Файлы зашифрованы WannaCry

[Killa2009]

Здравствуйте.

Очередной результат работы WannaCry.

 

История:

 

На системнике несколько дней назад были зашифрованы файлы, системник после этого выключался, перезагружался, были попытки найти и удалить вирусы.

Файлы имеют расширение .WNCRY.

 

Проверил KVRT - найдено 81 объект, скриншот карантина склеил из трёх, получилось не в хронологическом порядке, но это не суть.

 

Собрал логи, вот они.

 

Что делать? помогите с расшифровкой.

CollectionLog-2017.05.30-18.21.zip

[regist]

 

 

CollectionLog-2017.05.30-18.21.zip 107,29К скачиваний 0

архив с логами похоже повреждён, соберите заново и загрузите свежие.

[Killa2009]

Вот

CollectionLog-2017.05.31-10.52.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\PROGRA~2\5f91e97\4078be7e.dll', '');
 QuarantineFileF('c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\programdata\{cfc5637f-786e-d4d4-4b2e-904fc3a223ef}\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\PROGRA~2\5f91e97\4078be7e.dll', '32');
 QuarantineFileF('C:\ProgramData\htvcjduwwhgt503', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFileMask('C:\ProgramData\htvcjduwwhgt503', '*', true);
 DeleteDirectory('C:\ProgramData\htvcjduwwhgt503');
 ExecuteFile('schtasks.exe', '/delete /TN "Bidaily Synchronize Task[8da6]" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{E30AAAC2-FAFA-C8F2-40C6-87548A06F912}" /F', 0, 15000, true);
 DeleteFileMask('c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\', '*', true);
 DeleteFileMask('c:\programdata\{cfc5637f-786e-d4d4-4b2e-904fc3a223ef}\', '*', true);
 DeleteDirectory('c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\');
 DeleteDirectory('c:\programdata\{cfc5637f-786e-d4d4-4b2e-904fc3a223ef}\');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

"Пофиксите" в HijackThis:

O1 - Hosts: 54.235.90.58 pfclfmlchccebmcliefbcpmkdoheniel
O2 - BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O2 - BHO: True Key Helper - {0F4B8786-5502-4803-8EBC-F652A1153BB6} - (no file)
O3 - Toolbar: True Key - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - (no file)
O4 - MSConfig\startupreg: [AlterGeoUpdater] C:\Program Files\AlterGeo\Html5 geolocation provider\html5locsvc.exe (file missing) (HKLM) (2017/05/18)
O4 - MSConfig\startupreg: [Browser Manager] C:\Users\D\AppData\Local\Yandex\BrowserManager\MBLauncher.exe  (file missing) (HKCU) (2017/05/15)
O4 - MSConfig\startupreg: [mrupdsrv] C:\Users\D\AppData\Local\Mail.Ru\Update Service\mrupdsrv.exe --u (file missing) (HKCU) (2017/05/15)
O22 - Task (Queued): DNSRIPON - C:\Program Files\DNS Unlocker\dnsripon.exe /Scheduled (file missing)
O22 - Task (Ready): Bidaily Synchronize Task[8da6] - c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\hqghumeaylnlf.exe --startup=1 --single (file missing)
O22 - Task (Ready): Run RoboForm TaskBar Icon - C:\Program Files\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe (file missing)
O22 - Task (Ready): bench-S-1-5-21-3218819731-2906234256-837971071-1001 - C:\Program Files\Bench\Updater\updater.exe -runmode=checkupdate (file missing)

Unity Web Player [2017/04/06 12:15:02]-->C:\Users\D\AppData\Local\Unity\WebPlayer\Uninstall.exe /CurrentUser
Кнопка "Яндекс" на панели задач [2016/04/03 19:23:34]-->C:\Users\D\AppData\Local\Yandex\yapin\YandexWorking.exe --uninstall --nopinned

Если сами не ставили/не используете, то деинсталируйте.

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

c:\program files\microsoft updates\tor\tor.exe

Вам знакомо?

[Killa2009]

Во время выполнения первого скрипта AVZ, он зависал два раза на удалении папки TEMP, перезагружал пробовал заново - не помогало. Помогло загрузиться с LiveCD и удалить эту папку вручную. После чего скрипт отработал нормально.

 

HiJackThis у меня вместо

 

O22 - Task (Queued): DNSRIPON <...>

показал

O22 - Task (Ready): DNSRIPON <...>

- всё равно отметил "Fix"

 

и не было

 

O22 - Task (Ready): Bidaily Synchronize Task

 

 

Нет, tor.exe не знакомо.

 

Unity Web Player и кнопку Яндекс удалил.

 

1. Ссылка на анализ,

2. Повторное сканирование (Автологгер с шифтом)

3. [KLAN-6331330401]

Ссылка на анализ.txt

CollectionLog-2017.05.31-16.28_повторный.zip

Изменено 31 мая, 2017 пользователем Killa2009

[regist]

Search.us.com [2013/07/20 18:26:55]-->"C:\Users\D\AppData\Local\TNT2\2.0.0.1534\TNT2User.exe" /UNINSTALL PARTNER=10513
Search.us.com [2013/07/20 18:27:36]-->"C:\Users\D\AppData\Local\TNT2\2.0.0.1534\TNT2User.exe" /UNINSTALL PARTNER=10511
Skype Click to Call [20161020]-->MsiExec.exe /I{873F8E7C-10E6-449F-BD7E-5FBA7C8E1C9B}

советую деинсталировать.

 

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

[Killa2009]

Вот.

Addition.txt

FRST.txt

Shortcut.txt

[regist]

Html5 geolocation provider и Skype Click to Call - советую деинсталируйте.

 

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  HKLM\...\Run: [] => [X]
  GroupPolicy\User: Restriction ? <======= ATTENTION
  GroupPolicyScripts: Restriction <======= ATTENTION
  GroupPolicyScripts\User: Restriction <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
  FF Extension: (ShoppereMasuTero) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\ExX8@i.com [2017-05-15] [not signed]
  FF Extension: (ShoopPerMMaster) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\Gb4AP2@T9.org [2017-05-15] [not signed]
  FF Extension: (Домашняя страница Mail.Ru) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\homepage@mail.ru [2017-05-15]
  FF Extension: (TiicTaCoupouN) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\N@g6Zk.org [2017-05-15] [not signed]
  FF Extension: (KiNguCouuponn) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\OD5QN@OJ.edu [2017-05-15] [not signed]
  FF Extension: (ExtRaShopPeor) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\Py@N.com [2017-05-15] [not signed]
  FF Extension: (LuCkyCooUppoon) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\reXSpQ@2eq.net [2017-05-15] [not signed]
  FF Extension: (Поиск@Mail.Ru) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\search@mail.ru [2017-05-15]
  FF Extension: (LuickySShopppaerr) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\TJqf@Zetp.net [2017-05-15] [not signed]
  FF Extension: (LuickySuhoppEr) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\u5@Gh.edu [2017-05-15] [not signed]
  FF Extension: (&Yandex Elements&) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\yasearch@yandex.ru [2017-05-15] [not signed]
  FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-05-15]
  CHR Extension: (Attachment Icons for Gmail) - C:\Users\D\AppData\Local\Google\Chrome\User Data\Default\Extensions\johdeoloijidhejmalfkpchbihbiamph [2017-05-15] [UpdateUrl: hxxps://mynamedomain.koko//0service/update2/crx] <==== ATTENTION
  CHR Extension: (Google Кошелек) - C:\Users\D\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2017-05-15] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
  CHR Extension: (Are You Watching This Sports) - C:\Users\D\AppData\Local\Google\Chrome\User Data\Default\Extensions\pfneigogocifpmjngcpbhfmjhbckjcao [2017-05-15] [UpdateUrl: hxxps://mynamedomain.koko//0service/update2/crx] <==== ATTENTION
  S2 gupdate; "C:\Program Files\Google\Update\GoogleUpdate.exe" /svc [X]
  S3 gupdatem; "C:\Program Files\Google\Update\GoogleUpdate.exe" /medsvc [X]
  S2 HPSLPSVC; C:\Users\D\AppData\Local\Temp\7zS29ED\hpslpsvc32.dll [X] <==== ATTENTION
  S4 TeamViewer; "c:\users\d\appdata\local\temp\teamviewer\TeamViewer_Service.exe" [X] <==== ATTENTION
  2017-05-13 18:05 - 2017-05-11 20:13 - 01440054 _____ C:\Users\Default\Desktop\@WanaDecryptor@.bmp
  2017-05-13 18:05 - 2017-05-11 20:13 - 01440054 _____ C:\Users\Default User\Desktop\@WanaDecryptor@.bmp
  2017-05-12 21:28 - 2017-05-12 20:47 - 00000933 _____ C:\Users\D\Desktop\@Please_Read_Me@.txt
  2017-05-15 12:10 - 2016-02-26 18:40 - 00000000 ____D C:\ProgramData\5f91e97
  Html5 geolocation provider (HKLM\...\{12644DC5-2271-442B-816F-8CFFD3DDDF32}) (Version: 3.5.4.872 - AlterGeo)
  CustomCLSID: HKU\S-1-5-21-3218819731-2906234256-837971071-1001_Classes\CLSID\{86002F38-B7C3-48C2-AEFD-6BC409D250F7}\localserver32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-3218819731-2906234256-837971071-1001_Classes\CLSID\{9BFBA68E-E21B-458E-AE12-FE85E903D2C0}\InprocServer32 -> no filepath
  Task: {04C6A972-47DE-4D03-BD51-7F71EFED1173} - no filepath
  Task: {75845D88-883D-4234-BF2B-F9093D9CC363} - System32\Tasks\{620D93D2-D5A6-2479-1AE8-25A147D34063} => C:\ProgramData\{14F643CA-A35D-F461-4702-1956FBBF7934}\D6C512E6-616E-A54D-3A13-5653C2FD9967.exe [2017-05-08] () <==== ATTENTION
  Task: {A714B59A-3B60-4B70-ACC8-22A6CAAC3644} - System32\Tasks\{312D86C2-99A3-4093-A0CC-61519CCEE3AF} => pcalua.exe -a "C:\Users\D\Downloads\McAfee VirusScan Enterprise 8.8\VSE880LML\UnInst.exe" -d "C:\Users\D\Downloads\McAfee VirusScan Enterprise 8.8\VSE880LML"
  Task: {EB7A330C-989B-4F42-8D50-8EDEABCC2DF2} - System32\Tasks\Microsoft\Windows\Tcpip\TorHost => C:\Program Files\Microsoft Updates\Tor\tor.exe [2017-05-13] ()
  Task: {F2CBCB73-1BDF-4D72-815D-9930C3AF2F91} - no filepath
  Task: {FF3C288D-E8AB-45B5-A1AF-8C6ABF26FB90} - System32\Tasks\{98F327A2-2F58-9009-01FF-3D30BC7B2F0E} => C:\ProgramData\{CFC5637F-786E-D4D4-4B2E-904FC3A223EF}\403F255C-F794-92F7-DE67-FC183171B5B6.exe  <==== ATTENTION
  2017-05-13 13:17 - 2017-05-13 13:17 - 01966080 _____ () C:\Program Files\Microsoft Updates\Tor\tor.exe
  2017-05-13 13:17 - 2017-05-13 13:17 - 00715476 _____ () C:\Program Files\Microsoft Updates\Tor\libevent-2-0-5.dll
  2017-05-13 13:17 - 2017-05-13 13:17 - 00091538 _____ () C:\Program Files\Microsoft Updates\Tor\libssp-0.dll
  2017-05-13 13:17 - 2017-05-13 13:17 - 00519862 _____ () C:\Program Files\Microsoft Updates\Tor\libgcc_s_sjlj-1.dll
  2017-05-13 13:17 - 2017-05-13 13:17 - 00111104 _____ () C:\Program Files\Microsoft Updates\Tor\zlib1.dll
  FirewallRules: [{051EB420-EF30-4797-B1E8-11C146BC59D6}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
  FirewallRules: [{19B1D475-CC1F-4834-8AC3-C5AB46D82882}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
  FirewallRules: [{FCA04463-E2EC-4E4C-BFE4-D267D1372968}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
  FirewallRules: [{325BD7E0-2A07-4849-9B6C-6E7D21F6B8B9}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
  FirewallRules: [{1F2FC9B0-CE1A-426C-8F86-D2E2C970D640}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
  FirewallRules: [{CB08EF61-1551-4271-BA08-4D13969EBDE2}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
  FirewallRules: [{1BE707FA-4C74-4A25-9791-B945204E2E16}] => (Allow) C:\Users\D\AppData\Local\MediaGet2\mediaget.exe
  FirewallRules: [{65E140E8-9934-4678-8898-C30AADE2CC77}] => (Allow) C:\Users\D\AppData\Local\MediaGet2\mediaget.exe
  FirewallRules: [{1C339CDB-5FD6-4AE6-A9DD-0C98699839B4}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS1F28\HPDiagnosticCoreUI.exe
  FirewallRules: [{F80CFA47-2BAC-4EE6-90BC-5E79448B56DF}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS1F28\HPDiagnosticCoreUI.exe
  FirewallRules: [{165EA14A-ADB0-4425-B1CD-F6594897A357}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS29ED\hppiw.exe
  FirewallRules: [{533DFDEE-B89B-4D03-8F54-7486B744EF7C}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS29ED\hppiw.exe
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 

[Дамир Рустамович]

Вана киви пользовался кто-либо!? нужен ответ работает ли она, но вирус уже удалён, без него не прокатит?

[regist]

@Дамир Рустамович, внимательно прочтите!

Порядок оформления запроса о помощи

[Killa2009]

Ок

Fixlog.txt

[regist]

Поставьте обновление http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212
И в будущем не забывайте своевременно обновляться.

Раз восстановление системы было включено, то можете, попробовать восстановить файлы из теневых копий.
 
Больше помочь нечем, расшифровки пока нет.

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[Killa2009]

Спасибо за помощь.