Перейти к содержанию

Файлы зашифрованы WannaCry

Killa2009
 Поделиться

Рекомендуемые сообщения

Killa2009

Killa2009

Опубликовано
Опубликовано

Здравствуйте.

Очередной результат работы WannaCry.

 

История:

 

На системнике несколько дней назад были зашифрованы файлы, системник после этого выключался, перезагружался, были попытки найти и удалить вирусы.

Файлы имеют расширение .WNCRY.

 

Проверил KVRT - найдено 81 объект, скриншот карантина склеил из трёх, получилось не в хронологическом порядке, но это не суть.

 

Собрал логи, вот они.

 

Что делать? помогите с расшифровкой.

post-46080-0-49426300-1496164515_thumb.jpg

CollectionLog-2017.05.30-18.21.zip

regist

regist

Опубликовано
Опубликовано

 

 


CollectionLog-2017.05.30-18.21.zip 107,29К скачиваний 0
архив с логами похоже повреждён, соберите заново и загрузите свежие.
regist

regist

Опубликовано
Опубликовано

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\PROGRA~2\5f91e97\4078be7e.dll', '');
 QuarantineFileF('c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\programdata\{cfc5637f-786e-d4d4-4b2e-904fc3a223ef}\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\PROGRA~2\5f91e97\4078be7e.dll', '32');
 QuarantineFileF('C:\ProgramData\htvcjduwwhgt503', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFileMask('C:\ProgramData\htvcjduwwhgt503', '*', true);
 DeleteDirectory('C:\ProgramData\htvcjduwwhgt503');
 ExecuteFile('schtasks.exe', '/delete /TN "Bidaily Synchronize Task[8da6]" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{E30AAAC2-FAFA-C8F2-40C6-87548A06F912}" /F', 0, 15000, true);
 DeleteFileMask('c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\', '*', true);
 DeleteFileMask('c:\programdata\{cfc5637f-786e-d4d4-4b2e-904fc3a223ef}\', '*', true);
 DeleteDirectory('c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\');
 DeleteDirectory('c:\programdata\{cfc5637f-786e-d4d4-4b2e-904fc3a223ef}\');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

"Пофиксите" в HijackThis:

O1 - Hosts: 54.235.90.58 pfclfmlchccebmcliefbcpmkdoheniel
O2 - BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O2 - BHO: True Key Helper - {0F4B8786-5502-4803-8EBC-F652A1153BB6} - (no file)
O3 - Toolbar: True Key - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - (no file)
O4 - MSConfig\startupreg: [AlterGeoUpdater] C:\Program Files\AlterGeo\Html5 geolocation provider\html5locsvc.exe (file missing) (HKLM) (2017/05/18)
O4 - MSConfig\startupreg: [Browser Manager] C:\Users\D\AppData\Local\Yandex\BrowserManager\MBLauncher.exe  (file missing) (HKCU) (2017/05/15)
O4 - MSConfig\startupreg: [mrupdsrv] C:\Users\D\AppData\Local\Mail.Ru\Update Service\mrupdsrv.exe --u (file missing) (HKCU) (2017/05/15)
O22 - Task (Queued): DNSRIPON - C:\Program Files\DNS Unlocker\dnsripon.exe /Scheduled (file missing)
O22 - Task (Ready): Bidaily Synchronize Task[8da6] - c:\programdata\{e960d0fe-92ca-d7c3-e960-0d0fe92c43fa}\hqghumeaylnlf.exe --startup=1 --single (file missing)
O22 - Task (Ready): Run RoboForm TaskBar Icon - C:\Program Files\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe (file missing)
O22 - Task (Ready): bench-S-1-5-21-3218819731-2906234256-837971071-1001 - C:\Program Files\Bench\Updater\updater.exe -runmode=checkupdate (file missing)
Unity Web Player [2017/04/06 12:15:02]-->C:\Users\D\AppData\Local\Unity\WebPlayer\Uninstall.exe /CurrentUser
Кнопка "Яндекс" на панели задач [2016/04/03 19:23:34]-->C:\Users\D\AppData\Local\Yandex\yapin\YandexWorking.exe --uninstall --nopinned

Если сами не ставили/не используете, то деинсталируйте.

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

c:\program files\microsoft updates\tor\tor.exe

Вам знакомо?

Killa2009

Killa2009

Опубликовано
  • Автор
Опубликовано (изменено)

Во время выполнения первого скрипта AVZ, он зависал два раза на удалении папки TEMP, перезагружал пробовал заново - не помогало. Помогло загрузиться с LiveCD и удалить эту папку вручную. После чего скрипт отработал нормально.

 

HiJackThis у меня вместо

 

O22 - Task (Queued): DNSRIPON <...>

показал

O22 - Task (Ready): DNSRIPON <...>

- всё равно отметил "Fix"

 

и не было

 

O22 - Task (Ready): Bidaily Synchronize Task

 

 

Нет, tor.exe не знакомо.

 

Unity Web Player и кнопку Яндекс удалил.

 

1. Ссылка на анализ,

2. Повторное сканирование (Автологгер с шифтом)

3. [KLAN-6331330401]

Ссылка на анализ.txt

CollectionLog-2017.05.31-16.28_повторный.zip

Изменено пользователем Killa2009
regist

regist

Опубликовано
Опубликовано 

Search.us.com [2013/07/20 18:26:55]-->"C:\Users\D\AppData\Local\TNT2\2.0.0.1534\TNT2User.exe" /UNINSTALL PARTNER=10513
Search.us.com [2013/07/20 18:27:36]-->"C:\Users\D\AppData\Local\TNT2\2.0.0.1534\TNT2User.exe" /UNINSTALL PARTNER=10511
Skype Click to Call [20161020]-->MsiExec.exe /I{873F8E7C-10E6-449F-BD7E-5FBA7C8E1C9B}

советую деинсталировать.

 

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

regist

regist

Опубликовано
Опубликовано

Html5 geolocation provider и Skype Click to Call - советую деинсталируйте.

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
CreateRestorePoint:
HKLM\...\Run: [] => [X]
GroupPolicy\User: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Extension: (ShoppereMasuTero) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\ExX8@i.com [2017-05-15] [not signed]
FF Extension: (ShoopPerMMaster) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\Gb4AP2@T9.org [2017-05-15] [not signed]
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\homepage@mail.ru [2017-05-15]
FF Extension: (TiicTaCoupouN) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\N@g6Zk.org [2017-05-15] [not signed]
FF Extension: (KiNguCouuponn) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\OD5QN@OJ.edu [2017-05-15] [not signed]
FF Extension: (ExtRaShopPeor) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\Py@N.com [2017-05-15] [not signed]
FF Extension: (LuCkyCooUppoon) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\reXSpQ@2eq.net [2017-05-15] [not signed]
FF Extension: (Поиск@Mail.Ru) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\search@mail.ru [2017-05-15]
FF Extension: (LuickySShopppaerr) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\TJqf@Zetp.net [2017-05-15] [not signed]
FF Extension: (LuickySuhoppEr) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\u5@Gh.edu [2017-05-15] [not signed]
FF Extension: (&Yandex Elements&) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\yasearch@yandex.ru [2017-05-15] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\D\AppData\Roaming\Mozilla\Firefox\Profiles\o32i5n2v.default-1394306219993\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-05-15]
CHR Extension: (Attachment Icons for Gmail) - C:\Users\D\AppData\Local\Google\Chrome\User Data\Default\Extensions\johdeoloijidhejmalfkpchbihbiamph [2017-05-15] [UpdateUrl: hxxps://mynamedomain.koko//0service/update2/crx] <==== ATTENTION
CHR Extension: (Google Кошелек) - C:\Users\D\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2017-05-15] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Are You Watching This Sports) - C:\Users\D\AppData\Local\Google\Chrome\User Data\Default\Extensions\pfneigogocifpmjngcpbhfmjhbckjcao [2017-05-15] [UpdateUrl: hxxps://mynamedomain.koko//0service/update2/crx] <==== ATTENTION
S2 gupdate; "C:\Program Files\Google\Update\GoogleUpdate.exe" /svc [X]
S3 gupdatem; "C:\Program Files\Google\Update\GoogleUpdate.exe" /medsvc [X]
S2 HPSLPSVC; C:\Users\D\AppData\Local\Temp\7zS29ED\hpslpsvc32.dll [X] <==== ATTENTION
S4 TeamViewer; "c:\users\d\appdata\local\temp\teamviewer\TeamViewer_Service.exe" [X] <==== ATTENTION
2017-05-13 18:05 - 2017-05-11 20:13 - 01440054 _____ C:\Users\Default\Desktop\@WanaDecryptor@.bmp
2017-05-13 18:05 - 2017-05-11 20:13 - 01440054 _____ C:\Users\Default User\Desktop\@WanaDecryptor@.bmp
2017-05-12 21:28 - 2017-05-12 20:47 - 00000933 _____ C:\Users\D\Desktop\@Please_Read_Me@.txt
2017-05-15 12:10 - 2016-02-26 18:40 - 00000000 ____D C:\ProgramData\5f91e97
Html5 geolocation provider (HKLM\...\{12644DC5-2271-442B-816F-8CFFD3DDDF32}) (Version: 3.5.4.872 - AlterGeo)
CustomCLSID: HKU\S-1-5-21-3218819731-2906234256-837971071-1001_Classes\CLSID\{86002F38-B7C3-48C2-AEFD-6BC409D250F7}\localserver32 -> no filepath
CustomCLSID: HKU\S-1-5-21-3218819731-2906234256-837971071-1001_Classes\CLSID\{9BFBA68E-E21B-458E-AE12-FE85E903D2C0}\InprocServer32 -> no filepath
Task: {04C6A972-47DE-4D03-BD51-7F71EFED1173} - no filepath
Task: {75845D88-883D-4234-BF2B-F9093D9CC363} - System32\Tasks\{620D93D2-D5A6-2479-1AE8-25A147D34063} => C:\ProgramData\{14F643CA-A35D-F461-4702-1956FBBF7934}\D6C512E6-616E-A54D-3A13-5653C2FD9967.exe [2017-05-08] () <==== ATTENTION
Task: {A714B59A-3B60-4B70-ACC8-22A6CAAC3644} - System32\Tasks\{312D86C2-99A3-4093-A0CC-61519CCEE3AF} => pcalua.exe -a "C:\Users\D\Downloads\McAfee VirusScan Enterprise 8.8\VSE880LML\UnInst.exe" -d "C:\Users\D\Downloads\McAfee VirusScan Enterprise 8.8\VSE880LML"
Task: {EB7A330C-989B-4F42-8D50-8EDEABCC2DF2} - System32\Tasks\Microsoft\Windows\Tcpip\TorHost => C:\Program Files\Microsoft Updates\Tor\tor.exe [2017-05-13] ()
Task: {F2CBCB73-1BDF-4D72-815D-9930C3AF2F91} - no filepath
Task: {FF3C288D-E8AB-45B5-A1AF-8C6ABF26FB90} - System32\Tasks\{98F327A2-2F58-9009-01FF-3D30BC7B2F0E} => C:\ProgramData\{CFC5637F-786E-D4D4-4B2E-904FC3A223EF}\403F255C-F794-92F7-DE67-FC183171B5B6.exe  <==== ATTENTION
2017-05-13 13:17 - 2017-05-13 13:17 - 01966080 _____ () C:\Program Files\Microsoft Updates\Tor\tor.exe
2017-05-13 13:17 - 2017-05-13 13:17 - 00715476 _____ () C:\Program Files\Microsoft Updates\Tor\libevent-2-0-5.dll
2017-05-13 13:17 - 2017-05-13 13:17 - 00091538 _____ () C:\Program Files\Microsoft Updates\Tor\libssp-0.dll
2017-05-13 13:17 - 2017-05-13 13:17 - 00519862 _____ () C:\Program Files\Microsoft Updates\Tor\libgcc_s_sjlj-1.dll
2017-05-13 13:17 - 2017-05-13 13:17 - 00111104 _____ () C:\Program Files\Microsoft Updates\Tor\zlib1.dll
FirewallRules: [{051EB420-EF30-4797-B1E8-11C146BC59D6}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
FirewallRules: [{19B1D475-CC1F-4834-8AC3-C5AB46D82882}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
FirewallRules: [{FCA04463-E2EC-4E4C-BFE4-D267D1372968}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
FirewallRules: [{325BD7E0-2A07-4849-9B6C-6E7D21F6B8B9}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
FirewallRules: [{1F2FC9B0-CE1A-426C-8F86-D2E2C970D640}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
FirewallRules: [{CB08EF61-1551-4271-BA08-4D13969EBDE2}] => (Allow) C:\Program Files\McAfee\Common Framework\FrameworkService.exe
FirewallRules: [{1BE707FA-4C74-4A25-9791-B945204E2E16}] => (Allow) C:\Users\D\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{65E140E8-9934-4678-8898-C30AADE2CC77}] => (Allow) C:\Users\D\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{1C339CDB-5FD6-4AE6-A9DD-0C98699839B4}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS1F28\HPDiagnosticCoreUI.exe
FirewallRules: [{F80CFA47-2BAC-4EE6-90BC-5E79448B56DF}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS1F28\HPDiagnosticCoreUI.exe
FirewallRules: [{165EA14A-ADB0-4425-B1CD-F6594897A357}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS29ED\hppiw.exe
FirewallRules: [{533DFDEE-B89B-4D03-8F54-7486B744EF7C}] => (Allow) C:\Users\D\AppData\Local\Temp\7zS29ED\hppiw.exe
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Дамир Рустамович

Дамир Рустамович

Опубликовано
Опубликовано

Вана киви пользовался кто-либо!? нужен ответ работает ли она, но вирус уже удалён, без него не прокатит?

regist

regist

Опубликовано
Опубликовано

Поставьте обновление http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212
И в будущем не забывайте своевременно обновляться.

Раз восстановление системы было включено, то можете, попробовать восстановить файлы из теневых копий.
 
Больше помочь нечем, расшифровки пока нет.

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • andy1983
      зашифровались файлы, расширение wncry
      Автор andy1983
      Добрый день.
      Компьютер в организации, стоит обновленная лицензионная windows 10, обновленный лицензионной Kaspersy Endpoint Security 10, по словам пользователя он ничего не скачивал, не запускал. Компьютер обычно не выключается. Сегодняшней ночью все word, excel, db, jpg, pst (это видимо неполный список, просто на первый вгляд) оказались зашифрованными, расширение wncry. Кроме того, в каждой папке появилось текстовое сообщение (оно в приложении). Сканирование drweb cure it не обнаружило ничего похожего на шифровальщик, 1 непонятный троян, по всем поискам - не шифровальщик и конвертера от freemake (лог прилагается), KVRT вообще ничего не обнаружил. Я запустил autologger, результат также прилагаю. Кроме того, у меня есть пример зашифрованного файла и файла оригинала.
      Откуда шифровщик мог пролезть? Либо пользователь врет, либо я не знаю что это, снаружи 465 порт закрыт, комп был в сети и другие компы тоже были в сети, тоже были включенные, на них ни малейшего признака заражения. Куда копать? Возможно ли восстановить файлы? Прошу помощи.
      Еще раз, в приложении: лог autologger и архив (пароль 123), в котором лог drweb cureit, зашифрованный фал и файл оригинал, а также текстовый файл, который появился в каждой папке где зашифровались файлы.
       
      Заранее спасибо
      CollectionLog-2017.06.20-11.42.zip
      Archive.rar
    • Katushechka
      Вирус heur:trojan-ransom.win32.wanna.a
      Автор Katushechka
      Доброй ночи. Компьютер ни с того ни с сего стал выкидывать экраны смерти. Касперский два раза находил файл heur:trojan-ransom.win32.wanna.a (C:\Windows\mssecsvc.exe) и два раза удалял его. 
      CollectionLog-2017.06.07-23.29.zip
    • НатальяЧелябинск
      WannaCry зашифровала файлы
      Автор НатальяЧелябинск
      Помогите найти дешифратор для лога.
      Спасибо
      CollectionLog-2017.06.08-19.54.zip
    • Олег 33
      Нужные файлы зашифрованы WNCRY
      Автор Олег 33
      Все файлы находящиеся на диске D стали иметь тип файла WNCRY, к тому же места на диске стало меньше примерно на 10 гб. Помогите, пожалуйста, расшифровать необходимые файлы. 
      avz_log.txt
    • alixbrend
      Вирус WNCRY
      Автор alixbrend
      заблокировал все фото этот вирус ничего неоткрывается... прошу помощи
×
×
  • Создать...