Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Шифровщик-вымогатель .сrypter000007

FixMePlz
 Поделиться

Рекомендуемые сообщения

FixMePlz Новичок

FixMePlz

Опубликовано
Опубликовано (изменено)

Доброго времени суток! Было открыто письмо в стиле "оплатите задолженность". В нем был архив-троян(ы), Trojan Filecoder UPX, Trojan Fake MS, Ransom.Troldesh, Backdoor.BIFrose (были помещены в карантин). Потом упал explorer.exe, после перезапуска системы все данные были зашифрованы с расширением .crypted000007. И были созданы txt-шники:  

 

"Baши фaйлы былu зaшuфpованы.

Чmобы pасшuфpoвaть их, Bам неoбxoдuмо omпрaвumь kод:
5D53D99D4882C54033D0|0
нa элekтpонный aдрec gervasiy.menyaev@gmail.com ."
 
Было перепробовано множество декрипторов которые не дали позитивный результат.
 
Прикрепляю логи сделаны FRST64.
 
Зарание благодарен за любую помощь!

FRST64_log.rar

CollectionLog-2017.05.03-11.34.zip

Изменено пользователем FixMePlz
Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Удалите IObit через установку программ в панели управления.

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe','');
 QuarantineFileF('C:\ProgramData\Drivers', '*.exe,*.dll,*.sys,*.pif', false,'', 0, 0);
 QuarantineFile('C:\ProgramData\services\csrss.exe','');
 QuarantineFileF('C:\ProgramData\services', '*.exe,*.dll,*.sys,*.pif', false,'', 0, 0);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
 QuarantineFileF('C:\ProgramData\Windows', '*.exe,*.dll,*.sys,*.pif', false,'', 0, 0);
 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe','32');
 DeleteFile('C:\ProgramData\services\csrss.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Session Manager','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)
 

Ссылка на комментарий
Поделиться на другие сайты
FixMePlz Новичок

FixMePlz

Опубликовано
  • Автор
Опубликовано
 Ответ:

KLAN-6191760581

Thank you for contacting Kaspersky Lab

 

The files have been scanned in automatic mode.

 

Malicious code has been detected in the following files:

csrss.exe - Trojan.Win32.Agent.nezeod

csrss_0.exe - Trojan-Ransom.Win32.Agent.ivl

csrss_1.exe - HEUR:Trojan.Win32.Generic

 


We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

 

This is an automatically generated message. Please do not reply to it.

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=818408"
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [icanjjkadceebmhanpekkofdhclnoijl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
U0 aswVmm; no ImagePath
2017-05-02 17:51 - 2017-05-02 17:51 - 00000000 ____D C:\Users\11111\AppData\Roaming\IObit
2017-05-02 15:11 - 2017-05-04 10:21 - 00000000 __SHD C:\Users\Все пользователи\services
2017-05-02 15:11 - 2017-05-04 10:21 - 00000000 __SHD C:\ProgramData\services
2017-05-02 14:11 - 2017-05-02 14:11 - 03932214 _____ C:\Users\Админ\AppData\Roaming\9684D7A39684D7A3.bmp
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README9.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README8.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README7.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README6.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README5.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README4.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README3.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README2.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README10.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Админ\Desktop\README1.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README9.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README8.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README7.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README6.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README5.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README4.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README3.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README2.txt
2017-05-02 14:11 - 2017-05-02 14:11 - 00004162 _____ C:\Users\Public\Desktop\README10.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README9.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README8.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README7.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README6.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README5.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README4.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README3.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README2.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README10.txt
2017-05-02 13:48 - 2017-05-02 13:48 - 00004162 _____ C:\README1.txt
2017-05-02 13:47 - 2017-05-04 10:21 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-02 13:47 - 2017-05-04 10:21 - 00000000 __SHD C:\ProgramData\Windows
Folder: C:\Users\Админ\Documents\ghj
2017-05-04 09:47 - 2016-11-28 12:22 - 00000000 ____D C:\Users\Все пользователи\ProductData
2017-05-04 09:47 - 2016-11-28 12:22 - 00000000 ____D C:\ProgramData\ProductData
2017-05-04 09:47 - 2016-11-28 12:21 - 00000000 ____D C:\Users\Все пользователи\IObit
2017-05-04 09:47 - 2016-11-28 12:21 - 00000000 ____D C:\Users\Админ\AppData\Roaming\IObit
2017-05-04 09:47 - 2016-11-28 12:21 - 00000000 ____D C:\Users\Админ\AppData\LocalLow\IObit
2017-05-04 09:47 - 2016-11-28 12:21 - 00000000 ____D C:\ProgramData\IObit
2017-05-02 14:11 - 2017-05-02 14:11 - 3932214 _____ () C:\Users\Админ\AppData\Roaming\9684D7A39684D7A3.bmp
Folder: C:\ProgramData\Drivers
Task: {765E22DF-9DAA-4462-BFB3-B7869FEBF741} - System32\Tasks\Driver Booster SkipUAC (Админ) => C:\Program Files (x86)\IObit\Driver Booster\4.0.4\DriverBooster.exe
MSCONFIG\startupreg: Client Server Runtime Subsystem =>
MSCONFIG\startupreg: CSRSS =>
MSCONFIG\startupreg: Windows Session Manager =>
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CloseProcesses:
2017-05-02 15:17 - 2017-05-02 15:17 - 1012224 ___SH () C:\Users\Админ\AppData\Local\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Session Manager]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
djowl Новичок

djowl

Опубликовано
Опубликовано

Добрый день! Вера пользователь в деканате подцепил вирус путем перехода по ссылке присланного письма так называемого счета. Троян вымогатель .crypted000007. Однако без всяких требований... Но суть остается той же зашифровал порядком файлов на компе. Нужна помощь в дешифровке. К письму прилагаю архив с файлами: Лог системы, принскрин письма, в файле запуск вируса - ссылка перехода на вирус, лог malwarebytes, лог FRST, лог [/size]ClearLNK и пару зашифрованных файлов. Буду благодарен всякой помощи![/size]
 
P.S. Прошу прощение если нарушил какие-нибудь правила оформления. С уважением D.[/size]

 

Сообщение от модератора Mark D. Pearlstone
Не пишите в чужих темах раздела. Не прикрепляйте вредоносные и потенциально вредоносные файлы и ссылки на них на форум. Создайте свою тему и выполните правила раздела https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • DAV
      программа вымогатель
      Автор DAV
      в пятницу лег сервер: зашифрованы все системные файлы и вся база 1С. Также файлы на зеркальном диске, а бэкапы на другом диске почему-то оказались повреждены (копировались каждый вечер).
      в закодированном файле текст в таких иероглифах: "... ৸믻䀹ᑞஞ樱惒孌ڨ쎩델꥛睟괎䦝捰㨿秡﹈贆Ŵ䣍㥶﬍ຌ̒螐꯵ॶㅈ鹧ӷ፮箈ꥦ 樟倣폃웘붾셳炼..."
      один из файлов 1С теперь с таким названием: 1Cv8.lgf.id-DEB1FBBC.[James2020m@aol.com].MUST.id[DEB1FBBC-3259].[restore1_helper@gmx.de].
       
      кто знает, как вернуться к "родной" кодировке, подскажите, пожалуйста.
       
      P.S. "доброжелатели" в сопутствующем info письме указали адреса для контакта: restore1_helper@gmx.de или restore2_helper@mein.gmx.
    • norma.ekb
      Шифровальщик-вымогатель .FONL
      Автор norma.ekb
      Добрый день.
      Открыли архив, полученный по почте и после этого все файлы на ПК  изменились на тип FONL. Прошу помочь с расшифровкой.
      Файл шифровальщик сохранен (из полученного архива). 
      Файлы для примера и сообщение вымогателей .rar FRST.rar
    • Antchernov
      Шифровальщик-вымогатель C77L ZerSrv@mail2tor.co
      Автор Antchernov
      Здравствуйте. Словили шифровальщик через RDP, файл шифровальщика удалось найти на рабочем столе учетки Администратора. Зашифровать успел не все, но важным документам и базам 1С досталось. Осложняется все тем, что админ приходящий и он в текущей ситуации стал "очень занят". Прошу помочь с лечением системы и по возможности с расшифровкой, т.к. неизвестно есть ли бэкапы. Систему не лечили никак, логи FRST, зашифрованные фалы и записку прилагаю. Есть нешифрованные версии некоторых файлов, если понадобятся. 
      Addition.txt FRST.txt Zersrv.zip
    • KL FC Bot
      Как видеокамера может помочь вымогателям | Блог Касперского
      Автор KL FC Bot
      Поучительный инцидент с атакой ransomware-группировки Akira наверняка на несколько лет станет любимым примером ИБ-специалистов. Злоумышленники зашифровали компьютеры организации, воспользовавшись ее видеокамерой. Хотя звучит это очень странно, в развитии событий есть логика, которую легко применить к другой организации и другим устройствам в ее инфраструктуре.
      Анатомия атаки
      Злоумышленники проникли в сеть, проэксплуатировав уязвимость в публично доступном приложении и получив возможность выполнять команды на зараженном хосте. Они воспользовались этим, чтобы запустить популярное приложение дистанционного доступа AnyDesk, а затем инициировали с этого компьютера RDP-сессию для доступа к файл-серверу организации. На сервере они попытались запустить свой шифровальщик, но EDR-система, установленная в компании, опознала вредоносное ПО и поместила его в карантин. Увы, это не остановило атакующих.
      Не имея возможности запустить свой шифровальщик на серверах и обычных компьютерах, которые находятся под защитой EDR, атакующие запустили сканирование внутренней сети и обнаружили в ней сетевую видеокамеру. В отчете команды по расследованию инцидента это устройство постоянно называют веб-камерой (webcam), но мы все же полагаем, что речь не о камере ноутбука или смартфона, а о независимом сетевом устройстве, применяемом для видеонаблюдения.
      Камера стала прекрасной мишенью для атакующих по нескольким причинам:
      устройство давно не обновлялось, его прошивка содержала уязвимости, позволяющие дистанционно скомпрометировать камеру и получить на ней права на запуск оболочки (remote shell); камера работает под управлением облегченной сборки Linux, на которой можно запускать обычные исполнимые файлы этой ОС, например Linux-шифровальщик, имеющийся в арсенале Akira; это специализированное устройство не имело (и, скорее всего, не могло иметь) ни агента EDR, ни других защитных средств, которые могли бы определить вредоносную активность. Злоумышленники смогли установить свое вредоносное ПО на эту камеру и зашифровать серверы организации прямо с нее.
       
      View the full article
    • Rome0
      Шифровальщик-вымогатель .kwx8
      Автор Rome0
      15.02 ночью. Судя по всему RDP. На комп был проброшен нестандартный порт. Комп для удаленного подключения был включен круглосуточно. Все бы ничего, но остались незавершенные сессии с сетевым хранилищем NAS и там тоже все зашифровало... Все файлы с расширением .kwx8
      Без Вашей помощи не обойтись явно.
      Desktop.zip
×
×
  • Создать...