jah Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 Добрый день, нужна помощь. Словили разновидность satan. Логи и зараженный/чистый файл в атаче. CollectionLog-2017.08.21-15.57.zip good_and_bad.zip Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 Выполните скрипт в AVZ begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; QuarantineFile('c:\windows\debug\ok.dat',''); QuarantineFile('c:\windows\help\lsmosee.exe>',''); QuarantineFile('c:\windows\debug\item.dat>',''); QuarantineFile('c:\windows\debug\item.dat',''); DeleteFile('c:\windows\debug\item.dat','32'); DeleteFile('c:\windows\debug\item.dat>','32'); DeleteFile('c:\windows\help\lsmosee.exe>','32'); DeleteFile('c:\windows\debug\ok.dat','32'); DeleteFile('C:\Windows\system32\Tasks\ok','64'); DeleteFile('C:\Windows\system32\Tasks\Mysa3','64'); DeleteFile('C:\Windows\system32\Tasks\Mysa2','64'); DeleteFile('C:\Windows\system32\Tasks\Mysa1','64'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start','command'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start1','command'); BC_ImportAll; ExecuteSysClean; BC_Activate; end.Перезагрузку компьютера выполните вручную. Выполните скрипт в AVZ begin CreateQurantineArchive('c:\quarantine.zip'); end. c:\quarantine.zip отправьте по адресу newvirus@kaspersky.comПолученный ответ сообщите здесь (с указанием номера KLAN) Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 21 августа, 2017 Автор Share Опубликовано 21 августа, 2017 Вижу что будет произведена перезагрузка. Машину еще не бутали. После перезагрузки будет зашифрована/заблокирована MBR. Или приведенный выше скрипт устранит это? Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 После перезагрузки будет зашифрована/заблокирована MBRКто Вам такое сказал? Активного вируса в логах вообще нет. Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 21 августа, 2017 Автор Share Опубликовано 21 августа, 2017 (изменено) Архив "quarantine.zip" пустой. Это нормально? Изменено 21 августа, 2017 пользователем jah Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 Жду новые логи Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 21 августа, 2017 Автор Share Опубликовано 21 августа, 2017 Вот они CollectionLog-2017.08.21-17.37.zip Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением. 2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files. 3. Нажмите кнопку Scan. 4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. 5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). 6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению. Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 21 августа, 2017 Автор Share Опубликовано 21 августа, 2017 Вот они Farbarscan.zip Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 1. Откройте Блокнот и скопируйте в него приведенный ниже текст CreateRestorePoint: 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\zakon\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\zakon\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\zakon\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vpeleh\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vpeleh\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vova\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vova\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\vova\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\volch\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\tykhenkyi\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:42 - 2017-08-20 23:42 - 000043006 _____ C:\Users\tykhenkyi\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tykhenkyi\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\tanja\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\AppData\Roaming\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\solodkyi\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serujtkach\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serujtkach\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serggrey\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:41 - 2017-08-20 23:41 - 000043006 _____ C:\Users\serggrey\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\serggrey\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\serg\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\sanya_balshoi\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\sanya_balshoi\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\saloed\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\saloed\Documents\0_HELP_DECRYPT_FILES.html 2017-08-20 23:40 - 2017-08-20 23:40 - 000043006 _____ C:\Users\saloed\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:39 - 2017-08-20 23:39 - 000043006 _____ C:\Users\saloed\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:39 - 2017-08-20 23:39 - 000043006 _____ C:\Users\saloed\0_HELP_DECRYPT_FILES.html 2017-08-20 23:39 - 2017-08-20 23:39 - 000043006 _____ C:\Users\SaHaRoK\0_HELP_DECRYPT_FILES.html 2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\SaHaRoK\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\olga\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\olga\0_HELP_DECRYPT_FILES.html 2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\oleksii\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\oleksii\Documents\0_HELP_DECRYPT_FILES.html 2017-08-20 23:38 - 2017-08-20 23:38 - 000043006 _____ C:\Users\oleksii\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:37 - 2017-08-20 23:37 - 000043006 _____ C:\Users\oleksii\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:37 - 2017-08-20 23:37 - 000043006 _____ C:\Users\oleksii\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\jh\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\jh\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\jh\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\gavrysh\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\gavrysh\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\dimon\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\dimon\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\dima_gavrish\0_HELP_DECRYPT_FILES.html 2017-08-20 23:36 - 2017-08-20 23:36 - 000043006 _____ C:\Users\Dima\0_HELP_DECRYPT_FILES.html 2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\Default\0_HELP_DECRYPT_FILES.html 2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\bogdan\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\bogdan\0_HELP_DECRYPT_FILES.html 2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\antoschuk\Downloads\0_HELP_DECRYPT_FILES.html 2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\antoschuk\Documents\0_HELP_DECRYPT_FILES.html 2017-08-20 23:35 - 2017-08-20 23:35 - 000043006 _____ C:\Users\antoschuk\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:33 - 2017-08-20 23:33 - 000043006 _____ C:\Users\antoschuk\AppData\Local\0_HELP_DECRYPT_FILES.html 2017-08-20 23:31 - 2017-08-20 23:31 - 000043006 _____ C:\Users\Администратор\Desktop\0_HELP_DECRYPT_FILES.html 2017-08-20 23:31 - 2017-08-20 23:31 - 000043006 _____ C:\Users\Администратор\AppData\Local\0_HELP_DECRYPT_FILES.html AlternateDataStreams: C:\Users\oleksii:id [32] AlternateDataStreams: C:\Users\saloed:id [66] AlternateDataStreams: C:\ProgramData\TEMP:9BE2DC46 [254] AlternateDataStreams: C:\Users\Все пользователи\TEMP:9BE2DC46 [254] 2. Нажмите Файл – Сохранить как3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool 4. Укажите Тип файла – Все файлы (*.*) 5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить 6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении. Перезагрузку компьютера выполните вручную. Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 21 августа, 2017 Автор Share Опубликовано 21 августа, 2017 Вот он Fixlog.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 1. Откройте Блокнот и скопируйте в него приведенный ниже текст CreateRestorePoint: Task: {068A8BAB-04BC-47BE-8C8E-BF0EA4CBD39E} - \ok -> No File <==== ATTENTION Task: {253FB4EA-43D4-4EFD-98F2-2EBE17978FE9} - \Mysa2 -> No File <==== ATTENTION Task: {6929713B-4038-4BE6-A4DF-AA66BFA1451A} - \Mysa1 -> No File <==== ATTENTION Task: {7D4CEA43-7467-4B45-BF65-653F30E31C22} - \Mysa3 -> No File <==== ATTENTION 2. Нажмите Файл – Сохранить как3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool 4. Укажите Тип файла – Все файлы (*.*) 5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить 6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении. Перезагрузку компьютера выполните вручную. Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 21 августа, 2017 Автор Share Опубликовано 21 августа, 2017 Готово Fixlog.txt Ссылка на комментарий Поделиться на другие сайты More sharing options...
thyrex Опубликовано 21 августа, 2017 Share Опубликовано 21 августа, 2017 Мусор почистили. С расшифровкой помочь не сможем. 1 Ссылка на комментарий Поделиться на другие сайты More sharing options...
jah Опубликовано 22 августа, 2017 Автор Share Опубликовано 22 августа, 2017 Есть ли какой то способ расшифровать? Есть один важный файл. Можете что то посоветовать. Или помочь за вознаграждение (не знаю принято ли сдесь делать такие предложения, но файл действительно важен). Ссылка на комментарий Поделиться на другие сайты More sharing options...
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти