Перейти к содержанию

шифровальщик создал файлы crypted000007

Bikar
 Share

Рекомендуемые сообщения

Bikar Новичок

Bikar

Опубликовано
Опубликовано (изменено)

Добрый день, 

поймали шифровальщик, который зашифровал все файлами с расширением crypted000007. Вы можете чем-то помочь?

Изменено пользователем Bikar
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Здравствуйте!

 

У вас тут целый зверинец разнообразного зверья :)

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\fupdate\fupdate.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\390236CA56271EAA3B70BC18BC9F3CE4.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 QuarantineFile('C:\Program Files\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\C561DE31-5754-4E8B-96F8-86332AC3422C.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk', '');
 QuarantineFile('C:\Users\Админ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\csrss.lnk', '');
 QuarantineFile('C:\Users\Админ\Favorites\Links\Интернет.url', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\svshost\svshost.exe', '');
 QuarantineFile('c:\users\админ\appdata\local\temp\CAB83740-73DB8EBA-25C1525D-1B8BB1AB\9b6266ec6.sys', '');
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\program files\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\microsoft\adobe\flash player\e7c31ad3-e169-4a6c-9521-70a4a078494f', '*', true, '', 0 , 0);
 QuarantineFileF('c:\users\админ\appdata\local\searchgo', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\fupdate', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\SearchGo', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\svshost\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\KRB Updater Utility\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\Windows', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\fupdate\fupdate.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\390236CA56271EAA3B70BC18BC9F3CE4.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 DeleteFile('C:\Program Files\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\C561DE31-5754-4E8B-96F8-86332AC3422C.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\SearchGo\searchgo.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\svshost\svshost.exe', '32');
 DeleteFile('c:\users\админ\appdata\local\temp\CAB83740-73DB8EBA-25C1525D-1B8BB1AB\9b6266ec6.sys', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "AE7C31AD3-E169-4A6C-9521-70A4A078494F" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "9F3CE4CB81CB07B3AAE17265AC390236" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "9F3CE4CB81CB07B3AAE17265AC390236SB" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\9F3CE4CB81CB07B3AAE17265AC390236SB" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\AE7C31AD3-E169-4A6C-9521-70A4A078494F" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "svshost" /F', 0, 15000, true);
 DeleteFileMask('C:\Users\Админ\AppData\Local\fupdate', '*', true);
 DeleteFileMask('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\', '*', true);
 DeleteFileMask('C:\Users\Админ\AppData\Local\svshost\', '*', true);
 DeleteFileMask('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\', '*', true);
 DeleteFileMask('C:\ProgramData\KRB Updater Utility\', '*', true);
 DeleteFileMask('C:\ProgramData\Windows', '*', true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteFileMask('c:\program files\kinoroom browser', '*', true);
 DeleteFileMask('c:\users\админ\appdata\local\searchgo', '*', true);
 DeleteDirectory('C:\Users\Админ\AppData\Local\fupdate');
 DeleteDirectory('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\');
 DeleteDirectory('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\');
 DeleteDirectory('C:\ProgramData\KRB Updater Utility\');
 DeleteDirectory('C:\Users\Админ\AppData\Local\svshost\');
 DeleteDirectory('C:\ProgramData\Windows');
 DeleteDirectory('c:\programdata\krb updater utility');
 DeleteDirectory('c:\program files\kinoroom browser');
 DeleteDirectory('c:\users\админ\appdata\local\searchgo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cmtbglwxeh', 'command');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

>>> [HTTP][MASK][h][s] "C:\Users\Админ\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk"      -> ["C:\Windows\explorer.exe"  =>> "hxxp://exensup.ru/?utm_source=startlink03&utm_content=a425479155635b2e4743e1e153a7f55d&utm_term=2641115958231AC62CAA4D9AFDC3BF52&utm_d=20160804"]
-[HTTP] "C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk"      -> ["(Internet Explorer)"  =>> hxxp://lnk.do/WlJ46]
>>> [s] "C:\Users\Админ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\csrss.lnk"     -> ["C:\ProgramData\Windows\csrss.exe"]
>>>  "C:\Users\Админ\Favorites\Links\Интернет.url"  ->                hxxp://exensup.ru/?utm_source=favorites03&utm_content=d9168d89b28a3e71cade9272f1050284&utm_term=2641115958231AC62CAA4D9AFDC3BF52&utm_d=20160804

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.


 

 

Программы/расширения от Mail.ru используете?
 

Антивирус Касперского 6.0 для Windows Workstations [20151201]-->MsiExec.exe /I{8F023021-A7EB-45D3-9269-D65264C81729}

уже несколько лет как это антивирус устарел и физически не может защитить от современных вирусов. И базы обвновления к нему уже не выпускаются, так что обновляйтесь до актуальной версии. А то так и будете постоянно со зверьём жить.

  • Улыбнуло 1
Ссылка на комментарий
Поделиться на другие сайты
Bikar Новичок

Bikar

Опубликовано
  • Автор
Опубликовано

Добрый день, большое спасибо за помощь.

Компьютер из детского сада, предыдущий "админ" ушел год назад. С той поры "экономили средства, которых и так нет". К нам обратились через управляющую компанию  с просьбой спасти хоть что-нибудь. 

Как оказалось история не закончилась. Поскольку они не смогли "прочесть" вложение в письме, "которое они так долго ждали", они начали открывать его последовательно на иных ПК в саду. Поэтому, похоже, что эта тема будет продолжена. 

Логи после предложенного лечения вложены.

KLAN-6673249773

 

Если сейчас оперативно (на время пока идут переговоры о закупке полноценного Касперского) поставить Kaspersky Free - это поможет им? 

 

AdwCleanerS0.txt

Check_Browsers_LNK.log

CollectionLog-2017.08.18-10.36.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

 

 


начали открывать его последовательно на иных ПК в саду. Поэтому, похоже, что эта тема будет продолжена.
Для каждого нового ПК надо будет завести отдельную тему.

 

 

 


оставить Kaspersky Free - это поможет им?
Поможет в чём?

Рассшифровать файлы?  - Нет.

Обеспечить дополнительную защиту от вирусов? - Да.


 

 


- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:
ещё раз перечитайте, что нужно было сделать. По ссылке там всё напсано. А вы просто скопировали мой список ярлыков в блокнот и прикрепили мне.
Ссылка на комментарий
Поделиться на другие сайты
Bikar Новичок

Bikar

Опубликовано
  • Автор
Опубликовано

Про темы понял.

Компьютер чист? 

Расшифровывать нечего, это понятно было с самого начала. Меня интересует вероятность повторения истории с шифровальщиком пока стоит Kaspersky Free...


Извините, ошибся

ClearLNK-18.08.2017_10-11.log

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

1)
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk', '');
 QuarantineFileF('C:\Users\Админ\AppData\Roaming\Windows', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk');
 DeleteFileMask('C:\Users\Админ\AppData\Roaming\Windows', '*', true);
 DeleteDirectory('C:\Users\Админ\AppData\Roaming\Windows');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
2)
  • Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Tools ->Options (Инструменты ->Настройки) отметьте:
    • Сброс политик IE
    • Сброс политик Chrome

    [*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления. [*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt. [*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

3) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты
Bikar Новичок

Bikar

Опубликовано
  • Автор
Опубликовано

Ответ:

 

KLAN-6673642614

Thank you for contacting Kaspersky Lab

 

The files have been scanned in automatic mode.

 

No information about the specified files can be found in the antivirus databases:

Новости.lnk

 

Riskware which may harm your computer was detected in the following files:

csrss.exe - not-a-virus:NetTool.Win32.TorJok.gk

 

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

 

 

              

AdwCleanerS1.txt

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

  • Пожалуйста, запустите adwcleaner.exe
  • Нажмите File (Файл) Uninstall (Деинсталлировать).
  • Подтвердите удаление нажав кнопку: Да.

C:\Users\Админ\Desktop\h45c0xjj.exe

это что за файл?

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
CreateRestorePoint:
MSCONFIG\startupreg: cmtbglwxeh =>
FirewallRules: [{C64AE704-3D9A-433B-8806-6F82CC6D3D01}] => (Allow) C:\Users\Админ\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{6ADA7B1F-CC9A-42EC-92B6-56CFC5B3ECF0}] => (Allow) C:\Users\Админ\AppData\Local\MediaGet2\mediaget.exe
GroupPolicy: Restriction - Chrome <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
SearchScopes: HKU\S-1-5-21-3810063139-1248364377-2299928129-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B24EE1108-6C61-4194-9A6B-6D04635818C9%7D&gp=811014
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.
 
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • CreativeArch
      Вирус шифровальщик, можно ли восстановить файлы?
      От CreativeArch
      Log.7z
    • Иван Иванович Ивановский
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Иван Иванович Ивановский
      сегодня утром зашифровал все файлы
      часть данных у меня были на флешке, есть исходные, не зашифрованные файлы - положил их тоже в архив
      что это за тип шифровальщика, возможна ли расшифровка?
      и с компом чего теперь делать, возможно ли очистить и работать дальше или лучше все отформатировать и переустановить ?
       
      архив и логи FRST прилагаю
      Архив.7z Addition.txt FRST.txt
    • Александр Щепочкин
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Александр Щепочкин
      Добрый день, такое же и у меня случилось,  с таким же расширением, никто ничего не скачивал и по ссылкам не переходил, работают на удаленном рабочем столе, переносят только файлы вод или экселя. Кидаю пример файла и текст с выкупом
      6iENBa2rG.README.txt Ведомость выроботки по объекту Радиальная (белорусы) общее.xlsx.rar
       
      Сообщение от модератора kmscom Сообщение перенесено из темы Шифровальщик зашифровал файлы расширение .6iENBa2rG
    • Александр Щепочкин
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Александр Щепочкин
      Добрый день, такое же и у меня случилось,  с таким же расширением, никто ничего не скачивал и по ссылкам не переходил, работают на удаленном рабочем столе, переносят только файлы вод или экселя. Кидаю пример файла и текст с выкупом
      6iENBa2rG.README.txt Ведомость выроботки по объекту Радиальная (белорусы) общее.xlsx.rar
       
      Сообщение от модератора kmscom Сообщение перенесено из темы Шифровальщик зашифровал файлы расширение .6iENBa2rG
    • DIM_ZIM
      biobiorans шифровальщик- возможна ли раскодировка файлов
      От DIM_ZIM
      Словили шифровальщика. Файлы на сетевой шаре  закодированы и в названия имеют такой вид  ******** .xlsx.EMAIL=[biobiorans@gmail.com]ID=[****************]
       кто то сталкивался  с такой проблемой ?  ЧТО за вирус ( его название). Может быть имеется опыт по дешифровке?
       
      111.rar
×
×
  • Создать...