Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Дешифровка шифровальщик Trojan.Encoder.10354

Den_93rus
 Поделиться

Рекомендуемые сообщения

Den_93rus Новичок

Den_93rus

Опубликовано
Опубликовано (изменено)

Доброго времени суток! Открыв вложение в письме, поймали шифровальщика "Trojan.Encoder.10354" название выдал CureIT. На всех дисках папки срылись, а вместо них ярлыки, которые ссылаются на объект "C:\Windows\system32\cmd.exe /c start explorer.exe "для проекта" & type "1b148e305ea2a45f.exe" > "%temp%\1b148e305ea2a45f.exe" && "%temp%\1b148e305ea2a45f.exe"" данный экзешник, скрытый, есть и на рабочем столе. Файлы не открываются, офис и акробат выдает что файл поврежден. После загрузки ОС открывается страница spora.biz, предлагая расшифровать все за 140$. Попробовал для проверки расшифровать один файл, скачал расшифрованный файл, открывается без проблем.

Собрал логи программой AutoLogger.exe (во вложении)

Подскажите, есть ли возможность восстановить файлы?

CollectionLog-2017.02.28-20.04.zip

Изменено пользователем thyrex
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\ProgramData\wintools\WintoolUprI.exe','');
 QuarantineFile('C:\Users\USER\AppData\Roaming\WinSnare\WinSnare.dll','');
 DeleteService('iSafeService');
 SetServiceStart('ed2kidle', 4);
 SetServiceStart('FirefoxU', 4);
 DeleteService('FirefoxU');
 DeleteService('ed2kidle');
 QuarantineFile('C:\Program Files (x86)\Baghair\Application\chrome_child.dll','');
 QuarantineFile('C:\Program Files (x86)\Baghair\Application\chrome.dll','');
 TerminateProcessByName('c:\program files (x86)\firefox\bin\firefoxupdate.exe');
 QuarantineFile('c:\program files (x86)\firefox\bin\firefoxupdate.exe','');
 TerminateProcessByName('c:\program files (x86)\amulec1\ed2k.exe');
 QuarantineFile('c:\program files (x86)\amulec1\ed2k.exe','');
 DeleteFile('c:\program files (x86)\amulec1\ed2k.exe','32');
 DeleteFile('c:\program files (x86)\firefox\bin\firefoxupdate.exe','32');
 DeleteFile('C:\Program Files (x86)\Baghair\Application\chrome.dll','32');
 DeleteFile('C:\Program Files (x86)\Baghair\Application\chrome_child.dll','32');
 DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe','32');
 DeleteFile('C:\Users\USER\AppData\Roaming\WinSnare\WinSnare.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSnare\Parameters','ServiceDll');
 DeleteFile('C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RU794-6CGAK-TROAT-ZTEFO-TRZZZ-ZTREE-AYYYY.html','32');
 DeleteFile('C:\Windows\system32\Tasks\Milimili','64');
 DeleteFile('C:\ProgramData\wintools\WintoolUprI.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\WinTOOL','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

Ссылка на комментарий
Поделиться на другие сайты
Den_93rus Новичок

Den_93rus

Опубликовано
  • Автор
Опубликовано

Ответ:

Спасибо, что отправили файл на исследование в Антивирусную Лабораторию.

Антивирус Касперского проверил файлы.

Вредоносные программы не найдены в файлах:
mail_ru_attachments.htm

Мы исследуем эти файлы. Если результат исследования будет отличаться, мы сообщим вам по электронной почте в течение пяти дней.

 

KLAN-5897721070

CollectionLog-2017.02.28-22.08.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Я правильно полагаю, что эти ярлыки Вам неизвестны, судя по одинаковому времени их создания?

2017-02-28 10:31 - 2017-02-28 10:31 - 00000932 _____ C:\Program Files (x86).lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000920 _____ C:\Program Files.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000918 _____ C:\PortableSoft.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000918 _____ C:\My downloads.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000916 _____ C:\SV.RU-M.ORG.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000910 _____ C:\PerfLogs.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000908 _____ C:\Windows.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000904 _____ C:\Users.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000904 _____ C:\Intel.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000904 _____ C:\Games.lnk

2017-02-28 10:31 - 2017-02-28 10:31 - 00000902 _____ C:\Temp.lnk

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Winlogon: [Shell]  [0 ] () <=== ATTENTION
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.startpageing123.com/?type=hp&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.startpageing123.com/?type=hp&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.amisites.com/search/?type=ds&ts=1482742001&z=23e2aa791c2cf81c0095348g6z4bco4mazeo6e2e6g&from=archer1028&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.startpageing123.com/?type=hp&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.startpageing123.com/?type=hp&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.amisites.com/search/?type=ds&ts=1482742001&z=23e2aa791c2cf81c0095348g6z4bco4mazeo6e2e6g&from=archer1028&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE&q={searchTerms}
HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.amisites.com/search/?type=ds&ts=1482742001&z=23e2aa791c2cf81c0095348g6z4bco4mazeo6e2e6g&from=archer1028&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE&q={searchTerms}
HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.startpageing123.com/?type=hp&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.startpageing123.com/?type=hp&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.amisites.com/search/?type=ds&ts=1482742001&z=23e2aa791c2cf81c0095348g6z4bco4mazeo6e2e6g&from=archer1028&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - c:\program files\internet explorer\iexplore.exe hxxp://www.startpageing123.com/?type=sc&ts=1487662284&z=e015d02b3d7d7e792932cffg3zbb9maqcqbo5odb1w&from=che0812&uid=ST1000DM003-1CH162_S1DHARVEXXXXS1DHARVE
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=812257",
			"hxxp://www.nicesearches.com?type=hp&ts=1465191907&from=d1e20606&uid=st1000dm003-1ch162_s1dharvexxxxs1dharve&z=7f6c3901d518dd894bb38f0g8z8q0wcgat5g2t7e4b"
		
CHR HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fbkdlibjhnblcbjjecnlpkldhbkedfhj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kppacdmmddediahklmcgkgdhhoojemmd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lgdnilodcpljomelbbnpgdogdbmclbni] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
2017-02-28 10:25 - 2017-02-28 10:00 - 00069632 ____H C:\Users\USER\Desktop\1b148e305ea2a45f.exe
2017-02-28 10:02 - 2017-02-28 10:02 - 00016715 _____ C:\Users\USER\AppData\Roaming\RU794-6CGAK-TROAT-ZTEFO-TRZZZ-ZTREE-AYYYY.html
2017-02-17 09:56 - 2017-02-25 10:19 - 00000000 ____D C:\Users\USER\AppData\Roaming\WinSAPSvc
2017-02-15 16:16 - 2017-02-28 11:22 - 00000000 ____D C:\Program Files (x86)\amuleCexx
2017-02-10 17:24 - 2017-02-28 21:53 - 00000000 ____D C:\Users\USER\AppData\Roaming\WinSnare
2017-02-28 10:00 - 2017-02-28 10:25 - 3680408 _____ () C:\Users\USER\AppData\Roaming\785249060
2017-02-25 18:03 - 2017-02-25 18:03 - 0099384 _____ () C:\Users\USER\AppData\Roaming\inst.exe
HKU\S-1-5-21-3124263019-2915522535-2295681931-1000\...\ChromeHTML: -> C:\Program Files (x86)\Baghair\Application\chrome.exe (Google Inc.) <==== ATTENTION
Task: {37A47719-5776-42C0-91A2-79C3693D278E} - \{2510FA92-C4C3-4D16-9C21-19DEF60AE600} -> No File <==== ATTENTION
Task: {3C10829A-5973-48FD-A8C6-CC103FBE5CB6} - \Milimili -> No File <==== ATTENTION
Task: {547AC9E4-408C-4174-910C-0CF1E412A69C} - \Microsoft\Windows\Media Center\MediaCenterRecoveryTask -> No File <==== ATTENTION
Task: {731EA058-BCB5-48A3-8382-65707FD72FC8} - \Microsoft\Windows\Media Center\PvrScheduleTask -> No File <==== ATTENTION
Task: {81F8D8EC-4150-462C-B403-4A9F5B8348E8} - \Microsoft\Windows\Media Center\ObjectStoreRecoveryTask -> No File <==== ATTENTION
Task: {8EBC917B-E498-4DFE-86DD-8BB8CABDE845} - \{0084BEB1-7F93-4F69-BC79-D535CD6F6849} -> No File <==== ATTENTION
Task: {927D0F3B-16BC-4365-B98A-D573F47CFC15} - \WinTOOL -> No File <==== ATTENTION
Task: {93115D8A-8567-4BEA-8198-3B0D9A5E6E3D} - \{3165951A-E5CC-4BC8-AE04-8190E37710AF} -> No File <==== ATTENTION
Task: {ADE13CB1-D1DA-4028-9EB9-88C32D5777B0} - \Microsoft\Windows\Media Center\SqlLiteRecoveryTask -> No File <==== ATTENTION
Task: {DA41DE71-8431-42FB-9DB0-EB64A961DEAD} - \Microsoft\Windows\Maintenance\WinSAT -> No File <==== ATTENTION
Task: {F37DBD2F-D343-4347-964D-C48E3F66ED06} - \{49E5AADF-41C5-4595-AC5E-FC351B22F058} -> No File <==== ATTENTION
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Den_93rus Новичок

Den_93rus

Опубликовано
  • Автор
Опубликовано

Может на перед поспешил, но во вложении еще файл, был скрыт на рабочем столе, по названию как тот на который ссылаются все ярлыки. пароль тот же

 

Скачал

Удалил

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Andrew Vi Ch
      Шифровальщик Trojan.Encoder.31074
      Автор Andrew Vi Ch
      Добрый день.
      Поймали указанный шифровальщик, в системных логах были ошибки службы ngrok, перехватили AD, остановили KES, зашифрованы все виртуальные машины (Hyper-V), базы данных... в общем - 99% инфраструктуры. Вычищены теневые копии.
      Приложены архивы: 
      encrypted.zip - 2 зашифрованных файла + текстовик с единственной строкой "message us for decrypt" (расширение зашифрованных файлов .X1g2d2vbb)
      frst.zip - логи FRST
      lock.zip - запароленный в соответствии с инструкцией архив с исполняемым файлом шифровальщика.
      Прошу оказать содействие в расшифровке.
      Спасибо.
    • kov44
      Помощь в дешифровке restore1_helper@gmx.de
      Автор kov44
      Добрый день! Несколько компьютеров в сети подверглись атаке вируса-шифровальщика. Вымогатель предлагает осуществить выкуп за помощь с дешифровкой за биткоины.
      Файлы были переименованы, в конце каждого суффикс "id[e2bdbcde-3259].[restore1_helper@gmx.de].Banta"
      Кто-нибудь сталкивался? Возможно дешифровка данных файлов
      Вот архив, в нем зашифрованные файлы, а также два файла info с требованием о выплате выкупа
      virus.rar
    • velykov
      Активность Trojan.Encoder.37448
      Автор velykov
      Здравствуйте, возможно ли расшифровать данные предположительно после Trojan.Encoder.37448, судя по всему что-то в размере 1кб дописано в каждый файл, расширения у всех офисных файлов, картинок стали с расширением *.1cxz рядом лежит файл #HowToRecover.txt с содержимым:
       
       
      Есть пример зашифрованных стандартных картинок, например хризантема и в зип архиве пример зашифрованного файла. Иконка у зашифрованного файла в виде черного символа биткойна.

      #HowToRecover.txt t8TcrwidL6.zip
      Addition.txt FRST.txt
    • Мимохожий
      Поймали Trojan.Encoder.31074 (Lockbit 3)
      Автор Мимохожий
      Поймали Trojan.Encoder.31074 (Lockbit 3).
      Просим помощи в расшифровке
      Файл вируса в архиве имеется.
      Убиты все сервера компании.
       
      Mimo.rar
    • Soft619
      Пойман Trojan.Encoder.31074 (Lockbit 3)
      Автор Soft619
      Добрый день. На ПК, без установленного на момент шифрования антивируса, попал Trojan.Encoder.31074 (Lockbit 3). Все документы зашифрованы, в расширениях файлов содержится Hf7GtyFVI. Требования были размещены текстовым файлом во всех папках, где были документы. После обнаружения система сразу была просканирована через загрузочный диск Касперского, всё подозрительное удалено. Прошу помочь с расшифровкой. 
      Files.zip
×
×
  • Создать...