ransom.shade Вирус-шифровальщик .crypted000007

[salnh]

Добрый день!

Поймала вирус, зашифровавший все файлы с расширением .crypted000007

Проверила компьютер и почистила троянские файлы, с помощью Kaspersky Virus Removal Tool.

 

Буду очень признательна за помощь в очистке мусора.

 

CollectionLog-2017.07.22-04.12.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\Петюня\AppData\Roaming\System\svchost.exe', '');
 QuarantineFileF('C:\Users\Петюня\AppData\Roaming\System\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Users\Петюня\AppData\Roaming\System\svchost.exe', '32');
 DeleteFileMask('C:\Users\Петюня\AppData\Roaming\System\', '*', true);
 DeleteDirectory('C:\Users\Петюня\AppData\Roaming\System\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Eventlog\Application\NSSM', 'EventMessageFile');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

[salnh]

Сделано!

Ссылка на результаты проверки карантина: https://virusinfo.info/virusdetector/report.php?md5=59D1461DB99D7D779589183F21C4487A

Ответ от newvirus@kaspersky.com :

 

KLAN-6556852422

Thank you for contacting Kaspersky Lab

The files have been scanned in automatic mode.

No information about the specified files can be found in the antivirus databases:
svchost.exe

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

This is an automatically generated message. Please do not reply to it.

Anti-Virus Lab, Kaspersky Lab HQ

CollectionLog-2017.07.22-15.46.zip

[regist]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
 

[salnh]

Сделано!

Addition.txt

FRST.txt

Shortcut.txt

[regist]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Start::
CreateRestorePoint:
GroupPolicy: Restriction <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-3396927197-137389567-2844388519-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
FF HKLM-x32\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
2017-07-14 02:05 - 2017-07-22 02:37 - 00000000 __SHD C:\ProgramData\services
2017-07-14 02:04 - 2017-07-22 02:37 - 00000000 __SHD C:\ProgramData\Csrss
2017-07-14 02:04 - 2017-07-14 02:04 - 03148854 _____ C:\Users\Петюня\AppData\Roaming\3B1E8F5D3B1E8F5D.bmp
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README9.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README8.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README7.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README6.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README5.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README4.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README3.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README2.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README10.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Петюня\Desktop\README1.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README9.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README8.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README7.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README6.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README5.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README4.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README3.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README2.txt
2017-07-14 02:04 - 2017-07-14 02:04 - 00004154 _____ C:\Users\Public\Desktop\README1.txt
2017-07-13 16:06 - 2017-07-22 02:37 - 00000000 __SHD C:\ProgramData\Windows
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README9.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README8.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README7.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README6.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README5.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README4.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README3.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README2.txt
2017-07-13 16:06 - 2017-07-13 16:06 - 00004154 _____ C:\README10.txt
EmptyTemp:
Reboot:
End::

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[salnh]

Сделано!

Fixlog.txt

[regist]

С расшифровкой, увы, помочь не сможем.
 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

[salnh]

Спасибо большое!

[Алексей Тинку]

Кто-нибудь знает где этот шифровальщик держит закрытый ключ?

Не дали доработать до конца ему, вырубили из розетки. Даже файлы README не создал нигде, так что думаю есть шанс что закрытый ключ еще на компе.