globeimposter 2.0 Trojan-Ransom.Win32.Blocker.kfgf

[larm]

Добрый день.

 

К сожалению, без настроенной категории «Защищаемые типы файлов» KES10sp1mr3 не спас. Пользователь запустил вчера файл Copy 10082017.scr, пришедший по почте, пока еще базами не детектился вирус.

И с утра получил зашифрованные файлы.

 

Каспер поймал вчера сразу:

троянская программа Trojan.BAT.Delsha.d     C:\Users\<user>\AppData\Local\Temp\__t3657.tmp.bat

троянская программа Trojan.BAT.Delsha.d     C:\Users\<user>\AppData\Local\Temp\__t30D4.tmp.bat

 

Сегодня с лечением активного заражения:

Trojan-Ransom.Win32.Blocker.kfgf       C:\Users\<user>\AppData\Local\Temp\Rar$DIa0.476\Copy 10082017.scr

троянская программа Trojan.BAT.Delsha.d     C:\Users\<user>\AppData\Local\Temp\__t7508.tmp.bat

троянская программа Trojan.BAT.Delsha.d     C:\Users\\<user>\AppData\Local\Temp\__t5CA2.tmp.bat

 

Но шифрования не избежали, все происходило под бдительным контролем активности программ))

Программа\Название:     Shelveset Untyped

Программа\Путь:     c:\users\public\

Программа\ID процесса:     2080

Результат\Описание:     Разрешено

Результат\Тип:     Доступ к файлам

Результат\Название:     My documents2

Результат\Степень угрозы:     Низкая

Результат\Точность:     Точно

Действие:     Удаление

Объект:     C:\USERS\<user>\DOCUMENTS\KASP10_BEST_PRACTICESRU.PDF

 

 

Тип события:     Сработало правило Контроля активности программ

Программа\Название:     Shelveset Untyped

Программа\Путь:     c:\users\public\

Программа\ID процесса:     2080

Результат\Описание:     Разрешено

Результат\Тип:     Доступ к файлам

Результат\Название:     My documents2

Результат\Степень угрозы:     Низкая

Результат\Точность:     Точно

Действие:     Создание

Объект:     C:\USERS\<user>\DOCUMENTS\KASP10_BEST_PRACTICESRU.PDF.CRYPT

 

Если будет необходимость, то Copy 10082017.scr  скорее всего остался в резервном хранилище.

Расширения файлов .crypt. Имеется html страничка how_to_back_files.html В нем Your personal ID.

 

Имеется оригинальный до шифрования файлик и соответствующий ему после работы шифровальщика.

В планах обращение в CompanyAccount Касперского. Правда, скорее для порядка, чем для результата.

 

Просканировано  KES со свежими базами и Dr.Web CureIt.

 

Прикладываю  Логи AutoLogger.exe и how_to_back_files.html

logs.zip

[thyrex]

Globe Imposter 2 с высокой вероятностью. Расшифровки не будет.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[larm]

Globe Imposter 2 с высокой вероятностью. Расшифровки не будет.

Не сильно критично, что расшифровки не будет. Но по каждому факту шифрования приходится вести обращения в CompanyAccount.

 

frst.zip

[thyrex]

Но по каждому факту шифрования приходится вести обращения в CompanyAccount

Очевидно, что стоит заняться повышением уровня информационной безопасности сотрудников организации.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2017-08-11 09:07 - 2017-08-11 09:07 - 000004376 _____ C:\Users\61046\AppData\Local\how_to_back_files.html
2017-08-11 08:39 - 2017-08-11 08:39 - 000004376 _____ C:\Users\61046\AppData\Roaming\how_to_back_files.html
2017-08-11 08:38 - 2017-08-11 08:38 - 000004376 _____ C:\Users\61046\Desktop\how_to_back_files.html
2017-08-11 08:36 - 2017-08-11 08:36 - 000004376 _____ C:\Users\61046\Documents\how_to_back_files.html
2017-08-11 08:31 - 2017-08-11 08:31 - 000004376 _____ C:\Users\61046\Downloads\how_to_back_files.html
2017-08-11 08:20 - 2017-08-11 08:20 - 000004376 _____ C:\Users\61046\how_to_back_files.html
2017-08-11 08:19 - 2017-08-11 08:19 - 000004376 _____ C:\Users\Public\how_to_back_files.html
2017-08-11 08:19 - 2017-08-11 08:19 - 000004376 _____ C:\Users\Public\Downloads\how_to_back_files.html
2017-08-11 08:19 - 2017-08-11 08:19 - 000004376 _____ C:\Users\Public\Documents\how_to_back_files.html
2017-08-11 08:08 - 2017-08-11 08:08 - 000004376 _____ C:\Users\user\AppData\Local\how_to_back_files.html
2017-08-11 08:03 - 2017-08-11 08:03 - 000004376 _____ C:\Users\user\AppData\Roaming\how_to_back_files.html
2017-08-11 08:02 - 2017-08-11 08:02 - 000004376 _____ C:\Users\user\how_to_back_files.html
2017-08-11 08:02 - 2017-08-11 08:02 - 000004376 _____ C:\Users\user\Downloads\how_to_back_files.html
2017-08-11 08:02 - 2017-08-11 08:02 - 000004376 _____ C:\Users\user\Documents\how_to_back_files.html
2014-11-06 16:47 - 2014-11-06 16:47 - 000560024 _____ (Ask Partner Network) C:\Users\user\AppData\Local\Temp\APNSetup.exe
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[larm]

Очевидно, что стоит заняться повышением уровня информационной безопасности сотрудников организации.

Да скорее только белый список программ или порезанный доступ к файлам для прог с ограничением. Всегда есть 1% "продвинутых" пользователей, которые запустят зловреда: "у меня же касперский установлен", "я запустил не двойным щелчком, а открыл ворд и из него открыл файл"...

 

 

Fixlog.txt

[thyrex]

Мусор почистили.

 

Всегда есть 1% "продвинутых" пользователей, которые запустят зловреда

ну вот и поясните им, что любой антивирус - это не панацея. 95% проблем от очумелых ручек самих пользователей.

 

Пароль от RDP и используемый по умолчанию порт тоже стоит сменить.

[larm]

Спасибо!

[Soft]

Сообщение от модератора Soft

Пост перенесён в эту тему