleteFile('C:\Users\user\AppData\Local\Microsoft\Windows\WindowsMediaPlayer\Skins\copidelete.vbs','32');
 DeleteFile('C:\Windows\system32\Tasks\system','64');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

 

Сделайте новые логи Автологгером.

[Сергей Бульдяев]

 

Сделайте новые логи Автологгером.

 

На почту отправил. Новые логи приложил.

CollectionLog-2017.01.31-10.44.zip

[mike 1]

Сделайте лог полного сканирования MBAM https://safezone.cc/threads/faq-po-rabote-s-malwarebytes-anti-malware-v-3.28958/

[Сергей Бульдяев]

Сделайте лог полного сканирования MBAM https://safezone.cc/threads/faq-po-rabote-s-malwarebytes-anti-malware-v-3.28958/

Сделал

Лог полного сканирования.txt

[mike 1]

Мда, бардак какой, там еще и второй шифровальщик поработал.

 

Удалите в MBAM все, кроме:

Файл: 47
Backdoor.Agent, C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE, Проигнорировано пользователем, [149], [216982],1.0.1148

Проверьте эти файлы на virustotal

C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE

кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

[Сергей Бульдяев]

 

Мда, бардак какой, там еще и второй шифровальщик поработал.

 

Удалите в MBAM все, кроме:

Файл: 47
Backdoor.Agent, C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE, Проигнорировано пользователем, [149], [216982],1.0.1148

Проверьте эти файлы на virustotal

C:\PROGRAMDATA\WINDOWS\SVCHOST.EXE

кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

 

https://www.virustotal.com/ru/file/0f6f1082c6935db9626cdfebee1d58b0e79abf26c005e8594279ff20e887f3ef/analysis/1486014659/

[mike 1]

C:\PROGRAMDATA\WINDOWS

Удалите вручную.

• Скачайте Farbar Recovery Scan Tool
• Запустите Farbar Recovery Scan Tool двойным щелчком от имени Администратора.
• Когда программа запустится, скопируйте следующую информацию в окно поиска:

  *.cbf
  

• Нажмите кнопку Search Files и подождите.
• Программа создаст лог-файл (Search.txt). Пожалуйста, прикрепите его в следующем сообщении!

[Сергей Бульдяев]

 

C:\PROGRAMDATA\WINDOWS

Удалите вручную.

• Скачайте Farbar Recovery Scan Tool
• Запустите Farbar Recovery Scan Tool двойным щелчком от имени Администратора.
• Когда программа запустится, скопируйте следующую информацию в окно поиска:

  *.cbf
  

• Нажмите кнопку Search Files и подождите.
• Программа создаст лог-файл (Search.txt). Пожалуйста, прикрепите его в следующем сообщении!

 

А есть возможность расшифровать файлы после данных шифровальщиков?

Search.txt

[mike 1]

 

 

А есть возможность расшифровать файлы после данных шифровальщиков?

Те файлы, которые имеют расширение cbf нет, а второй возможно. Пришлите пару оригинал/шифрованный одного и того же файла. 

[Сергей Бульдяев]

 

 

 

А есть возможность расшифровать файлы после данных шифровальщиков?

Те файлы, которые имеют расширение cbf нет, а второй возможно. Пришлите пару оригинал/шифрованный одного и того же файла. 

 

Прикрепил оригинал + два файла которые появились после второго шифровальщика вместо оригинального файла.

На восстановление.zip

[thyrex]

Вас просили прислать файлы после работы шифровальщика Trojan-Ransom.Win32.Xorist.ln

[Сергей Бульдяев]

Вас просили прислать файлы после работы шифровальщика Trojan-Ransom.Win32.Xorist.ln

К сожалению у меня не осталось файлов после первого шифрования. Есть только то, что прислал в предыдущем сообщении.