Перейти к содержанию
Задай вопрос Алексею Тодирашу!

шифровальщик создал файлы crypted000007

Bikar
 Share

Рекомендуемые сообщения

Bikar Новичок

Bikar

Опубликовано
Опубликовано (изменено)

Добрый день, 

поймали шифровальщик, который зашифровал все файлами с расширением crypted000007. Вы можете чем-то помочь?

Изменено пользователем Bikar
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Здравствуйте!

 

У вас тут целый зверинец разнообразного зверья :)

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\fupdate\fupdate.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\390236CA56271EAA3B70BC18BC9F3CE4.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 QuarantineFile('C:\Program Files\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\C561DE31-5754-4E8B-96F8-86332AC3422C.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk', '');
 QuarantineFile('C:\Users\Админ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\csrss.lnk', '');
 QuarantineFile('C:\Users\Админ\Favorites\Links\Интернет.url', '');
 QuarantineFile('C:\Users\Админ\AppData\Local\svshost\svshost.exe', '');
 QuarantineFile('c:\users\админ\appdata\local\temp\CAB83740-73DB8EBA-25C1525D-1B8BB1AB\9b6266ec6.sys', '');
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\program files\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\microsoft\adobe\flash player\e7c31ad3-e169-4a6c-9521-70a4a078494f', '*', true, '', 0 , 0);
 QuarantineFileF('c:\users\админ\appdata\local\searchgo', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\fupdate', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\SearchGo', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\svshost\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\KRB Updater Utility\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\Windows', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\fupdate\fupdate.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\390236CA56271EAA3B70BC18BC9F3CE4.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 DeleteFile('C:\Program Files\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\C561DE31-5754-4E8B-96F8-86332AC3422C.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\SearchGo\searchgo.exe', '32');
 DeleteFile('C:\Users\Админ\AppData\Local\svshost\svshost.exe', '32');
 DeleteFile('c:\users\админ\appdata\local\temp\CAB83740-73DB8EBA-25C1525D-1B8BB1AB\9b6266ec6.sys', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "AE7C31AD3-E169-4A6C-9521-70A4A078494F" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "9F3CE4CB81CB07B3AAE17265AC390236" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "9F3CE4CB81CB07B3AAE17265AC390236SB" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\9F3CE4CB81CB07B3AAE17265AC390236SB" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\AE7C31AD3-E169-4A6C-9521-70A4A078494F" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "svshost" /F', 0, 15000, true);
 DeleteFileMask('C:\Users\Админ\AppData\Local\fupdate', '*', true);
 DeleteFileMask('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\', '*', true);
 DeleteFileMask('C:\Users\Админ\AppData\Local\svshost\', '*', true);
 DeleteFileMask('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\', '*', true);
 DeleteFileMask('C:\ProgramData\KRB Updater Utility\', '*', true);
 DeleteFileMask('C:\ProgramData\Windows', '*', true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteFileMask('c:\program files\kinoroom browser', '*', true);
 DeleteFileMask('c:\users\админ\appdata\local\searchgo', '*', true);
 DeleteDirectory('C:\Users\Админ\AppData\Local\fupdate');
 DeleteDirectory('C:\ProgramData\Microsoft\Adobe\Flash Player\E7C31AD3-E169-4A6C-9521-70A4A078494F\');
 DeleteDirectory('C:\Users\Админ\AppData\Local\Microsoft\C0F39E6307F539840E86FB471F0127B9\');
 DeleteDirectory('C:\ProgramData\KRB Updater Utility\');
 DeleteDirectory('C:\Users\Админ\AppData\Local\svshost\');
 DeleteDirectory('C:\ProgramData\Windows');
 DeleteDirectory('c:\programdata\krb updater utility');
 DeleteDirectory('c:\program files\kinoroom browser');
 DeleteDirectory('c:\users\админ\appdata\local\searchgo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cmtbglwxeh', 'command');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

>>> [HTTP][MASK][h][s] "C:\Users\Админ\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk"      -> ["C:\Windows\explorer.exe"  =>> "hxxp://exensup.ru/?utm_source=startlink03&utm_content=a425479155635b2e4743e1e153a7f55d&utm_term=2641115958231AC62CAA4D9AFDC3BF52&utm_d=20160804"]
-[HTTP] "C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk"      -> ["(Internet Explorer)"  =>> hxxp://lnk.do/WlJ46]
>>> [s] "C:\Users\Админ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\csrss.lnk"     -> ["C:\ProgramData\Windows\csrss.exe"]
>>>  "C:\Users\Админ\Favorites\Links\Интернет.url"  ->                hxxp://exensup.ru/?utm_source=favorites03&utm_content=d9168d89b28a3e71cade9272f1050284&utm_term=2641115958231AC62CAA4D9AFDC3BF52&utm_d=20160804

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.


 

 

Программы/расширения от Mail.ru используете?
 

Антивирус Касперского 6.0 для Windows Workstations [20151201]-->MsiExec.exe /I{8F023021-A7EB-45D3-9269-D65264C81729}

уже несколько лет как это антивирус устарел и физически не может защитить от современных вирусов. И базы обвновления к нему уже не выпускаются, так что обновляйтесь до актуальной версии. А то так и будете постоянно со зверьём жить.

  • Улыбнуло 1
Ссылка на комментарий
Поделиться на другие сайты
Bikar Новичок

Bikar

Опубликовано
  • Автор
Опубликовано

Добрый день, большое спасибо за помощь.

Компьютер из детского сада, предыдущий "админ" ушел год назад. С той поры "экономили средства, которых и так нет". К нам обратились через управляющую компанию  с просьбой спасти хоть что-нибудь. 

Как оказалось история не закончилась. Поскольку они не смогли "прочесть" вложение в письме, "которое они так долго ждали", они начали открывать его последовательно на иных ПК в саду. Поэтому, похоже, что эта тема будет продолжена. 

Логи после предложенного лечения вложены.

KLAN-6673249773

 

Если сейчас оперативно (на время пока идут переговоры о закупке полноценного Касперского) поставить Kaspersky Free - это поможет им? 

 

AdwCleanerS0.txt

Check_Browsers_LNK.log

CollectionLog-2017.08.18-10.36.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

 

 


начали открывать его последовательно на иных ПК в саду. Поэтому, похоже, что эта тема будет продолжена.
Для каждого нового ПК надо будет завести отдельную тему.

 

 

 


оставить Kaspersky Free - это поможет им?
Поможет в чём?

Рассшифровать файлы?  - Нет.

Обеспечить дополнительную защиту от вирусов? - Да.


 

 


- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:
ещё раз перечитайте, что нужно было сделать. По ссылке там всё напсано. А вы просто скопировали мой список ярлыков в блокнот и прикрепили мне.
Ссылка на комментарий
Поделиться на другие сайты
Bikar Новичок

Bikar

Опубликовано
  • Автор
Опубликовано

Про темы понял.

Компьютер чист? 

Расшифровывать нечего, это понятно было с самого начала. Меня интересует вероятность повторения истории с шифровальщиком пока стоит Kaspersky Free...


Извините, ошибся

ClearLNK-18.08.2017_10-11.log

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

1)
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk', '');
 QuarantineFileF('C:\Users\Админ\AppData\Roaming\Windows', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk');
 DeleteFileMask('C:\Users\Админ\AppData\Roaming\Windows', '*', true);
 DeleteDirectory('C:\Users\Админ\AppData\Roaming\Windows');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
2)
  • Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Tools ->Options (Инструменты ->Настройки) отметьте:
    • Сброс политик IE
    • Сброс политик Chrome

    [*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления. [*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt. [*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

3) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты
Bikar Новичок

Bikar

Опубликовано
  • Автор
Опубликовано

Ответ:

 

KLAN-6673642614

Thank you for contacting Kaspersky Lab

 

The files have been scanned in automatic mode.

 

No information about the specified files can be found in the antivirus databases:

Новости.lnk

 

Riskware which may harm your computer was detected in the following files:

csrss.exe - not-a-virus:NetTool.Win32.TorJok.gk

 

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

 

 

              

AdwCleanerS1.txt

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

  • Пожалуйста, запустите adwcleaner.exe
  • Нажмите File (Файл) Uninstall (Деинсталлировать).
  • Подтвердите удаление нажав кнопку: Да.

C:\Users\Админ\Desktop\h45c0xjj.exe

это что за файл?

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
CreateRestorePoint:
MSCONFIG\startupreg: cmtbglwxeh =>
FirewallRules: [{C64AE704-3D9A-433B-8806-6F82CC6D3D01}] => (Allow) C:\Users\Админ\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{6ADA7B1F-CC9A-42EC-92B6-56CFC5B3ECF0}] => (Allow) C:\Users\Админ\AppData\Local\MediaGet2\mediaget.exe
GroupPolicy: Restriction - Chrome <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
SearchScopes: HKU\S-1-5-21-3810063139-1248364377-2299928129-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B24EE1108-6C61-4194-9A6B-6D04635818C9%7D&gp=811014
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.
 
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • ALFGreat
      Шифровальщик BitLocker зашифровал все диски и файлы.
      От ALFGreat
      Добрый день! Сегодня обнаружилось, что зашифрован сервер. Открылся файл, мол пишите на адрес a38261062@gmail.com 
      Какой порядок действий? Возможно ли как то восстановить? Как узнать под какой учеткой был запущен шифровальщик?
    • Ammorf
      Kaspersky Security Center: Не создается файл отчета в PDF
      От Ammorf
      OS - Windows Server 2012, установлены .NET Framework 3.5 и 4.8
      KSC - 14.2.0.26967

      При попытке выгрузки отчета в формате pdf возникает ошибка "Не удалось создать отчет. Unspecified error".
      Ошибка возникает только при попытке выгрузки на самом сервере, если делать через консоль на обычной win 10 машине - все ок.
      Однако из-за того, что он не может делать это на сервере - он так же не может их отправлять по почте или класть в папку в соответствии с расписанием. 
      В логах "Kaspersky Event log", "Kaspersky Security" и системных логах не создается ничего при воспроизведении такой ошибки.
      Правка реестра (HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\CodePage) со сменой локализации не помогает, к тому же изначально была установлена правильная  1251.
      .NET Framework 3.5 и 4.8 - установлен

    • Maximus02
      Шифровальщик. Окончание файлов .tae7AeTe
      От Maximus02
      1.zip
       
      Здравствуйте!
       
      Словили шифровальшик. Пока не выяснили источник, где был произведен запуск шифровальщика. Есть зашифрованные файлы с размером и окончанием .tae7AeTe. Также есть оригинальный файл с нулевым окончанием. Зашифровано все на NAS Synology.
      Помогите пожалуйста с расшифровкой, если это возможно.
    • Тимур М
      Шифровальщик Demetro9990@cock.li зашифровал все файлы на ПК
      От Тимур М
      Всем привет!

      На компе все файлы зашифровались с окончанием Demetro9990@cock.li 
      Написал письмо - просит 1400 долларов на биткоин кошелек.
       
      Можете как то помочь?
    • ovfilinov
      поймали шифровальщика - дописывает после расширения файла 6a19a55854eee3
      От ovfilinov
      Группа серверов на основе Виндовс сервер 2008 2016 в локальной сети в домене виндовс.
      на виртуальных машинах на разных гипервизорх: Vmware Hyper-V
      На них установлен kaspersky Securiti for windows server версия вероятно 10.1
      неожиданно перестали работать
      при загрузке с лайф сд обнаружены что файлы зашифрованы и выглядят:
      имя файла.расширение.6a19a55854eee3 например:
      IT Invent_export_14-09-2022.xls.6a19a55854eee3
      а также в каждый каталог добавлен файл с вымогательством
      6a19a55854eee3-README.txt
      при обнаружении все компьютеры были выключены.
       
      files.zip FRST.txt
×
×
  • Создать...