Зашифрованы файлы Spora Ransomware

[Virusnak]

Добрый день уважаемые пользователи лабфорума поймал на днях спору 

 

заражено несколько компьютеров включая сервер 

 

нашел первичный компьютер где были скачаны все дистрибутивы

 

прикрепляю логи как указаны в правилах

CollectionLog-2017.02.16-13.07.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 ExecuteRepair(1);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Virusnak]

простите что так долго свет выключили

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
Startup: C:\Users\Shnapi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RU220-1AKHZ-FTRAE-FTKOF-TXOGE-TFKOF-ETAKF-OYYYY.html [2017-02-15] ()
2017-02-15 11:00 - 2017-02-15 11:00 - 00016721 _____ C:\Users\Shnapi\AppData\Roaming\RU220-1AKHZ-FTRAE-FTKOF-TXOGE-TFKOF-ETAKF-OYYYY.html
2017-02-15 11:00 - 2017-02-15 11:00 - 00016721 _____ C:\RU220-1AKHZ-FTRAE-FTKOF-TXOGE-TFKOF-ETAKF-OYYYY.html
2017-02-15 11:00 - 2017-02-15 11:00 - 00001088 _____ C:\Users\Shnapi\AppData\Roaming\RU220-1AKHZ-FTRAE-FTKOF-TXOGE-TFKOF-ETAKF-OYYYY
2017-02-15 10:58 - 2017-02-15 11:01 - 21647560 _____ C:\Users\Shnapi\AppData\Roaming\1882215188
2017-02-15 10:58 - 2017-02-15 10:58 - 00073728 _____ C:\Users\Shnapi\AppData\Roaming\u.exe
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Virusnak]

вот

Fixlog.txt

[Sandor]

Попробуйте восстановить файлы средствами Windows.

[Virusnak]

Sandor

Я сутра попробую восстановить этот компьютер.

 

 

с сервера мне точно такие же процедуры выполнять и сюда логи сбрасывать ?

[thyrex]

Если на самом сервере шифратор не запускали, то логи с него не нужны.

[Virusnak]

Могу сказать только 

 

что сообщение в браузере выпало на ноутбуке.

общая папка с сервера для ноута расшарена 

 

 

но в момент когда перестали открываться файлы я просто отключил коммутатор и выключил сервер. 

 

 

После я вытащил жесткий и подключил к другому компу, дабы без запуска системы прогнать антивярем но попытки были таковы что комп при проверке отрубался.

 

На данный момент сервер включен, но без сети

Ноут в также 

Остальные машины вроде живут

Изменено 16 февраля, 2017 пользователем Virusnak

[Virusnak]

Попробуйте восстановить файлы средствами Windows.

 

 

На ноутбуке не все файлы получилось восстановить

Попробуйте восстановить файлы средствами Windows.

 

 

А с сервером как быть ?

[Sandor]

Вам еще повезло, что уцелели теневые копии. Обычно они при заражении удаляются.

Универсального средства для этого типа вымогателя пока нет.

[Virusnak]

Уцелели только на ноуте 

 

сейчас уже поражена вся сеть

 

более 10 компьютеров включая сервер

 

Теневые копий удалены

 

судя по заметкам

 

выход остается только один дать инную сумму злодеям

Изменено 17 февраля, 2017 пользователем Virusnak