Шифровальщик hellomyfriend@meta.ua

[diman_cs]

Добрый день, 

 

Появился еще один шифровальщик, по нему информации пока не нашел. К расширению зашифрованных файлов вирус добавил "_hellomyfriend@meta.ua" и в каждой директории создал текстовый документ INSTRUCTX.txt с содержанием "Для расшифровки пишите на mail: hellomyfriend@meta.ua PIN: [XX]".

CollectionLog-2017.05.02-15.44.zip

Изменено 2 мая, 2017 пользователем diman_cs

[thyrex]

c:\adfs\syshostx.exe (файл скрытый) и все остальное из папки c:\adfs заархивируйте с паролем virus, выложите на www.dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения

[diman_cs]

c:\adfs\syshostx.exe (файл скрытый) и все остальное из папки c:\adfs заархивируйте с паролем virus, выложите на www.dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения

Готово.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\adfs\syshostx.exe');
 DeleteFile('c:\adfs\syshostx.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Syshostx');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Syshostx');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[diman_cs]

Здравствуйте,

 

Скрипт выполнен.

Логи во вложении.

 

CollectionLog-2017.05.03-19.33.zip

[thyrex]

Сделайте лог полного сканирования МВАМ

[diman_cs]

Сделайте лог полного сканирования МВАМ

Вкладываю.

mwb.txt

[thyrex]

Удалите в МВАМ только

Trojan.BitCoinMiner, C:\PROGRAMDATA\SERVICE\SVCHOSTOLD.EXE, No Action By User, [377], [369967],1.0.1866

[diman_cs]

 

Удалите в МВАМ только

Trojan.BitCoinMiner, C:\PROGRAMDATA\SERVICE\SVCHOSTOLD.EXE, No Action By User, [377], [369967],1.0.1866

Удалить. Перенести в карантин? С этими файлами я ничего не предпринимал покачто.

[thyrex]

Удалить = карантин

[diman_cs]

Сделано

[thyrex]

К сожалению, присланный файл ничем не поможет. Это не сам шифратор

[diman_cs]

Спасибо. Надежды нету?

[thyrex]

Увы. Без тела шифратора - никак